Gast Zugriff für eine Freigabe sicher einrichten

[phatair 39]

Hallo zusammen,

 

ich muss auf einem Server eine Freigabe für den Gast Zugriff freigeben. 

Hintergrund ist, dass wir ein Programm von Bosch verwenden, welches bei der Installation ein Netzlaufwerk mapped. Dieser Zugriff funktioniert nur, wenn der Gast Zugriff für diese Freigabe aktiviert ist, da der Installer als lokaler dynamischer Administrator ausgeführt wird. Die Installation wird automatisiert über Zenworks durchgeführt. Ich habe also keine Möglichkeit einen festen User für den Zugriff zu definieren.

 

Ich habe nun den Gast Account auf dem betroffenen Server aktiviert (ohne PW). 

Die Freigabe habe ich mit JEDER (Leserechte) versehen. Die NTFS Berechtigung ebenso mit JEDER (Leserechte) versehen. In der Freigabe sind keine sensiblen Daten gespeichert.

 

Nun habe ich noch in den lokalen Richtlinien unter "Zuweisen von Benutzerrechten" den Gast unter "Lokal anmelden verweigen" eingetragen.

 

Kann man mit dieser Konfiguration leben oder habe ich hier noch irgendwo ein größeres Sicherheitsproblem? Kann man das irgendwie so einschränken, dass der Gast Account wirklich nur für diese eine Freigabe gilt?

Der Server hat noch eine 2. Freigabe, hier ist in der NTFS Berechtigung kein JEDER hinterlegt. Dort funktioniert auch der Gast Zugriff nicht. Das sieht für mich erstmal gut aus.

 

Ich wäre für eine kurze Einschätzung sehr dankbar. Es würde uns einiges an Zeit sparen, wenn wir das Programm so ausrollen können. Alternative wäre manuelle Installation auf den betroffenen PCs :(

 

 

[phatair 39]

Hat niemand etwas Erfahrung mit diesen Einstellungen und kann eine kurze Einschätzung abgeben ob diese so sinnvoll genutzt werden können?

 

Grundsätzlich sollte der Gast User ja nicht aktiviert werden. Wenn ich mir also mit dem aktivieren und den oben genannten Einstellungen trotzdem eine große Sicherheitslücke öffne, würde ich auf dem manuellen Weg die Software installieren. Ich tue mich nur schwer das abzuschätzen. 

[Nobbyaushb 1.471]

Ich würde sowas nicht verbiegen wollen, da machst du Türen auf.

 

Wie alt ist denn das Bosch-Setup? Mal mit denen geredet?

 

Und im Zweifelsfall lieber manuell.

[phatair 39]

Hi Norbert,

 

Danke dir für die kurze Einschätzung.

Ja, ich hatte schon mit Bosch gesprochen, wir nutzen die aktuelle Version.

 

Es ist im Grunde auch kein Problem der Software, sondern der Softwareverteilung.

Ich müsste die Software mit einem User ausführen, der für die Freigabe eingetragen ist und gleichzeitig lokale Admin rechte auf dem Gerät hat.

Zenworks (unsere Management Software) kann eine Installation aber nur als "System" oder "dynamischer lokaler Admin" ausführen. Das hilft mir beides somit nicht. 

Da ich keinen der beiden "User" auf die Freigabe berechtigen kann.

 

Runas per Script geht ebenso nicht, da ich kein Passwort mitgeben kann.

 

Falls noch jemand eine Idee hat - gerne her damit :)

 

Gruß,

Steffen

[Dukel 454]

Läuft das nur auf einem Rechner? Manuell installieren.

 

Sollte die Software Verteilung die Software nicht einfach nur installieren und das starten macht der Anwender?

[zahni 554]

Wenn  Du etwas mit dem System-Konto ausführst, kann Du in einer Domäne  die  Computer-Konten entsprechend berechtigen.

[phatair 39]

Das eigentliche Programm läuft auf einem 2008R2 Server. Der Ordner wird freigegeben.

 

Auf den Clients (es sind ca. 20 PCs) wird dann nur einen Client installiert. Die Installation kann ich mit bestimmten Parametern für ein Deployment konfigurieren (Server, Freigabename, Laufwerksbuchstabe).

 

Die Installation der Client Software schaut während der Installation ob der installierende User die Berechtigung auf die Freigabe hat bzw. testet wohl ob das Laufwerk gemapped werden könnte. Ist das nicht der Fall, schlägt die Installation fehl.

Läuft die Überprüfung und die Installation korrekt durch, wird beim starten der Software (als User) das Laufwerk zum Server gemapped und die Software startet.

Ist etwas umständlich gelöst (wie ich finde) aber ist leider so. Ich benötige als zum installieren nicht nur einen User der Admin Rechte auf dem lokalen PC hat sondern auch einen User der schon Zugriff auf die Freigabe des Servers hat...

 

@Zahni: Würde das bedeuten, ich kann in die Berechtigung einfach die Gruppe "Domänen-Computer" eintragen und der System Account hätte somit Zugriff? Das wäre natürlich super, muss ich gleich mal testen.

[zahni 554]

Ja.  Auch an das NTFS denken.

[phatair 39]

Danke zahni.

Das scheint mein Problem behoben zu haben. Zwar ist nach der Installation das benötigte Laufwerk fehlerhaft verbunden, aber nach einem Neustart des PCs funktioniert alles wie es soll und das Laufwerk ist korrekt verbunden .

 

Bei der Automatisierung werde ich einfach am Ende der Installation eine Nachricht an den User ausgeben, dass ein Neustart des PCs zwingend notwendig ist. Immer noch besser als 20 manuelle Installationen durchzuführen.