Berechtigungen per ACL gesetzt - dennoch uneingeschränkter Zugriff

[Posanity]

Hallo Gemeinde,

ich habe auf meiner DS einen freigegebenen Order "XY". Via Explorer habe ich Berechtigungen gesetzt, dass ADMIN und USER1 darauf zugreifen können, USER2, USER3 und USER4 habe ich sämtliche Berechtigung verweigert. Und dennoch kommen alle USER auf diesen Ordner, können ihn bearbeite und sogar Dateien löschen.

Was habe ich falsch gemacht?

LG
Matthias

 

[Struppix]

Hi Matthias,

nur zur Sicherheit:

Unter den im Explorer eingetragenen Usern sind nur die genannten zu finden ?

Deine User sind auf der DS keiner gemeinsamen Gruppe zugeordnet ?

Man kann im Übrigen auch Gruppenrechte so vergeben, das sie letztlich als Einschränkung dienen, zB: nur lesen oder auch nicht löschen.


Gruß
Struppix

ergänzt: Bitte beachte, daß bei Vergaben von Rechten für Ordner, Du die Rechte auch für alle Dateien, Ordner usw. in dem Ordner anwenden mußt.

 

[Posanity]

Schönen guten Morgen!

Öhhmmmmmmmmmmmmp......? Jetzt überforderst du mich gerade! ;-)

Im Explorer eingetragene User....? Was meinst du damit?

Also der einzelen Benutzer ist der Gruppe "Clients" zugewiesen. Aber in dieser Gruppe habe ich die Privilegieneinstellung ALLE deaktiviert, also keine Häkchen gesetzt.

LG
Matthias

 

[Struppix]

Schönen guten Morgen!

Öhhmmmmmmmmmmmmp......? Jetzt überforderst du mich gerade! ;-)

Im Explorer eingetragene User....? Was meinst du damit?

Also der einzelen Benutzer ist der Gruppe "Clients" zugewiesen. Aber in dieser Gruppe habe ich die Privilegieneinstellung ALLE deaktiviert, also keine Häkchen gesetzt.

LG
Matthias

Also unter Explorer Freigaben sollten halt nur die User auftauchen, die 'freigegeben' oder 'gesperrt' sind. Andernfalls dürfen Sie keine Rechte haben.

Wenn Du ALLE in der Gruppe deaktivierst, wieso brauchst Du sie dann ?

Mach mal bitte ein zwei Bilder ...



Hier mal ein einfaches Beispiel auf Gruppenbasis. Es verhindert das Löschen oder Überschreiben von Dateien. Nachteil, Dateien können vom User nicht mehr geändert werden.




Struppix

 

[Posanity]

Hi,

mal als Beispiel:



Ich möchte halt, dass NUR die User "Admin", "Sassi" und "SassiLaptop" auf den gemeinsamen Ordner "Franziska" Zugriff haben. Allen anderen soll der Zugriff verweigert werden.

LG
Matthias

 

[Struppix]

Hi Matthias,

verstanden. Dann ändere / überprüfe mal folgendes.

1) entferne bitte die Rechte von dem User 'Jeder', wie gerade zu sehen, oder entferne ihn komplett.
2) Achte in der Rechtevergabe der DSM bitte daurauf, das das Share ( in dem Fall "Franziska" ) nur für die genannten User zugänglich ist.
3) Setze bitte den Schalter 'auf Ordner, Unterordner und Dateien anwenden'.
4) Wende dies auf das gesamte Share ( den Ordner ) an.
5) Sollten später neue Ordner und Dateien hinzukommen, erben diese die Rechte.

Dann sollte es klappen. Diese Schritte sollten nur als Admin oder User mit Admin-Rechten möglich sein.

Achtung: Wenn Du später in Dateibrowser des DSM wieder Rechte änderst, werden die ACL Rechte überschrieben. Also Meldungen, er spuckt vorher eine Warnung aus, ernst nehmen.


Struppix


Im Anhang das Beispiel von oben.


