richtige Berechtigungen setzen

[MarcoErb 11]

Guten morgen,

 

folgendes: Wir haben hier einen Domänencontroller laufen und Clients, die sich darauf anmelden, bekommen ein Laufwerk verbunden. Nun haben wir uns da so gedacht. Der Benutzer darf darin Dateien erstellen, soll sie aber anschließend nicht wieder löschen dürfen. Allerdings klappt das nicht wirklich. Der Benutzer erstellt eine Datei und bei dem Versuch, diese zu löschen, wird dies auch erst unterbunden, aber der Benutzer kann sich die Berechtigungen seiner selbst erstellten Datei ändern und somit Vollzugriff vergeben und anschließend löschen.

 

Meiner Theorie nach dürfte es so, wie es ist, auch funktionieren, da es ja die Datei des Benutzers ist, aber der Auftraggeber will's unbedingt so, dass die Datei nicht gelöscht werden darf. Geht das?

 

Mit bestem Gruß

 

Marco Erb

[overlord 10]

-> erweiterte NTFS-Berechtigungen:

´Unterordner und Dateien löschen´ bzw. ´Löschen´ => verweigern!

[MarcoErb 11]

Leider ohne Erfolg.

 

Wenn ich die Datei erstelle, bin ich ja Besitzer und habe laut Philosophie von NT (ist ja darauf aufgebaut) automatisch Vollzugriff auf alles, oder sehe ich das falsch? Demnach wäre es garnicht möglich, dem Benutzer das Recht zu nehmen, Dateien löschen zu dürfen, wenn er der Besitzer ist. Es müsste also eine Möglichkeit geben, dass wenn der Benutzer eine Datei in diesem Ordner neu erstellt (oder verschiebt), ihm automatisch die Besitzrechte weggenommen werden. Gibt es dazu evtl. eine Möglichkeit?

 

Aber schonmal besten dank bis hierhin :D

 

Marco

[overlord 10]

auch wenn ich Besitzer der neuerstellten Datei bin, kann ich sie trotzdem nicht löschen, wenn das verweigern-Recht gesetzt ist!

[FLOST 10]

@Overlord: das stimmt zwar, aber du hast ja das Recht die Berechtigungwen uaf deine Dateien zu setzten wie es dir gefällt.

 

@Marco: nimm den benutzern das Recht die Berechtigungen zu ändern und verweigere das löschen, das klappt es!

 

fg

 

fLOST

[overlord 10]

ok, Nachtrag:

 

...Berechtigungen ändern...Besitzrechte übernehmen ......--> verweigern! ;-)

[MarcoErb 11]

Möp, falsch.

 

Ich schreib mal detalliert auf, was ich mache.

 

Ich Setze für den Ordner folgende Rechte:

 

Benutzer darf:

Lesen, Ausführen

Ordnerinhalt auflisten

Lesen

schreiben

 

Übernehmen

 

dann auf erweitert und da steht jetzt

Typ: Zulassen

Name: 01LZKName (...)

Berechtigung: Lesen, Schreiben, Ausführen

Geerbt von: <nicht geerbt>

Übernehmen: Diesen Ordner, Unterordner und Dateien

 

Diesen markieren und und klicke auf Bearbeiten

 

Jetzt setze ich ein Häkchen bei

Unterordner und Dateien löschen > Verweigern

Berechtigungen ändern > Verweigern

 

OK

 

Jetzt steht in der Berechtigungen-Registerkarte ein neuer Eintrag:

Typ: Verweigern

Name: 01LZKName (...)

Berechtigung: Spezeill

Geerbt von: <nicht geerbt>

Übernehmen: Diesen Ordner, Unterordner und Dateien

 

dann wieder ok und die nächste Meldung klicke ich mit "Ja" weg

 

Eigenschaften dann auch nochmal mit OK wegklicken und soweit bin ich am Server fertig.

 

Jetzt gehe ich zum Client und erstelle in diesem freigegebenen Ordner eine neue x-beliebige Datei.

Würde ich diese nun löschen wollen, geht's nicht, soweit ist klar, jetzt schaue ich mir mal die Sicherheitseinstellungen an:

Zulassen: Lesen,Ausführen/Lesen/Schreiben

Jeweils grau hinterlegt, der rest ist weiß und anklickbar, aber erstmal schaue ich was die erweiterten Berechtigungen sagen: Das selbe wie auf dem Server, aber auch da kann ich z.B. das Häkchen "Vererbbare übergeordnete Berechtigungen übernehmen" wegnehmen.

So, gehe ich nun nochmal zurück und gebe mir Vollzugriff ist bei den erweiterten Berechtigungen nun ein 3. Eintrag (steht ganz oben und das Symbol ist nicht transparent dargestellt wie die anderen beiden) und da habe ich bei zugelassen überall ein häkchen.

 

So kann ich die Eigenschaftsdialoge wegklicken und die Datei löschen was ja nicht in diesem Sinne ist.

 

Ich bin als ganz normaler Domänenbenutzer eingetragen, ohne lokale Administrationsrechten oder sonstigen Einstellungen.

 

Entweder das ist ein fehler seitens Win 2003 Server oder wie ich denke liegt es daran, dass der Besitzer eh alles mit seiner Datei anstellen darf, auch wenn die übergeordnete Ordnerberechtigung versucht dieses zu verhindern.

 

Marco :D

[MarcoErb 11]

Besitzrechte übernehmen ......--> verweigern!

 

auch das geht nicht. hab ja schon überall mal auf verweigern gesetzt bis auf Ordner durchsuchen, Ordner auflisten und Dateien erstellen und das hat nichts gebracht. :(

[overlord 10]

weiß ja net was du treibst....???... ;-)

aber wenn du die Rechte richtig setzt gehts auch!

 

Ordner (normale NTFS-Rechte):

Lesen,Auflisten, Ordnerinhalt auflisten,Lesen

 

Erweitert für Benutzer:

-> verweigern:

Unterordner+Dateien löschen, Löschen, Berechtigungen ändern, Besitzrechte übernehmen

 

BASTA!...dann klappts auch mit dem Nachbarn! ;-)