Berechtigungen: Zugriffsverbot mit Zugriffserlaubnis überschreiben?

[Zoahr]

Ich habe eine Frage zur Vorgehensweise bei der Berechtigungsvergabe für eine Ordnerstruktur. Das ganze sieht folgendermaßen aus:
- gemeinsamer Ordner
- Unterordner 1
- Unterordner 2
- Unterordner 3
- .....

Auf den gemeinsamen Ordner haben natürlich alle Nutzer Zugriff, aber auf die Unterordner sollen nur spezifische Nutzer Zugriff erhalten. Da es sich hier um Projektordner handelt, kommen immer wieder neue dazu und immer wieder mit eigenen Berechtigungen für die Nutzer, die an dem Projekt arbeiten (alle anderen sollen keinen Zugriff darauf erhalten).

Mein Gedanke war jetzt erst einmal, allen Nutzern die Berechtigungen für alle Unterordner zu entziehen ("everyone" "deny"), und dann spezifischen Nutzern wieder Lese- und Schreibrechte zu geben. Das Problem ist, dass das Verbot scheinbar die Erlaubnis überschreibt; sobald ich einmal jedem den Zugriff verboten haben, wirkt auch eine spezifische Erlaubnis nicht mehr. Hinzu kommt, dass der Ordner dann unter Windows (Zugriff mit WebDAV) nicht mehr angezeigt wird.

Gibt es da eine elegantere Möglichkeit, um die Ordnerberechtigungen ohne viel Aufwand zu setzen? Ich möchte nicht immer 30 Einzelberechtigungen vergeben ;-). Also kann ich vllt. doch mit einem spezifischen "allow" ein allgemeines "deny" überschreiben?

Vielen Dank schonmal für eure Hilfe und liebe Grüße
Zoahr

 

[AndiHeitzer]

Also kann ich vllt. doch mit einem spezifischen "allow" ein allgemeines "deny" überschreiben?

Nein, ein DENY ist höherwertiger als ein ALLOW!
Und da ist auch gut so

 

[ottosykora]

also normalerweise arbeitet man mit Gruppen und denen gibt man Berechtigungen und die User tut man in die Gruppen einordnen.
Für jeden User Einzelberechtigungen vergeben ist selten übersichtlich und endet oft in Chaos.

Sonst halt wie AndiHeitzer sagt

 

[TeXniXo]

arbeitet man mit Gruppen und denen gibt man Berechtigungen und die User tut man in die Gruppen einordnen.

Das ist eig. USUS in der Administration von User - daher +1!
Gruppe 1 = Projekt 1
Gruppe 2 = Projekt 2
GR 3 = PR 3

User A in GR 1 und GR 2
User B in GR 3
User C in allen GR usw.
da ist es einfacher, wenn der User mal ausscheidet bzw. aussteigt, muss man nur den User rausnehmen.

 

[Zoahr]

Aber habe ich bei Gruppen nicht auch das Problem, dass es wieder bei allen anderen Verboten sein soll? Und bei mehr Projekten steigt auch die Gruppenzahl wieder ins unermessliche, und ich habe das gleiche Komplexitätsproblem (wenn auch nicht ganz so schlimm wie bei einer reinen User-Rechtevergabe)

 

[ottosykora]

Mach eine vernünftige Struktur aus Freigaben (gemeinsame Ordner) und Gruppen.

Dann die Berechtigungen den Gruppen zuweisen.

Einzelne Benutzer dann den Gruppen zuteilen.
Benutzer bekommen keine Rechte selber, sondern nur über die Gruppe.
Benutzer kann in mehreren Gruppen sein.

So arbeitet man mit so einer Ablage.

 

[Zoahr]

Erstmal danke für die ganzen Antworten!

Mach eine vernünftige Struktur aus Freigaben (gemeinsame Ordner) und Gruppen.

Darf ich vllt. um einen Vorschlag bitten, wie ich so eine Struktur realisieren könnte? Wir haben 20 Mitarbeiter die in unterschiedlichen Konstellationen an verschiedenen Projekten arbeiten sollen, und nur auf diese Projekte Zugriff haben sollen. Nachdem ich alte Projekte nicht löschen kann/will und ständig neue Projekte hinzukommen wird das doch uferlos mit einer "Eine-Gruppe-pro-Projekt"-Herangehensweise, oder?

Vielleicht denke ich auch komplett falsch, falls also jemand eine ganz andere Idee hat, wie ich Zugriffe realisieren kann, freue ich mich ;-)

------
Edit:
Ich habe versucht, ein Datenbankbasiertes Projektmanagementtool in den Ordnerberechtigungen "nachzubilden": Dort kann ich Mitarbeiter per Klick in das Projekt einbinden, alle anderen haben einfach grundsätzlich keinen Zugriff. Vielleicht hilft das ja

 

[ottosykora]

also pro Projekt oder Aufgabe haben wir einen Ordner

20 Mitarbeiter können ja nicht gleichzeitig an 1000 Projekten arbeiten

also machen wir zum Bsp 5 Gruppen und ziehen die Mitarbeiter in die Gruppen

Die Gruppen haben dann Berechtigungen für einen oder meherere Ordner, ein Mitarbeiter kann in einer oder mehreren Gruppen sein.

ist doch viel einfacher als jedem Mitarbeiter verschiedenen Berechtigungen zu geben und dann wieder ändern wenn neue Projekte kommen oder alte geschlossen werden.