Share Video/Private - Alle User haben ALLE Rechte außer löschen


Der User XXX kopiert die Datei in einen anderen Ordner und die Datei erbt die Ordner-Rechte



und obwohl der User der neue Besitzer der Datei ist


darf er sie in diesem Ordner nur noch lesen ( so gewollt und eingestellt ), da für diesen Ordner seine Gruppenrechte nicht vorhanden sind.

 

[Posanity]

Hi,

und danke für deine Hilfe und Geduld. Aber ich bekomme es einfach nicht hin. Scha mal, ich kann nichts einstellen:



Kann ich die/alle Berechtigungen irgendwie "resetten" ?

LG
Matthias

 

[Struppix]

Wer bitte ist bei Dir der system default user

Ja kann man auf verschiedenste Weise machen. Nur weshalb, Du hattest doch vorhin schon alle drin, die Du brauchst.

1) den DiskStation - admin
2) den / die gewünschten User

Ein Möglichkeit für ein Reset kann man damit erreichen, indem man in der DSM alle Rechte wieder voll setzt. Die Gruppen und User Einträge werden damit nicht gelöscht. Ich würde hier Admin Gruppe User setzen.


Struppix

 

[Posanity]

Hi,

egal wem ich Rechte gebe oder nehme...trotz allem kann jeder auf jedem Ordner zugreifen....UND LÖSCHEN!

Ich richte hier über meinem Desktop die Rechte ein und versuche dann über das Notebook auf die Ordner, die ich normalerweise für diesen gesperrt habe, zuzugreifen. Das geht auch und ich kann löschen.

Da läuft doch was schief...?

Was meinst du mit "Ich würde hier Admin Gruppe User setzen." ???

LG
Ein völlig verzweifelter
Matthias

 

[Struppix]

Auf der DSM, also im Browser der DSM die Rechte setzten

User: admin
Group: user

Alle Rechte auch für Unterordner.


Ich glaube im Übrigen, Du hast einen Denkfehler !

Es gibt 2 Wege dies zu tun

1) Du nimmst allen alle Rechte und gibst nur die frei die sie brauchen ==> der beste Weg
2) Du gibst allen die Rechte und schränkst sie dann wieder ein.


Den Anfang must Du aber in der DSM machen, sodaß wenn dort nur jeweils ein User ein Verzeichnis hat, dann bräuchtest Du ACL nicht mehr.

Hast Du schon mal die Home Verzeichnisse, also die User eigenen Shares angeschaut ...

Da hat nur der und wirklich der User und der Admin Zugriff. Dies kannst Du genauso als LW einbinden.


Wenn Du ausgefallene Rechte brauchst, kommst Du hingegen um ACL nicht umhin.

Struppix

 

[Posanity]

So!

Ich habe nun mal einen Test gemacht. Ich habe von meinem Desktop aus als Admin Rechte verteilt. Ich habe im Explorer diverse Einstellungen gemacht, für User Ordner gesperrt und dennoch konnte ich dann mit meinem Notebook, für den eigentlich der Zugriff total gesperrt war, zugreifen und löschen.

Also habe ich in der DS Rechte mal neu vergegeben. Rechner und DS neu gestarten, aber nichts hat sich geändert. Die Explorer-Einstellungen waren immer noch die gleichen, ebenso wie in der DS. Ich habe den Eindruck, dass die beiden System einfach nicht richtig miteinander kommunizieren. Allerdings, wenn ich in der DS ACL abschalte, dann wird dies auch entsprechend im Explorer die "Sicherheit" nicht mehr angezeigt.

Ich werde noch blöde - wenn ich es nicht schon bin...

LG
Matthias

 

[Struppix]

Hi Matthias,

nun mal nicht gleich durchdrehen

Also fangen wir mal ganz von vorne an.

1) Was willst Du machen ? Es soll User bezogene Shares geben, die nur diesen Usern zugänglich sind, richtig ? Für diesen Zweck gibt es die home-Ordner der einzelnen User, für die man nichts sonderlich einstellen muß. Schon mal getestet ? Schau mal in die User Verwaltung unter 'Benutzer-Home'.

