Domäne mit 5 Servern

[rodman1980 10]

Hallo Zusammen!

 

Ich hätte da noch eine Frage in Sachen Berechtigung:

 

Ich habe 5 Server und möchte diese in einer eigenen Domäne eröffnen beziehungsweise einbinden. (Domäne gibt es noch nicht, das heisst einer dieser Server wird der PDC und ein weiterer der BDC)

 

Anschliessend werden die Berechtigungen für die einzelnen Benutzer verteilt. Ist es möglich, dass ich einem Benutzer auf dem PDC die Administratorenrechte erteile, dieser aber trotzdem nicht auf zwei andere Server in der Domäne zugreifen kann. Diese Server beinhalten heikle Daten, welche auch für diesen Benutzer tabu sind.

 

Kurz gefasst: Dieser Benutzer benötigt die Adminrechte auf drei Servern, darf aber keine Rechte und kein Zugriff auf die übrigen zwei Server haben.

 

Vielen Dank für Eure Bemühungen

 

Greets :o)

[Xheon 10]

Wäre möglich, wenn du die NTFS Berechtigungen richtig anwendest.

 

Füge den Benutzer einfach bei den zwei Server in die Freigabe und NTFSBereichtung und erteile Ihm: kein Zugriff

 

Dann wird er auch wenn er in der Admingruppe ist den Zugriff verweigert - musst es aber angeben in der Berechtigung - User eintargen un recht entziehen. Sonst gehts nicht.

[reinersw 10]

Hai,

 

erkläre doch bitte mal, mit welchem BS das gemacht wird. PDC und BDC hört sich nach NT 4.0 an?

 

reinersw

 

 

---------------------------------------

knapp daneben ist auch vorbei

[rodman1980 10]

Es handelt sich hier um das BS Windows 2000 (Server).

[Xheon 10]

Via richtige Vergabe von Berechtigungen sollte es gehen Usern den Zugriff zu entziehen. Spielt keine Rolle on W2k oder Nt - NTFS und Freigabeberechtigung funktioniert immer noch gleich.

[Nonaminus 10]

Also W2K hat keine BDCs mehr... soviel dazu.

 

Aber warum möchtest du Administratoren auf manchen Maschinen einloggen ermöglichen und auf anderen nicht?? Mit AD ist das nicht wirklich sinnvoll...

 

 

Mach ihn doch lieber nicht zum Admin, sondern mach eine andere Gruppe auf. Und mach dann ne "administrative Delegierung" von seiner WKS aus. Dann kann er die arbeiten erledigen, die dort erlaubt sind, und alles andere ist tabu.

 

Und für Datenzugriff erhält die Gruppe halt Zugang.

[rodman1980 10]

Dieser Benutzer benötigt die Adminrechte auf diesen Maschinen, da er aktiv Konfigurationen vornehmen muss.

 

Problem ist eben der Datenzugriff, dieser darf nicht ermöglicht werden. Diese Daten dürfen nicht eingesehen werden.

[Nonaminus 10]

Hi,

 

dann leg ihn in ne Gruppe, die zwar was machen kann, aber sicher die Daten vor ihm. Mach das einfach im NTFS. Aber dann sollte er auch keine Möglichkeiten haben, Berechtigungen im NTFS zu ändern.

 

Das ist das alte ITler-Problem. Der soll alles tun können, aber er darf nicht drauf, weil er was lesen kann.

 

Wenn du die Anmeldung auf 3 Server begrenzt, kann er sich sehr einfach die Rechte für die anderen 2 geben...

 

Ein echtes Dilemma.

 

Wenn es die Aufgaben zulassen, mach ne Delegation...

[Mohadip23 10]

Wenn du mehrere Controller unter 200 hast (gehe mal davon aus)

Kannst du z.B. einen alleinstehenden Server davon machen oder den Controller unterhalb deines 1 Controllers stellen und somit Site aufbau (oder andere Sachen) damit gibst du dir die Möglichkeit die Rechte auf gewisse Domcontrollern zu beschränken. D.H. das der Admin auf dem Ersten Controller alles Rechte nach unten hat under Admin auf dem unteresten Controller keine Rechte auf die die darüberliegen hat.

 

DC1

I

I

DC2

I

I

I

I

DC3 usw je nachdem was du hast oder machen möchtest

 

 

moha23

[reinersw 10]

Hai rodman1980,

 

kauft Euch die Novell NDS für NT. Damit geht das ohne weiteres. Bei ADS ist das etwas schwieriger und ich könnte auf Anhieb nicht hundertpro sagen, wie es gemacht werden muss. Da müsste ich selbst mal eine Weile lang drüber anchdenken und probieren.

 

reinersw

 

---------------------------------------

knapp daneben ist auch vorbei

[Milchmixtrinker 10]

He, warum macht ihr es so schwer?

 

Versucht es doch einfach mal mit der Remoteadministration...

Jeden 2000 Server kann man per ferzugriff Administrieren.

Einfach eine Gruppe anlegen und dann per Richtlinie das freischalten, oder beschränken was der User darf und was nicht..

 

Die zweite Möglichkeit wäre das ganze über die mmc zu steuern.

Erstens hat er keine Laufwerke und zweitens kann er darüber alles kontrollieren was für die Administrative tätigkeit notwendig ist.