Access Based Enumeration auf Domain Controller 2022

[ra_martin 0]

Liebe Kolleginnen und Kollegen,
auch wenn das Thema ABE auf Servern hinreichend durchgekaut ist, habe ich hier ein interessantes Problem:

 

Ich scheitere daran, ABE auf einem aktuellen DC, der gleichzeitig Fileserver sein soll, zu aktivieren.

Ich habe die typischen Fehler, die man dabei machen kann, bereits durch.

UND: wenn ich das gleiche auf einem Memberserver, der nicht DC ist, umsetze, funktioniert es!

Hat hierbei jemand vergleichbare Erfahrungen (und vielleicht eine Lösung) parat?

 

- Der ABE-Haken ist bei der Freigabekonfiguration gesetzt.

- Der Zugriff erfolgt tatsächlich über die Freigabe. (Nicht über das lokale Laufwerk)

- Geprüft wurde sowohl über UNC (\\Server\Freigabe) alsauch über ein gemapptes Laufwerk

- Die Freigabe zeigt nicht auf ein Laufwerk (da ging ABE noch nie), sondern auf ein Verzeichnis

- Die auszublendenden Verzeichnisse liegen in einem Unterverzeichnis der Freigabe

- Die Vererbung ist deaktiviert. Die Rechte auf die individuell auszublendenden Verzeichnisse sind ausschließlich und sauber gesetzt.

- Die Rechte in dem übergeordneten Verzeichnis beschränken sich auf  Daten lesen/Berechtigungen lesen/Attribute lesen und "nur dieser Ordner"

- Rechte werden bei mir nur über die NTFS-Rechte eingestellt. Über die Freigabe darf Jeder alles.

- Die Rechtevergabe funktioniert auch. Zugriffsversuche auf die verbotenen (aber sichtbaren) Verzeichnisse werden erwartungsgemäß zurückgewiesen. Auch Rechte Lesen geht nicht.

 

Und das interessante:

- an meiner ehemaligen Arbeitsstelle hatte ich die gleiche Kombination (mit Server 2008) und das ging einwandfrei.

- setze ich einen Memberserver (nicht DC) als Testmaschine auf, funktioniert das auch.

- nur mein Server 2022 DC will nicht.

 

Recherchen im Internet helfen mir leider nicht mehr weiter. Was da drin steht, hab ich alles schon getestet.

Und wenn es Google nicht findet, haben Andere das Problem nicht. Was mach ich also falsch?

 

Vielen Dank für Eure Hilfe.

Gruß

Martin

 

[Damian 1.535]

Hallo und Willkommen on Board!

 

Ich habe Deinen Beitrag hierhin verschoben, da es thematisch besser passt.

 

VG

Damian

[MurdocX 952]

Hallo @ra_martin,

 

die Situation wurde gut erklärt, nur fehlt etwas.. Inhaltliche Informationen...

• Bitte liefere uns einen Screenshot der "Erweiterten NTFS-Berechtigungen"
• Einen Screenshot der Erweiterten Freigabeberechtigung

Sonst muss ich mir deine Berechtigungen erraten ;) 

[ra_martin 0]

Moin,
ich hab in der Beschreibung extra die Formulierungen von MS gewählt. Aber denn:

Der Prinzipal ist eine Globale Sicherheitsgruppe, in der diverse User, die auf die Unterordner Zugriff brauchen, enthalten sind. Keine Standard-Gruppe.

Weitere Berechtigungen gibt es nur für Administratoren und System (Vollzugriff).

 

Auf die Unterordner haben nur die Administratoren Vollzugriff. Die jeweiligen User haben nur Schreibrechte (direkt den jeweiligen Usern zugewiesen).

 

Vielen Dank für die Hilfe.

Gruß

Martin

[Nobbyaushb 1.472]

Moin,

 

eventuell OT, aber mir drängt sich die Frage auf, warum ist ein DC auch Fileserver?

Sollte sich in den letzten 15 Jahren herumgesprochen haben, das man sowas einfach nicht mehr macht...

 

Ist das Physik oder eine VM?

 

Und eine weitere Frage - wie testest du das, auf dem Server oder von einem Client - und mit welchem User?

Das habe ich nicht rausgelesen...

 

[ra_martin 0]

Moin,

was ist mit OT gemeint? Ich erkenne den Zusammenhang mit den mir bekannten Interpretationen von OT zu meinem Problem nicht.
Ich betreue ein Netz mit <100 Mitarbeitern, da kann ich nicht beliebig viele separate Server aufstellen.
Über die Aufteilung bzw. Kombination verschiedener Funktionalitäten und was besser virtualisiert werden sollte, können wir mal bei einem Bierchen fachsimpeln. Ich finde, das sprengt diesen Thread.  'Tu's nicht' ist die Triviallösung. Die möchte ich aber vermeiden.

Diese Kombination hat sich an anderer Stelle bereits über Jahrzehnte bewährt, deshalb bin ich von diesem Verhalten etwas überrascht. Leider kann ich dort nicht mehr spickeln.

 

Der fragliche Server (DC) ist Physik. Das sollte aber eigentlich keine Rolle spielen. Mein Dienstleister hat das bei sich ebenfalls ausprobiert, und der hat alles virtualisiert. Gleicher Effekt, kein Lösungsansatz.

 

Der Test erfolgt über einen separaten Client-PC, Win10, Domänen-Member. So, wie es die Benutzer auch tun. Für die Tests habe ich im AD einen Useraccount angelegt, der sonst nicht verwendet wird. Auch da: normaler Domänen-User, keine Admin-Rechte.

 

Vielen Dank für die Hilfe.

Gruß

Martin

 

[Sunny61 806]

OT = OffTopic.

 

Wenn Du einen Server auf Hardware installierst, darfst Du auf diesem Server 2 VMs mit der gleichen Lizenz laufen lassen. Vorausgesetzt, auf dem Hyper-V Host, läuft kein anderer Dienst.

D.h. Du könntest dann einen DC als VM und einen Fileserver als VM installieren und benutzen. Musst du aber nicht, mach so wie Du möchtest.

 

EDIT: Wenn ein DC nur DC ist und ein Fileserver nur Fileserver ist, hat das Vorteile. Die sieht man jetzt vielleicht noch nicht, aber später möglicherweise.

bearbeitet 3. Juli von Sunny61

[ra_martin 0]

Für meine VMs habe ich ein Datacenter auf einem anderen Blech laufen. Und entsprechend dimensioniert.
Wie gesagt, ein Bierchen-Thema.

Mir geht es hier ausschließlich um die Frage, warum ABE auf meinem DC nicht tut und wie ich das reparieren kann.

[Nobbyaushb 1.472]

vor 2 Stunden schrieb ra_martin:

Mir geht es hier ausschließlich um die Frage, warum ABE auf meinem DC nicht tut und wie ich das reparieren kann.

Weil ein DC sich an vielen Stellen anders verhält als ein Member-Server

Daher meine Frage

Und einen Lösungsvorschlag in der Ist-Konstellation habe ich nicht,

da bei dem Umgebungen die ich betreue ein DC eben nur DC ist

Um das bei mir im Lab nachzustellen fehlt mir leider aktuell die Zeit 

Vielleicht hat ja jemand eine zündende Idee 

sorry, kann aktuell nicht weiterhelfen 

bearbeitet 3. Juli von Nobbyaushb