Best Practice und Unterschied Kein Zugriff - verweigern und leer lassen

[Henry Wilt]

Hallo Forum,

ich bin neu hier und seit ein paar Tagen Eigentümer einer ds220+ (6GB).

Es ist meine erste NAS die ich habe und bin beim Thema Rechtevergabe noch sehr am grübeln.

Gibt es hier einen Leitfaden? Eine Art Best Pratice?

Und macht es einen Unterschied ob ich einen Benutzer einfach nur NICHT Berechtige oder ob ich auch noch auf "Kein zugriff" - Verweigern setze ?

Ich will die NAS nützen für Backup, Datenaustausch, Multimeldia und auch mal die VM Möglichkeit ausprobieren.
Ich greife Nicht von aussen auf Daten zu und ich brauche auch keine Cloud.


Zugriff sollen haben die PCs von Frau, Kindern und meinePCs.
Ebenso evt. die Smartphones und Tablets auf die Multimediaordner ( mit eingerschränkteren Rechten).
Und der Smart TV (LG) auch nur auf Multimedia.

Danke für Eure Hilfe.

H.

 

[blurrrr]

Kein Recht = kein Recht. Wenn Du "verweigern" nutzen musst, stimmt das Konzept schon nicht (im Zweifel mehrere Freigaben nutzen wie "Familie" (alle), "Eltern", etc.).

 

[Henry Wilt]

Kein Recht = kein Recht. Wenn Du "verweigern" nutzen musst, stimmt das Konzept schon nicht (im Zweifel mehrere Freigaben nutzen wie "Familie" (alle), "Eltern", etc.).

Hallo blurrrr,

danke für Deine Antwort ich verstehe jetzt Deine Antwort nicht.
Die Entwickler werden sich ja etwas dabei gedacht haben, wenn Sie die Möglichkeit EXPLIZIT über "Kein Zugriff" geschaffen haben.
Dies ist ja in allen anderen Umgebungen (NTFS, Datenbanken) auch der Fall.

Vielleicht hängt das mit Vererbungen zusammen bzw. wenn das unterbrochen wird.

Generell
Ich bin mir immer noch nicht im Klaren wie das sauber aufzusetzen ist.

z.B. Nachwuchs ist Mitglied in Gruppe "backups_rw" und ich Gruppe "Dokumente_rw".

Die Gruppe "backups_rw" ist aber nicht in der ACl für den Ordner Dokumente eingetragen.
Kommt sie jetzt rein oder kommt sie nicht rein in den Ordner Dokumente?

Danke!

 

[Synchrotron]

Erster Hinweis: Nicht die vom System voreingestellten User und Gruppen ändern. Du solltest den Admin und den User deaktivieren, aber so wie eingestellt lassen. Vorher einen zweiten Admin anlegen, der anders heißt.

Dann zusätzlich neue User und Gruppen anlegen, damit „spielen“.

Zweiter Hinweis: Nicht berechtigt = nicht berechtigt = Zugriff verweigern, wenn so voreingestellt.

Wenn du einen bereits gesetzen Zugriff wieder entziehen willst, setzt der verweigern-Haken das auch durch. Nur den Haken bei Zugriff gewähren rausnehmen nicht unbedingt. Zugriff verweigern ist also wichtig, wenn du bereits gewährte Zugriffsrechte sicher wieder entziehen willst.

 

[Tommes]

Ich zitiere mal wieder gerne aus der DSM-Hilfe zum Thema - Berechtigungen für gemeinsame Ordner zuweisen -

Dort steht...

• Lesen/Schreiben: Der Benutzer oder die Gruppe hat Zugriff auf Dateien und Unterordner im gemeinsamen Ordner und kann Änderungen vornehmen.
• Nur Lesen: Der Benutzer oder die Gruppe hat Zugriff auf die Dateien und Unterordner im gemeinsamen Ordner.
• Kein Zugriff: Der Benutzer oder die Gruppe hat keinen Zugriff auf die Dateien und Unterordner im gemeinsamen Ordner.

... und als Anmerkung dazu ...