2) Wieso, möchtest Du bestimmte Ordner nur bestimmten Usern zugänglich machen, rhethorische Frage, da hierfür doch die Shares ( Gemeinsame Ordner ) ideal wären.
Es ist nicht sinnvoll, diverse Unterordner mit Rechten einzuschränken, wenn die "darüberliegenden" wieder andere Einschränkungen und Berechtigungen haben.

3) Vorausgesetzt, Du nutzt bereits einzelne Gemeinsame Ordner, die nur für den entsprechenden User zugänglich sind. Dann erlaube nur diesem User per DSM Rechteverwaltung den Zugang und fertig.

4) Wenn ein ander User nicht in das Verzeichnis darf, wieso sieht er es dann überhaupt ? Abgesehen von einigen Sicherungslaufwerken macht das doch keinen Sinn.

5) Sinnvoll ist doch, das der User sich über sein PC login und Passwort eindeutig identifiziert und auch nur die LW zu gesicht bekommt, die für Ihn bestimmt sind.

6) Du scheinst das Pferd von hinten zu besteigen, sorry. Bitte erlaube doch mal grundsätzlich für die Gemeinsamen Ordner, nur da macht es wirklich Sinn, nur Berechtigungen für den User, und werfe alle außer dem Admin und vorerst alle Gruppen raus !!!!

7) Du mountest / verbindest alle LW auf den PC's nur mit dem Login und dem PW des angemeldeten Users, und auch nur die, die für Ihn bestimmt sind.

Danach sollte alles ohne ACL gehen.

Willst Du dennoch verschiedenste Unterordner mit erweiterten Rechten ausstatten, wie zB. bei mir mit Gruppenrechten, dann müssen zuerst die Grundrechte im DSM stimmen.

Also das ganze Beispiel mit 3 Usern. Wie zuvor beschrieben bekommen alle 3 User dann die gleichen Rechte im DSM !!!!

Per ACL werden dann die beiden, die diese nicht bekommen, wieder entmachtet, also werden Ihnen die Rechte weggenommen. Diese Variante ist jedoch ein wenig unsicher, da beim Vererben von Rechten der übergeordneten Struktur, schnell falsche Rechte weitergegen werden können, was problematisch ist.


Nun zum Schluß: Beschreibe mal ganz genau was Du machen möchtest, und erkläre wie der / die User und die der / die Gemeinsamen Ordner angelegt sind.


Struppix

 

[Posanity]

Hi,

und erstmal vielen lieben Dank für deine Engelsgeduld! Respekt!

Ich hoffe, ich habe den unter Punkt 6 aufgeführten Satz "Du scheinst das Pferd von hinten zu besteigen..." nicht falsch verstanden. Auf jeden Fall hat er mich in dieser Sache wenigstens mal zum schmunzeln gebracht..:!

Aber zurück zum Punkt: Ich hatte alles mal so, wie ich es mir vorgestellt habe, zum Laufen gebracht. Und da hat das auch mit den Rechten funktioniert. Aber ich wollte es ja perfektionieren... Und nun bekomme ich es nicht mehr hin (Never change an running system....).

Also mal von gaaaanz vorne:

In meiner DS211j (genannt NETZWERK-SERVER) habe ich zwei Festplatten. Eine 2 TB HDD, genannt DATENBANK, die eben für diverse Daten wie Bilder, Musik, Filme und Dokumente gedacht ist, so wie auch als zentrale Station für Kalender und Adressbuch. Die zweite Platte ist eine 3 TB HDD, die reinweg für die Datensicherung gedacht ist. Daher auch der Name BACKUP.

In meinem Netzwerk habe ich insgesamt fünf Rechner. Nämliche meinen Desktop (nennen wir ihn hier USER1), das Notebook meiner Frau (USER2), den Desktop meiner großen Tochter (USER3) und deren Notebook (USER4) und der Desktop meiner jüngsten Tochter (USER5). Diese User sind auf Windows (7 Professional) auf "Standardbenutzer" eingestellt. Auf jedem der Rechner ist aber nochmals ein Client namens ADMIN als Administrator erstellt.

