Rechteverwaltung im Dateisystem

[Emmermacher 15]

Hallo.

 

Wir wollen die Dateisysteme unserer Server (2008 R2 und 2012 R2) mit einer Rechteverwatung ausstatten. 8Man haben wir uns angeschaut. Ist mit Sicherheit ein gutes Tool.

Als Alternative haben wir uns noch File Management Suite von der Bayoonet angeschaut. Generell eine einfache Software, die meiner Meinung nach für unsere Anforderungen ausreichend ist.

Leider habe ich hier keinerlei Erfahrungsberichte gefunden.

Hat hier jemand diese Software im Einsatz? Wie sind Eure Erfahrungen damit? Lohnt sich die Anschaffung?

 

Vielen Dank im voraus für Eure Antworten.

 

LG

 

Dirk Emmermacher

bearbeitet 4. September 2017 von Emmermacher

[Dr.Melzer 191]

Lohnt sich die Anschaffung?

Die Frage ist warum ihr euch das anschaffen wollt. Welches Problem wollt ihr damit lösen und welche Ziele wollt ihr damit erreichen?

 

Solange wir das nicht wissen ist es unseriös eine Empfehlung auszusprechen.

[Emmermacher 15]

Hallo Dr. Melzer.

 

Herrzlichen Dank für Ihre Antwort.

Mit einer solchen Software soll das Dateisystem vor unberechtigten Zugriffen geschützt werden. Bis auf wenige Ausnahmen gibt es auf unseren Shares fast keine Rechtestruktur.

Wir strukturieren hier gerade diese Shares um, damit ein besserer Zugriff möglich ist. Gleichzeitig soll eine Rechtestruktur implementiert werden. Der User soll beim Verantwortlichen eine Freigabe anfordern, wenn Rechte benötigt werden. Wir ITler können nicht immer einschätzen, ob das von den Verantwortlichen auch so gewünscht wird.

 

Mit freundlichen Grüßen

 

Dirk Emmermacher

[Slavefighter 10]

Servus,

 

habt ihr kein AD ? da könnt ihr doch Wunderbar mit Gruppenzuweisungen Rechte vergeben oder aber auf NTFS Ebene.

Wenn die Gruppen inkl. der Rechte einmal definiert wurden, ist doch hinten raus ein leichtes zu bestimmen wer darf oder wer darf nicht.

 

Und wenn jemand ein Bestimmtes Share zusätzlich haben will, den Admin kontaktieren und schöne Augen machen oder so ähnlich :)

[magheinz 110]

Bei uns bekommt jeder neue share automatisch drei domainlokale Gruppen FU,RW und RO.

Da muss man dann nur noch die globalen Gruppen reinschieben.

 

Welche Arbeit nimmt einem dann so ein tool noch ab?

[Dukel 454]

So ein Tool benötigt man wenn man sehr komplexe Berechtigungen hat und diese nicht mehr normal verwalten kann. Wenn man die Struktur neu aufbaut kann man das gleich einfach halten. Dann benötigt man kein extra Tool.

 

@Mag: Was macht die FU Gruppe?

[magheinz 110]

die hat Adminrechte. bisher haben wir die noch nie gebraucht, mein script legt die aber immer noch mit an;-)

[NilsK 2.934]

Moin,

 

Welche Arbeit nimmt einem dann so ein tool noch ab?

 

im Zweifel das ganze Rumgeschiebe mit den Gruppen. Die Idee bei so einem Tool ist, dass der Data Owner (z.B. der Abteilungsleiter) das selbst machen kann, ohne die IT behelligen zu müssen. Das Tool sorgt dann dafür, dass alles mit den Gruppen passt. Ist schon eine feine Sache.

 

Gruß, Nils

[magheinz 110]

Also sowas wie RBAC?

[NilsK 2.934]

Moin,

 

naja, hat schon mit Rollenkonzepten zu tun, nur ganz anders.

 

Die Idee bei solchen Tools: Gib dem Data Owner (der ja kein IT-Admin ist) eine einfache Oberfläche, mit der er einstellen kann: "Ute und Uwe sollen im Vertriebsordner schreiben und lesen dürfen." Das Tool setzt dann im Hintergrund die richtigen Gruppenmitgliedschaften (auch mit A-G-DL-P, wenn man das will) und stellt das Ergebnis dem Data Owner so dar, dass er es versteht.

 

Gruß, Nils

[magheinz 110]

Ok, also nichts was man nichts auch mit AD-Boardmitteln lösen kann, nur halt in schön.

Irgendwie habe ich mehr Magie erwartet...

Aber es nimmt einem natürlich etwas Arbeit ab, kann also dadurch durchaus eine Existenzberechtigung haben.

Im Prinzip bauen wir so etwas derzeit nach mit Webformularen und Powershellscripten.

[NilsK 2.934]

Moin,

 

die Magie liegt bei solchen Tools in der Auswertung der vorhandenen Berechtigungen. Ein Crawler sammelt alle Berechtigungen ein, schreibt sie in eine Datenbank und lässt dort Auswertungen zu. Damit lassen sich Fragen dieser Art schnell und exakt beantworten:

• Wer (= welche User!) kommt eigentlich an den Vertriebsordner ran?
• Wo hat Anne Donnicht überall Berechtigungen?
• Warum kommt Martin Zorn immer noch an die GF-Daten, obwohl wir ihn aus der Gruppe entfernt haben?

Und spätestens das ist mit Bordmitteln kaum in absehbarer Zeit zu machen.

 

Gruß, Nils