• Beachten Sie bei Berechtigungskonflikten folgende Priorität: Kein Zugriff > Lesen/Schreiben > Nur Lesen.
• Wenn beim Erstellen eines neuen gemeinsamen Ordners die Berechtigungen für die Benutzer der Gruppe administrators auf Kein Zugriff gesetzt sind, können diese Benutzer den gemeinsamen Ordner nur unter Systemsteuerung > Gemeinsame Ordner anzeigen.

Daher verstehe ich das so, das sich -kein Zugriff- primär auf die Gruppe der administrators bezieht, wenngleich - kein Zugriff - auch für alle anderen Benutzer entsprechende Auswirkungen hat. Ist kein Haken gesetzt, dann sind Administratoren von - kein Zugriff - ausgenommen, alle anderen Benutzer betrifft das aber. Außerdem schließt sich das in meinen Augen auch gegenseitig aus. Ist der Haken bei lesen/schreiben nicht gesetzt, dann hat man ja automatisch keinen Zugriff.

So verstehe ich das jedenfalls.

Tommes

 

[blurrrr]

Die Entwickler werden sich ja etwas dabei gedacht haben, wenn Sie die Möglichkeit EXPLIZIT über "Kein Zugriff" geschaffen haben.
....
Vielleicht hängt das mit Vererbungen zusammen bzw. wenn das unterbrochen wird.

Genau, dann wird noch ein Recht (obwohl ein anderes vorhanden!) "drüber" gesetzt, daher ist "verweigern" auch höherrangig als erlauben. Alternativ löst man die Vererbung auf und setzt die Rechte einzeln. Hat aber zur Folge, dass es sehr schnell unübersichtlich wird. Grundsätzlich mach Dir einfach Gedanken über eine "saubere" Struktur, wo weder etwas verweigert, noch die Vererbung unterbrochen werden muss.

 

[Henry Wilt]

Erster Hinweis: Nicht die vom System voreingestellten User und Gruppen ändern. Du solltest den Admin und den User deaktivieren, aber so wie eingestellt lassen. Vorher einen zweiten Admin anlegen, der anders heißt.

Dann zusätzlich neue User und Gruppen anlegen, damit „spielen“.

Zweiter Hinweis: Nicht berechtigt = nicht berechtigt = Zugriff verweigern, wenn so voreingestellt.

Wenn du einen bereits gesetzen Zugriff wieder entziehen willst, setzt der verweigern-Haken das auch durch. Nur den Haken bei Zugriff gewähren rausnehmen nicht unbedingt. Zugriff verweigern ist also wichtig, wenn du bereits gewährte Zugriffsrechte sicher wieder entziehen willst.

@all Danke fü die Antworten.

@synchroton: Deinen ersten Hinweis habe ich schon beim Einrichten befolgt.

Das "spielen" wollte ich eigentlich vermeiden und durch "verstehen" ersetzen.

@Tommes:
Als Literatur habe ich die Hilfe und das Buch von W. Gieseke. Aber das kratzt in dem Punkt an der Oberfläche.

@blurrrr :
Das Konzept soll so aussehen, dass es keine Unterbrechungen in der Vererbung gibt.
Dann lieber eine größere Anzahl von Freigaben / Gemeinsamen Ordnern.

 

[blurrrr]

Ja, im schlimmsten Fall (das "typische" Szenario eines "Daten"-Netzlaufwerkes) musst Du halt diverse Vererbungen unterbrechen, aber das wäre eher in so einem Fall:

X:\Daten
X:\Daten\Buchhaltung (Vererbung deaktiviert, r/w nur für Buchhaltungsabteilung + Geschäftsführung, Vererbung ab hier wieder aktiv)
X:\Daten\Personal (Vererbung deaktiviert, r/w nur für Personalabteilung, Vererbung ab hier wieder aktiv)
X:\Daten\Marketing (Vererbung deaktiviert, r/w nur für Marketingabteilung, Vererbung ab hier wieder aktiv)

etc. Damit wäre die Vererbung nur auf der "obersten" Ebene unterbrechung. Wenn Du anfängst irgendwo "mitten drin" an der Vererbung rumzufummeln, kriegst Du das später im Leben nicht mehr vernünftig zusammen... Von daher wäre sowas wie:

B:\ (Buchhaltung - nur Buchhaltungsabteilung + Geschäftsführer)
P:\ (Personal - nur Personalabteilung)
M:\ (Marketing - nur Marketingabteilung)
X:\ (Daten - allgemein zugänglich)

Wesentlich sinnvoller - einmal Rechte konfiguriert und jut ist. Die entsprechenden Netzlaufwerke kann man dann eben - je nach gusto - entsprechend einbinden (in größeren Umgebung wird sowas dann via Richtlinien und Gruppenzugehörigkeiten verteilt).

EDIT: Ganz generell bei Deinem "Familien-Setup"... Es wäre halt zu unterscheiden:

1) home-Laufwerke (jeder User sein eigenes, kommen auch nur die User selbst dran, also etwas sehr "privates")
2) Eltern-Laufwerk (nur für die Eltern, ggf. mit diversem Papierkram, etc.)
3) Kinder-Laufwerk (ggf. nur Lese-Zugriff für die Kinder, Schreibzugriff für die Eltern)

Ähnlich wie beim Kinderlaufwerk, wird es sich ggf. beim Multimedia-Laufwerk verhalten, aber das muss man individuell entscheiden

EDIT2: Noch ein Nachtrag zum "verweigern"... Das verhält sich ungefähr so wie: Klar darfst Du in mein Haus und Du darfst auch in jeden Raum, aber in Raum X darfst Du nicht in die Kaffeekanne schauen, in Raum Y nicht in die 3. Schublade von unten in der Kommode und im Wohnzimmer schau bloss nicht hinter die Vitrine. Wird halt einfach irgendwann recht unübersichtlich.

 

[Henry Wilt]

@blurrrr
Danke für die ausführliche Antwort. Werde mcih in Dein bsp noch reindenken.

Wie beschrieben, ich will möglichst vermeiden Vererbungen zu unterbrechen und wenn nötig, nur gantz oben.

Ansonsten meine Devise, complexity kills. ich versuche es möglichst einfach zu halten.

Eine generellse Frage noch: Ich durchblätter auch gerade das VM Forum.
So oben angeepinnte Artikel mit Basics und Erklärungen zum jeweiligen Thema gibt es hier nicht ?
Oder ist so ein best Practice woanders hinterlegt?

Danke !

 

[blurrrr]

Da muss ich Dich leider enttäuschen... für Leute die es gelernt haben und diese Konzepte seit Jahrzehnten beruflich umsetzen, ist das alles in Fleisch und Blut übergangen. Nun werden die Privatanwender mit "klick-klick-fertig"-Kisten zugemüllt und stehen genau vor solchen Problemen. Das ganze ist nichtmals im Ansatz Synology-spezifisch, sondern gilt so ziemlich für jedwede Art von Dateifreigaben.

Frag einfach mal Google nach Dingen wie "dateifreigaben berechtigungen best practice" o.ä.

Problem ist hierbei einfach, dass sowas eigentlich gelernte "Administratoren" (oder sehr technikaffine Menschen) machen, aber jetzt quasi "die Welt" auf die Technik losgelassen worden ist. Ergo entstehen Probleme wie Deine. Ist zwar alles mit 3 Klicks installiert, aber die Theorie dahinter (oder auch das Verhalten im Fehlerfall) ist wieder ein ganz anderes Brett und da wird sich vermutlich jeder Hersteller scheuen, diese riesigen Fässer aufzumachen und dann ist man wieder bei DIY (aber dann so richtig) ?

EDIT: Nochmal so am Rande (bin ich übrigens ein gaaaaaaaanz großer Fan von)... Nimm Dir einen Zettel und einen Stift (oder die Software Deiner Wahl) und schau erstmal was Du "hast" (Daten ggf. gegliedert in Freigaben, Benutzer und entsprechende Rechtegruppierungen) und schaust, dass Du das ganze in ein stimmiges Setup verwandelst (erstmal nur auf dem Papier, oder in der Software). Wenn das alles passt, werden diese Dinge (lt. Papier) umgesetzt und dann bleiben auch keine Fragen mehr offen

 

[blurrrr]

Zugriff sollen haben die PCs von Frau, Kindern und meinePCs.