Im DSM sind auch genau diese User angelegt (neben den Standards Admin und Guests). Auf jedem Rechner habe ich das LW "C" als "SYSTEM-DATEN" und das LW "D" als DYNAMISCH DATEN" eingerichtet. Nun sollen die einzelnen User aber auch auf veschiedene Ordner auf der DS zugreifen können. Aus organisatorischen Gründen und um hier die Übersicht zu behalten und nicht eine Batterie an Laufwerken anzulegen (ich möchte ja meine Damen nicht überfordern ), habe ich ein weiteres, recht kleines LW "A" als "DATENBANK" erstellt. In dieses Laufwerk habe ich dann nur die Verknüpfungen der gemeinsamen Ordnern hinterlegt, die der einzelne User auch nutzt.

Beispiel: Es gibt folgende gemeinsame Ordner in der DS

DATEN ADMIN - der ausschließlich dem Admin (ADMIN) zugewiesen werden soll, kein anderer soll hier Zugriff haben.
DATEN USER1 - ausschließlich Daten von USER1, kein anderer soll hier Zugriff haben.
DATEN USER2 - ausschließlich Daten von USER2, kein anderer soll hier Zugriff haben.
DATEN USER3/4 - ausschließlich Daten von USER3 und USER4, kein anderer soll hier Zugriff haben.
DATEN USER5 - ausschließlich Daten von USER5, kein anderer soll hier Zugriff haben.
MUSIC - der Musik-Ordner, jeder USER soll NUR Lese-/Ausführungszugriff haben.
PHOTO - der Foto-Ordner, jeder USER soll NUR Lese-/Ausführungszugriff haben.
VIDEO - der Video-Ordner, jeder USER soll NUR Lese-/Ausführungszugriff haben.
SHORTS - eine gemeinsamer Ordner, öffentlicher Ordner, um im Netzwerk Datenauszutauschen (z. B. ein Download, der auf alle Rechner installiert werden soll)
BACKUP - der ausschließlich dem Admin (ADMIN) zugewiesen werden soll, kein anderer soll hier Zugriff haben. Dies ist das VOLUMEN2 der DS, auf der ich sämtliche Backups mache, auch das komplette VOLUMEN1 der DS.

Nun möchte ich als Beispiel meiner jüngsten Tochter (USER5) ihren Ordner DATEN USER5, MUSIC, PHOTO, VIDEO und SHORTS als Verknüpfungen im LW "A" hinterlegen, so dass sie beim öffnen des Explorers diese direkt angezeigt bekommt (was ja auch soweit funktioniert). In den Ordnern DATEN USER5 und SHORTS soll sie soviel "rumspielen" können, wie sie will. Aber dennoch sollte ihr Ordner DATEN USER5 z. B. über das Netzwerk im Explorer für andere unantastbar sein. Ebenso soll sie zwar die Ordner MUSIC, PHOTO und VIDEO anschauen, jedoch keine Änderungen wie hinzufügen oder löschen machen können.

Und genau hier liegt der Hund begraben. Ich kann einstellen was ich will. Ob vom DSM oder als Admin im Explorer. Gehe ich an einen anderen Rechner, für den der Zugriff auf DATEN USER5 gesperrt sein soll, kann ich über diesen trotzdem die Daten ansehen, veränder oder gar löschen. Aber hier soll der Zugriff eigentlich verweigert sein.

Ich weiß einfach nich was ich falsch mache. Du vielleicht?

Ich hoffe, dass ich es endlich geschafft habe zu erklären, worauf ich hinaus möchte.

Nochmals vielen lieben Dank!

LG
Matthias

 

[Struppix]

Hi Matthias,

um es mal salopp auszudrücken, ich empfinde Deine Struktur richtig gut, nahezu perfekt. Tolle Beschreibung ...

Nun habe ich noch vier Fragen:

1) die Ordner der User sowie alle anderen sind Shares ( "Gemeinsame Ordner" ) auf der DS, richtig ?
2) soll bzw. darf der Admin auf den Ordnern der User über Windows auch Zugriff haben ?
3) die öffentlichen Ordner dürfen vom Admin aus Windows beschrieben werden ?
4) wie stellst Du Daten ( welches WZ ) und unter welchem User in die öffentlichen Ordner ein ?

