Userrechte OK - Gruppenrechte nicht!

[siebi 10]

Hallo,

 

ich beschäftige ich erst frisch mit Benutzerrechten unter W2K3 ADS, aber verzweifle schon.

 

Eigentlich will ich jetzt nur mal eine lokale Sicherheitsgruppe mit mir als User anlegen und in einem Verzeichnis die vollen Rechte der Gruppe, also auch mir gewähren.

 

Wenn ich jetzt eine Datei aus diesem Verzeichnis löschen möchte gelingt mir das nicht, obwohl ich bei den efektiven Rechte alle angezeigt bekomme.

Füge ich mich als einzelner Benutzer diesem Verzeichnis hinzu, klappt es sofort.

 

Wir haben aber auch Gruppen, die letzte wurde vor ca. 2 Jahren angelegt wo das funktioniert.

 

Kann mir jemand einen Tipp geben, was falsch sein könnte oder was ich falsch mache?

 

Danke.

[phoefliger 10]

gib mal deine berechtigung durch...

freigabe und filesystem...grüsse

[Christoph35 10]

Hast Du Dich, nachdem Du der Gruppe hinzugefügt wurdest, auch mal neu angemeldet?

 

/edit: vergiss es, ich glaub, ich hab zu schnell gelesen.

 

Gibt es irgendwelche speziellen Berechtigungen für Gruppen, denen man nicht explizit zugewiesen werden kann: Authenticated Users etc..?!

Ist es eine Multi-Domain-Umgebung?

 

Christoph

[siebi 10]

Wir haben nur eine Domain.

 

Ich glaube, dass ich etwas weiter bin.

 

Ich habe in einem Unterverzeichnis die Rechtevererbung aufgehoben und für eine Gruppe neu definiert. Das Verzeichnis ist hat aber auch eine Freigabe und durch das aufheben der Vererbung habe ich mir wahrscheinlich diese Berechtigung entzogen.

[IThome 10]

Hast Du auch die Beziehung zwischen Freigabeberechtigungen und NTFS-Berechtigungen bedacht ? Wenn Du Dich über das Netzwerk mit dieser Freigabe verbindest gilt: Die am meisten restriktive Berechtigung ist die effektive Berechtigung ...

@Christoph

Ich hätte auch gedacht, dass er sich nicht ab- und wieder angemeldet hat

[siebi 10]

Ich fürchte, dass ich noch nicht ganz Sattelfest in dieser Hinsicht bin (Novell geschädigt).

 

Ich schreibe mal etwas konkreter wie das bei uns so aussieht:

 

Auf Freigabeebene:

 

Verzeichnis: D:\data

Freigabename: data

Berechtigung: Vollzugriff -> Jeder; Ändern -> Jeder; Löschen -> Jeder

 

Sicherheit:

Gruppe Administratoren -> Vollzugriff zugelassen

Gruppe datenRWXD -> Ordnerinhalt auflisten zugelassen

 

Auf Filesystemebene:

data\gruppen\edv\test

Berechtigung: Lokale Sicherheitsgruppe "Rechtetest" hat Vollzugriff

Ich als Benutzer bin dieser Gruppe zugefügt.

Ich kann ins Verz. rein, aber nichts machen.

Effektive Berechtigungen für mich als User wird alles angezeigt.

 

Was hat es denn mit dem An- Abmelden auf sich. Meine Änderungen haben imer sofort gezogen.

[IThome 10]

Aber nicht, wenn Du Dein Konto einer Gruppe zufügst. Die SID wird Deinem Sicherheitstoken zugefügt, aber erst, nachdem Du Dich an- und wieder abgemeldet hast ...

In welchen Gruppen ist das Konto noch Mitglied ?

[Christoph35 10]

An- und Abmelden wird dann relevant, wenn Du die Berechtigungen über Gruppen vergibst, wie es Best Practice ist. Dann fügst Du einen User einer Gruppe hinzu. Zugriff auf den Ordner bekommt der User erst dann, wenn er sich ab und wieder angemeldet hat, weil erst dann die SID der Gruppe seinem Security Token hinzugefügt wird.

 

Bei Deinem Posting ist mir noch etwas unklar (vielleicht liegts daran, dass ich keine Ahnung von Novell habe :D).

 

Was hat es mit dieser Gruppe datenRWXD auf sich?

 

Hat der Ordner "test" die Freigabe?

 

Wie ist die berechtigung auf den Ordnern über "test"? Spielt aber kein Rolle, wenn die Freigabe auf dem Ordner "Test" liegt.

 

/edit: ITHome war schneller :D

 

Christoph

[siebi 10]

Alle User sind in der Gruppe datenRWXD und diese hat auf der Freigabeebene das Recht "Ordner auflisten", vererbt bis in das letzte Verz.

 

Test ist keine Freigabe, sondern nur ein Subdir.

 

An- Abmelden hat wunder vollbracht. Danke für die Aufklärung.

 

Ich versuche jetzt meine, mittlerweile Chaos-Test Umgebung mit div. Sicherheitsgruppen ins reine zu bringen. Mal schauen, ob dann noch alles funktioniert.

 

Bei Novell sieht man wer worauf welche Rechte hat, ohne Umwege. Dem ist m.E. nichts hinzuzufügen. Außer das es nicht so schön bunt ist und immer so funktioniert, wie es sollte. Aber wer will das heutzutage noch wissen? Deshalb Mühe ich mich jetzt mit Windows ab.

 

Aber bei so viel Hilfe von Euch, brauche ich wohl keine Angst mehr zu haben.

 

Vielen Dank.

[IThome 10]

Den Novell-Look kannste auch haben, mit Access Based Enumeration ;)

[siebi 10]

Eigentlich meinte ich nicht, dass die Verzeichnisse vor den Usern verborgen bleiben sondern das Problem als Admin die Rechte der Benutzer zu sehen ohne Dumpsec o.ä.

 

Aber Access Based Enumeration kann trotzdem nochmal interessant für uns werden.

Danke

[IThome 10]

Ach übrigens, wenn Du ABE installierst, achte mal auf das Symbol, hat unheimliche Ähnlichkeit mit ... ;)