Win2003 - Berechtigungsproblem

[Martint 10]

Hallo Experten

 

ich habe hier eine Anforderung bekommen, die ich umsetzen soll und weiß noch nicht genau wie. Es soll dem Administrator-User die Berechtigung entzogen werden, die Ordnerfreigaben-Berechtigungen zu ändern. Konrekt: es existiert ein Ordner mit vertraulichen Daten, auf die nur der Chef zugreifen soll. Die Berechtigung für den Ordner soll dem Administrator auch entzogen werden. Es soll aber auch sichergestellt sein, dass dieser sich nicht einfach wieder in die Berechtigungsliste einträgt.

 

Wie kann ich das umsetzen??

[Demon72 10]

Das ist unsinn!

[IThome 10]

Der Administrator hat immer die Möglichkeit, sich selbst Berechtigungen zu verschaffen ...

[Forentroll 10]

Dann sag dein Chef doch er soll die Daten in nem Safe schließen.

Und wer soll seiner Meinung nach dem Admin die Rechte nehmen^^ ???

 

Gruß ;)

[Martint 10]

Oder vielleicht andersrum: wie kann ich sicherstellen, dass der Admin nicht Zugriff auf einen bestimmten Ordner erhält?

[IThome 10]

Man kann ihm den Zugriff verweigern. Das bedeutet aber nicht, dass der Administrator sich nicht den Zugriff verschaffen kann. Wenn der Ordner lokal liegt, die Domänenadmins nicht Mitglied der lokalen Administratoren sind und das lokale Administrator-Kennwort dem Domänenadministrator nicht bekannt ist, kommt er da auch nicht rauf ...

[Forentroll 10]

@IThome

Kann er (der Admin) denn nicht trotzdem den Besitz der Dateien zurückerlangen solange er in irgendeiner Admin Gruppe ist?

Sollte ansich keine Rolle spielen ob lokal oder nicht.

[klausk 10]

Wie wär's mit dem Einsatz einer von Windows unabhängigen Verschlüsselungssoftware?

[IThome 10]

Wenn der Domänenadmin nicht Mitglied der lokalen Administratorengruppe ist, kann er es auf der lokalen Maschine nicht. Diese Maschine ist dann aber auch nur noch lokal verwaltbar. Wenn er das lokale Adminkennwort kennt, kann er sich natürlich anmelden und alles rückgängig machen ...

[klausk 10]

Wenn der Domänenadmin nicht Mitglied der lokalen Administratorengruppe ist, kann er es auf der lokalen Maschine nicht. Diese Maschine ist dann aber auch nur noch lokal verwaltbar. Wenn er das lokale Adminkennwort kennt, kann er sich natürlich anmelden und alles rückgängig machen ...

Solange der Server/Rechner Mitglied der Domäne ist kommt der Domänen-Admin drauf, wenn er sich auskennt!

[IThome 10]

Hm, ich überlege gerade, welchen Weg Du meinst ...

Mit fiesen Tools komme ich da auch rauf , wenn ich will (auch wenn er nicht in der Domäne ist) ...

[klausk 10]

Du hast PN ;)

[XP-Fan 220]

Oder vielleicht andersrum: wie kann ich sicherstellen, dass der Admin nicht Zugriff auf einen bestimmten Ordner erhält?

 

Einzigste Lösung in meinen Augen:

 

1. Seperater PC welcher nicht im Netzwerk hängt und nur die berechtigten Pers. arbeiten

2. Verschlüsselter USB Stick, wobei die Daten gefährdet sind bei Beschädigung USB Stick

3. Verschlüsselte USB Platte, wobei man auch über Datensicherung und Restore nachdenken sollte

 

Punkt 1 wäre mein Favorit, wobei eine Datensicherung gemacht werden sollte !

 

So Chefs gibt es mehr wie bei euch im Haus. Aber im Netzwerk ist der Admin Chef ohne wenn und aber, er bestimmt wo und wie es geht, natürlich sollte es immer in Rücksprache mit Chef / Betriebsrat / Verantwortlichen geschehen, aber das Umsetzen obliegt dem Admin.

[Martint 10]

Hallo nochmal

 

danke für Eure Ideen.

 

@klausk

Daran hab ich auch schon gedacht, hast Du was im Hinterkopf, was transparent funktioniert und bezahlbar ist?

 

Das Problem ist halt, dass der Chef die Daten tagsüber im Zugriff braucht, daher sollen die Sachen auf dem Netz bleiben. Es gibt aber in der Firma ein oder 2 Leute, die aufgrund ihrer Arbeit die Admin-Berechtigung haben, bzw. auch das Passwort haben. Chef will eben nun, dass die nicht an diese Daten kommen (u.a. Lohndaten).

 

Das vom Netz zu trennen hab ich vorgeschlagen, wollte er aber nicht, weil es dann in der täglichen Arbeit zu unpraktikabel ist. Das mit der Verschlüsselung hat zumindest für Aufmerksamkeit gesorgt.

[Hirgelzwift 10]

wenn du z.b. PGP nutzt dann kostet eine lizenz nicht wirklich die welt. da kann er verschlüsseln mit key oder mit passwort. ganz nach belieben. passwort find ich flexibler, weil wenn der key futsch geht dann isses zu und dann ist schicht im schacht.