Struppix

 

[Posanity]

Hi

1) die Ordner der User sowie alle anderen sind Shares ( "Gemeinsame Ordner" ) auf der DS, richtig ?
Das ist absolut richtig!

2) soll bzw. darf der Admin auf den Ordnern der User über Windows auch Zugriff haben ?
Ja, er soll die "totale Kontrolle" behalten.

3) die öffentlichen Ordner dürfen vom Admin aus Windows beschrieben werden ?
Ja.

4) wie stellst Du Daten ( welches WZ ) und unter welchem User in die öffentlichen Ordner ein ?
UPS...die Frage verstehe ich nicht. Was ist WZ? Stehe auf dem Schlauch... ;-(

LG
Matthias

 

[Posanity]

Hi,

noch ein kleiner Zusatz.

Ich habe jetzt mal sämlichte Berechtigungen aus den gemeinsamen Ordner gelöscht. Habe im DSM ACL bei allen gemeinsamen Ordnern deaktiviert. Dann habe ich die DS runtergefahren und ich konnte auch über den Explorer die "Sicherheit" nicht mehr ersehen. Dann habe ich im DSM wieder ACL bei allen aktiviert. DS und Rechner runtergefahren und neu gestartet. Nun sehe ich im Explorer zwar wieder die "Sicherheit", jedoch mit dem Vermerk:

"Für dieses Objekt haben weder Gruppen noch Benutzer die erforderlichen Zugriffsrechte. Der Besitzer des Objekt kann jedoch Berechtigungen zuweisen."

Ist doch irgendwie merkwürdig, oder?

LG
Matthias

 

[Struppix]

Hi Matthias,

WZ oder WKZ bedeutet bei mir im Job Werkzeug, also hier die Frage, schiebst Du Sie mit dem Explorer oder per DSM rein.

Die Meldung ist denke ich doch logisch. Da Du alle Rechte im DSM gelöscht hast, kann niemand zugreifen.
Wenn niemand Rechte hat, und nur der Besitzer diese ausüben darf, kommt diese Meldung.


Also folgendes:

1) Ich würde wie von Dir beschrieben, alle User incl. Admin anlegen.
2) Dann würde ich eine Gruppe anlegen, nennen wir sie Home ( Du kannst auch die Standard verwenden, siehe meine Darstellungen ).
2a) Solltest Du Dich später entscheiden, eine Deiner Damen auch zum Teil Administrator zu ernennen, kannst Du auch für diese eine Gruppe einrichten, zB. Ebene1, Ebene2 oder auch layer1, layer2 oä. Je höher, je mehr Rechte, wobei wir nach unten "bauen".
3) Alle User werden nun der Gruppe Home zugeordnet.

Zu den Rechten:

4) der Admin erhällt alle Rechte auf alle Shares; alle Daten der öffentlichen gemeinsamen Ordner werden dem Admin und der Gruppe Home zugeordnet.
5) die Gruppe Home erhält alle Rechte auf die Daten der öffentlichen gemeinsamen Ordner.
6) die Einzeluser erhalten alle Rechte auf die Daten der öffentlichen gemeinsamen Ordner und natürlich Ihre eigenen.

==> test dies nun vorerst an einem Beispiel, bitte beachten die Anwendung auf Ordner, Unterordner und Dateien.
7) die Einzelordner ACL Rechtesteuerung: ( Admin = Vollzugriff; Einzeluser = beschränkter Zugriff = 'Berechtigungen ändern', würde ich löschen ==> schau mal ob beim Kopieren über LW alle rechte richtig vererbt werden )
8) die öffentlichen gemeinsamen Ordner: ( Admin = Vollzugriff, Gruppe Home = beschränkter Zugriff = Berechtigungen nach Deinen Vorstellungen )


Das sollte es auch schon sein. Ich hoffe es ist verständlich und wer Fehler findet bitte kurze Info.

Wenn es dennoch nicht klappt, schau Dir bitte mal die Rechte der einzelnen Ordner und Dateien an. Im Normalfall werden diese beim einstellen per ACL geändert, aber man weiß ja nie. Außerdem kann es sein, daß der falsche Besitzer drin steht.


