Sichtbarkeit und Ordnerzugriff / NTFS Rechte

[c.rvelat 10]

Hallo liebes Forum,

 

folgendes Verhalten habe ich festgestellt und möchte gern wissen, ob das im Sinne von MS - Best Practise für die Vergabe von Ordnerrechten ok ist.

 

Umgebung: Server 2k8R2 Standard / W7 Clients

 

Freigabe auf \\Fileserver\Program (Jeder, Vollzugriff) /

NTFS: Auth.User Lesen, Ausführen, Ordnerdurchsuchen - Nur dieser Ordner / SYSTEM und Admin Vollzugriff - Dieser Ordner und Unterordner

 

                          NTFS - Rechte

Ordner1  -> SYSTEM, Admin - Vollzugriff

   |

   --  Ordner2 ->  SYSTEM, Admin - Vollzugriff

         |

         -- Ordner3 ->  SYSTEM, Admin - Vollzugriff

               |

               -- Ordner4 -> Benutzergruppe1 - Lesen, Ausführen, Ordnerinhalt listen

 

Wird per Script, welches im Benutzerkontext des Benutzers, der sich in Benutzergruppe1 befindet, ein Kopierjob ausgeführt, funktioniert das einwandfrei

 

Frage1: Warum? Nach meinem Verständnis dürfte das Script (Benutzerkontext) doch garnicht bis in Ordner4 navigieren können

 

Frage2: Wenn der Benutzer versucht per UNC Pfad ( \\Fileserver\program\Ordner1\Ordner2\Ordner3\Ordner4 ) sich dahin durchzunavigieren, bekommt er die Meldung das der Pfad ungültig ist. Dies kann ich auch nachvollziehen, so wie die Rechte oben eingestellt sind.

 

Frage3: Wenn ein Laufwerk Mappe, welches auf diesen Pfad verweist  ( \\Fileserver\program\Ordner1\Ordner2\Ordner3\Ordner4 ) dann ist es möglich, den Ordnerinhalt von Ordner4 zu sehen

 

Hat jemand eine Erklärung dafür?

 

Und kann / sollte man so Rechte vergeben?

 

Vielen Dank für die Mühe

 

 

[c.rvelat 10]

Moin Moin,

 

nach dem mir ein Kollege das Stichwort Bypass Traverse Checking zugeworfen hat, bin ich auf folgenden Artikel in der MS - KB gestossen, der genau meine Frage beantwortet hat:

https://support.microsoft.com/en-us/kb/3035058

 

Nach meinem Kenntnisstand sollten authentifizierte Benutzer diese Gruppenrichtlinieneinstellung per Default haben, ABE scheint aber dieses Verhalten zu beeinflussen. Infolgedessen tritt der von mir beschriebene Effekt auf.

 

Vielleicht hilft es ja jemand.

 

Angenehmes Wochenende