Also grundsätzlich pro User ein Account. (z.B. "name")

Ebenso evt. die Smartphones und Tablets auf die Multimediaordner ( mit eingerschränkteren Rechten).

Auch hier, pro User ein Account (z.B. "name-mobil"). Wichtig wäre hier, dass man darauf achtet, dass auch "wirklich" der mobil-Account genutzt wird und nicht der o.g.

Und der Smart TV (LG) auch nur auf Multimedia.

Sowas könnte man direkt via DLNA lösen (rein lesener Zugriff, aber ohne Zugangsdaten), alternativ - je nach TV - die Verbindung direkt im TV konfigurieren (inkl. Login, z.B. eigener Account für TV). Hat sich bei mir aber nicht wirklich durchgesetzt und auch die DS-Video-App für meinen Samsung-TV ist alles andere als der große Hit, von daher macht es hier mitunter Sinn, sich einfach direkt einen "Mediaplayer" (eigenständiges Gerät) zuzulegen. Dort kann man dann auch div. Quellen einbinden.

 

[Henry Wilt]

Hallo blurrrr
danke für die Tips, das hatte ich schon am Wochenende genau so umgesetzt.

Extra accounts für TV und extra acccounts mit eigener Gruppe für die Mobilgeräte.
Es ist da leider doch sehr viel try and error dabei.

Den Medienserver habe ich in der NAS installiert und dann hat der TV auch gleich auf die drei neuen Ordner Zugriff ohne dass ich am TV noch das ein Login vornehmen muss. Da gibt es irgendwo noch eine Option, dass nur bekannte Geräte reinkommen....

Da der TV (LG webOS) mir sicherheitstechnisch nicht geheuer ist, wandern in die 3 Verzeichnisse keine privaten Daten rein.

Private Fotos werden dann separat auf der NAS landen und dann eben nicht am TV zu betrachten sein..... basta.

Anschliessend mein Mobiltel getestet und dort DS File installiert.
Einiges in ettlichen Stunden gelernt über Berechtigungen von Gruppen, Benutzern und Applikationsberechtigungen.

Auf jeden Fall musste ich hier, im Gegensatz zum TV , die 3 Ordner des Medienservers auch noch für das Smarttelefon berechtigen.

Der Teil läuft nun einigermassen im Moment, alles noch betaphase.

Bin noch am überlegen wie ich die Einbindung an den Windows PCs zukünftig mache.
Über die Netzwerkumgebung oder ich über Netzlaufwerke (.bat datei die nur bei Bedarf gesstartet wird und mit netuse udn benutzer die Ordner mapped),
Netzlaufwerke finde ich deshalb besser, weil ich Buchstaben vergeben kann ( P für Photos, U für User = Benutzer, V für Video etc.)

Ich brauche die NAS nicht permanent, ich werde die auch mal herunterfahren.

Weiteres Vorgehen mit derNAS : Das ist wie mit Henne und Ei. Was war zuerst. Guck ich mir das an, was die NAS und die Zusatzprogramme alles bieten und richte danach meinen Plan.
oder
ich überlege mir was ich genau machen will. und brech das auf die NAS dann um
Zwei Punkte.
1. Besseres Backup zuerst für einen PC im Haushalt, dann für die anderen auch.
2. Ich habe an meinem Haupt PC Virtual Box, aber ich möchte auch die VM Umgebung für ein Linux Gastsystem aufd er NAS mal ausprobieren.

Zu backup lassen sich natürlich Bücher schreiben, bisher hatte ich für Dateien ein Dateibackup auf USB Festplatten und für Datenbanken habe ich diese auf verschiedene Geräte repliziert (brauche hier keine Versionierung)

Jetzt habe ich gelesen, dass die NAS auch ein Zusatzpaket mit Backup mitbringt. ( Reines Dateibackup ohne Komprimierung).
Dann möchte ich endliche den kostenfreien veeam Agent for Windows ausprobieren. Hier hätte ich dann ein System Backup und Komprimierung.