Viel Spaß beim Testen
Struppix

 

[Posanity]

Hi Matthias,
Hi!

WZ oder WKZ bedeutet bei mir im Job Werkzeug, also hier die Frage, schiebst Du Sie mit dem Explorer oder per DSM rein.
In der Regel mit dem Explorer!

Die Meldung ist denke ich doch logisch. Da Du alle Rechte im DSM gelöscht hast, kann niemand zugreifen.
Wenn niemand Rechte hat, und nur der Besitzer diese ausüben darf, kommt diese Meldung.
Aber laut DSM sind noch alle Regeln drin!


Also folgendes:

1) Ich würde wie von Dir beschrieben, alle User incl. Admin anlegen.
Sind bereits angelegt.

2) Dann würde ich eine Gruppe anlegen, nennen wir sie Home ( Du kannst auch die Standard verwenden, siehe meine Darstellungen ).
Auch HOME ist ja bereits angelegt.

2a) Solltest Du Dich später entscheiden, eine Deiner Damen auch zum Teil Administrator zu ernennen, kannst Du auch für diese eine Gruppe einrichten, zB. Ebene1, Ebene2 oder auch layer1, layer2 oä. Je höher, je mehr Rechte, wobei wir nach unten "bauen".
3) Alle User werden nun der Gruppe Home zugeordnet.

Zu den Rechten:

4) der Admin erhällt alle Rechte auf alle Shares; alle Daten der öffentlichen gemeinsamen Ordner werden dem Admin und der Gruppe Home zugeordnet.
5) die Gruppe Home erhält alle Rechte auf die Daten der öffentlichen gemeinsamen Ordner.
6) die Einzeluser erhalten alle Rechte auf die Daten der öffentlichen gemeinsamen Ordner und natürlich Ihre eigenen.

==> test dies nun vorerst an einem Beispiel, bitte beachten die Anwendung auf Ordner, Unterordner und Dateien.
7) die Einzelordner ACL Rechtesteuerung: ( Admin = Vollzugriff; Einzeluser = beschränkter Zugriff = 'Berechtigungen ändern', würde ich löschen ==> schau mal ob beim Kopieren über LW alle rechte richtig vererbt werden )
8) die öffentlichen gemeinsamen Ordner: ( Admin = Vollzugriff, Gruppe Home = beschränkter Zugriff = Berechtigungen nach Deinen Vorstellungen )


Also ich denke, ich mache doch genau was du hier schreibst. Ich werde jetzt nochmals im DSM sämtliche "Benutzer", "Gruppen" und "Gemeinsamer Ordner" auf volle Freigabe (lesen/schreiben) setzen. Danach werde ich die DS neu starten und dann versuchen, über den Explorer die ACL-Änderunge vorzunehmen. Ich werden berichten...

Tausen Dank für deine Hilfe!!!


Das sollte es auch schon sein. Ich hoffe es ist verständlich und wer Fehler findet bitte kurze Info.

Wenn es dennoch nicht klappt, schau Dir bitte mal die Rechte der einzelnen Ordner und Dateien an. Im Normalfall werden diese beim einstellen per ACL geändert, aber man weiß ja nie. Außerdem kann es sein, daß der falsche Besitzer drin steht.


Viel Spaß beim Testen
Struppix

LG
Matthias

 

[Struppix]

Hi Matthias,

ein Neustart ist normalerweise nicht zwingend nötig.

Wichtig ist, daß alle User mit Ihrem Login und Ihrem Passwort am PC angemeldet sind, und auch so die Netzlaufwerke verbunden sind.
Oft kommt es zu Problemen, wenn verschiedene Netwerkfreigaben mit verschiedenen Usern stattfinden.

Bitte checke auch nochmals die Besitzrechte. Im Zweifel für die Einzeluser halt im DSM umstellen.

Struppix

 

[Posanity]

Hi,

die Besitzrechte....wie müssen die denn aussehen und wie kann ich die in der DSM umstellen?

LG
Matthias