Benutzerberechtigungen auf Netzlaufwerke

[der.ens 0]

Hallo,

 

ich habe hier ein merkwürdiges Problem.

 

Server2008 r2 als DC und File-Server, 6-7 Clients (Win7 64 bit), diverse Netzlaufwerke vom Server.

Das System lief seit ca. 2014 stabil und ohne Probleme, Updates wurden regelmässig gemacht.

 

Seit Mitte Juni 2017 tritt folgendes Problem auf: legt ein Benutzer einen neuen Unterordner auf einem Netzlaufwerk an, wird er dort in den Benutzer und Berechtigungseinstellungen eingetragen, zusätzlich zu den vererbten Benutzergruppen (in denen er  auch Mitglied ist). Allerdings nur mit speziellen Berechtigungen, somit kann er selber in dem Ordner nicht viel machen. Man kann den Benutzer auch nicht entfernen, da er übergeordnete Berechtigungen übernimmt (steht im Hinweistext).

In den übergeordneten Ordnern gibt es unter Eigenschaften - Sicherheit - Gruppen/Benutzer nur ErstellerBenutzer,System,Administratoren, Benutzer(Gruppe).

Die Gruppe Benutzer hat alle Rechte auf den Ordner, die einzelnen Benutzer sind alle Mitglied dieser Gruppe.

Scheinbar wurden kurz vor Auftreten des Problems 3 Updates installiert

KB4023307 (silverlight)

KB8900830 (def-tool)

KB4022719 (Monatliches Sicherblablabla) dieses finde ich nicht unter Installierte Updates, im Updateverlauf steht aber erfolgreich installiert.

 

Kann jemand helfen? :schreck:

 

[NilsK 2.930]

Moin,

 

wenn ein Benutzer Dateien oder Ordner anlegt, dann ist er der "Ersteller/Besitzer". Welche Berechtigungen sind für diese Pseudogruppe im übergeordneten Ordner definiert, und welche sind die "speziellen Berechtigungen", die du siehst?

Ohne konkrete Angaben kann man nicht viel dazu sagen.

 

Gruß, Nils

[der.ens 0]

Hi,

 

Beim Benutzer und bei der Gruppe "Ersteller/Besitzer" sind die Rechte identisch, also unter Zulassen - Speziell. und unter Erweitert alle Rechte.

Die Frage ist ja, warum legt das System zum "Ersteller/Benutzer" zusätzlich noch den Benutzer "Hans.Beispiel" (also den User der den Ordner erstellt hat) in den Eigenschaften mit an. Wie gesagt, dort steht auch noch die Gruppe Benutzer, wo Hans.Beispiel Mitglied ist, mit vollen Berechtigungen und die Gruppen System und Administratoren, auch mit vollen Berechtigungen.

Der Server macht das auch erst ab Juni 2017, vorher hat er nur die Gruppe "Ersteller/Benutzer" und nicht noch den Benutzer "Hans.Beispiel" mit eingetragen.

Ich tippe ja auf das KB4022719, dass dort irgendwas verstellt wurde, da ansonsten in dem Zeitraum meines Wissens niemand was am Server gemacht hat.

 

Grüße

der.ens

[lefg 276]

 

"Hans.Beispiel" (also den User der den Ordner erstellt hat) in den Eigenschaften mit an. Wie gesagt, dort steht auch noch die Gruppe Benutzer, wo Hans.Beispiel Mitglied ist, mit vollen Berechtigungen und die Gruppen System und Administratoren, auch mit vollen Berechtigungen.

 

Vererbung?

[der.ens 0]

Da es weiter oben in der Hierarchie keine einzelnen Benutzer gibt, sondern nur Gruppen (in den Eigenschaften aller übergeordneten Ordner ), woher wird es an den einzelnen Benutzer vererbt? Und warum auf einmal?

Es funktionierte bis dahin problemlos.

Bisher konnte ich es bei allen Benutzern nachvollziehen, ausser beim Administrator, hier passiert alles wie es soll.

[NilsK 2.930]

Moin,

 

ich kann es gerade nicht nachstellen, würde aber mal sagen, dass das normales Verhalten ist. Für Ersteller/Besitzer sind spezielle Berechtigungen angegeben - das bezieht sich auf neu erzeugte Objekte. Nun erzeugt ein User eine Datei oder einen Ordner, muss also genau diese Berechtigungen erhalten. Also muss Windows doch den User als berechtigt eintragen und ihm diese Berechtigungen zuweisen.

 

Die Frage wäre wohl eher, warum die Berechtigungen im übergeordneten Element so gesetzt sind. Erfahrungsgemäß handelt man sich mit solchen Spezialberechtigungen schnell Probleme ein, daher ist das Prinzip "KISS" meist das beste.

 

Gruß, Nils

[MercedesCR7 1]

Also auf unseren Win Server 2012, hatten wir bzw. gab es auch in die Richtig ein Problem.

Das wenn ein neuer User sich anmeldet hat, dann hatte die keine Schreibrechte, also z.B nichts auf dem Desktop zu speichern. Beim start kam immer eine Meldung mit "Temporäres Profil.."

 

Ich habe alle Rechte (Vererbungen ect.) gelöscht, in dem Laufwerk wo das Profil gespeichert wird.

Ich habe in den Profil folgendes eingetragen, Domain-Admins -Vollzugriff, User - Vollzugriff und User ist Besitzer des Ordners. Vererbung aktiviert.

 

So wie NilsK geschrieben hat "Für Ersteller/Besitzer sind spezielle Berechtigungen angegeben - das bezieht sich auf neu erzeugte Objekte. Nun erzeugt ein User eine Datei oder einen Ordner, muss also genau diese Berechtigungen erhalten." Genau so ist es.