Gruppenbasiertes Berechtigungskonzept mit Ausnahmen

[Ebenezer 13]

Hallo,

 

Ausgangssituation:

 

Es gibt eine Freigabe Projekte mit div. Unterordnern, jeder Ordner stellvertretend für ein Projekt. Bisher hatten alle MA Zugriff auf alle Projekte, es gab also nur eine AD-Gruppe. Nun soll es Ausnahmen geben, also einige wenige Nutzer die nur einige wenige Ordner sehen sollen. Ich kenne folgende Ansätze:

 

1. Vererbung ausschalten und die Rechte individuell vergeben (ich würde dann von oben mit Deny-Rechten arbeiten, und die Vererbung nur bei den wenigen Ausnahmen unterbrechen).

2. Projektordner separat freigeben

 

Ich tendiere zur ersten Variante, auch weil man es im AD ganz gut dokumentieren kann und es dann bei einer Freigabe bleibt. Mittels ABE sind nur die relevanten Ordner sichtbar.

 

Wie habt Ihr sowas bisher gelöst bzw. wie wäre im konkreten Beispiel Eure herangehensweise?

 

Danke.

 

Nico

 

 

[Dukel 457]

Kein Deny!

Das will man nicht.

 

Du kannst z.B. den Projekte Ordner für alle Freigeben und die NTFS so konfigurieren, das jeder nur auf diesem Zugriff hat.

Danach erstellst du für jeden Projekt eine Gruppe und wirfst die entsprechenden Mitarbeiter in die Gruppe und setzt die NTFS Rechte für jeden Projekt.

[Ebenezer 13]

Danke. So wie Du das beschrieben hast, habe ich es auch schon öfter gemacht. Aber in diesem Fall ist das einfach nicht praktikabel, weil ich ca. 250 Projekte habe aber nur 5 Ausnahmen.

[Dukel 457]

Dann mach eine Gruppe für den Default und fünf extra Gruppen.

[Ebenezer 13]

ok, aber in meinem Fall müsste ich dann die Vererbung für 245 Gruppe unterbrechen nur weil es 5 Ausnahmen gibt. Arbeite ich mit deny-Rechte muss ich nur 5 Grupppen ändern.

 

Was ist so schlimm an deny-Rechten?

[NilsK 2.969]

Moin,

 

"deny" als solches ist nicht schlimm. Da es aber das "grant" übersteuert, führt es schnell zu organisatorischen Problemen. Daher will man das in der Regel nicht. Es ist meist nur eine Krücke.

 

Wenn du die Möglichkeit haben willst, die Projekte separat zu berechtigen, musst du die Vererbung ohnehin abschalten. Alles andere führt zu unsauberen Konstrukten.

 

Gruß, Nils

[Dukel 457]

Das ist die Chance dir icacls anzuschauen und das Setzen der Rechte in einem Rutsch anzupassen und dann nur noch die fünf Ausnahmen anpassen (oder gleich im Script umsetzen).