Plan: ich mache in Intervallen mal das eine und das andere.

Die Daten der NAS sollen dann noch monatlich auf zwei externe USB Festplatten gesichert werden.

Wenn Ihr Tips habt damit ich (und andere) Anfängerfehler vermeiden, dann lese ich die gerne intensiv.
DANKE

 

[blurrrr]

Ich sag mal so: Mit den Netzlaufwerken machst Du definitiv erstmal "nichts" verkehrt. Die Daten bleiben auf dem NAS und es wird eben nur remote darauf zugegriffen. Bleib also erstmal bei Deiner Planung (die für Dich auch erstmal soweit verständlich ist), anstatt jetzt zig neue Baustellen aufzureissen. Alles weitere folgt bei Bedarf mit Sicherheit...

Jetzt habe ich gelesen, dass die NAS auch ein Zusatzpaket mit Backup mitbringt

Wenn es mal nur "eins" wäre... Grundsätzlich wäre die Frage, was Du wo sichern möchtest. Für das NAS-Backup selbst gibt es HyperBackup, für alles was das NAS sichern soll, gibt es noch ActiveBackup (sofern von Deinem NAS unterstützt, nicht jedes Paket wird von jedem NAS unterstützt). Via Veeam kannst Du sicherlich ein "Backup-Ziel" definieren, das kann dann wieder das NAS sein (via SMB, FTP, etc.).

Wenn Ihr Tips habt damit ich (und andere) Anfängerfehler vermeiden, dann lese ich die gerne intensiv.

Ja, hast Du Dir aber schon selbst beantwortet:

Plan: ich mache in Intervallen mal das eine und das andere.

Bist also auf genau der richtigen Spur ???

 

[Henry Wilt]

@blurrrr

Danke für die Antwort.
Bin noch am Testen und Probieren.
Rest der Familie ist noch eher untinteressiert an der NAS, dahe Zeit zum Experimentieren bei mir.

Die Clientsicherung mit Veeam klappt, wobei ich mich da nun auch entscheiden muss, wie ich das weiter mache.
Ob ab und zu nur Vollbackup oder häufiger und inkrementell (Kanonen auf Spatzen).
Und ich fluche jetzt schon, dass ich nur 4 TB Platten gewählt habe.
Versionierung oder auch Schattenkopien spielen kein Thema bei mir.

Next steps die beiden Backup Varianten von Synology ausprobieren, einmal die von einem Client zur NAS ( vom PC meiner Frau) und einmal die Variante NAS selbst sichern auf externe HD. Letzteres nur partiell, ich habe im Moment auch nur externe HDs mit 2 TB hier.

Und was ich noch gar nicht angeschaut habe, ist das Thema Virtualisierung mit Veeam.
Im gekauften Einsteigerbuch kommt das Thema leider überhaupt nicht vor.
Werde hier im Forum mal suchen.
Wenn jemand einen guten Einsteigerartikel hat, dann sage ich schon mal danke für den Link.

 

[blurrrr]

Und ich fluche jetzt schon, dass ich nur 4 TB Platten gewählt habe.

Ja... wenn man erstmal auf den Geschmack gekommen ist... Ich persönlich nutze das NAS nur als Datenablage (ich komme beruflich sowieso aus dem Umfeld, von daher wusste ich auch schon recht genau, wie ich das Ding benutzen werde), habe keine riesige Foto-/Filmsammlung, sichere die Clients auch nicht darauf und so komme ich mit meiner DS218j mit 4TB (mittlerweile, bis vor kurzem waren es noch 2TB) ganz gut zurecht.

Virtualisierung mit Veeam.

Du meinst bestimmt "VMM" (Virtual Machine Manager), Veeam ist - soweit ich weiss - eine reine Backupsoftware. Die Geschichte mit dem VMM ist "eigentlich" recht trivial, nur darf man von so einem kleinen NAS dann eben auch keine Wunder erwarten. Solange man sich dessen bewusst ist, wird man auch bestimmt nicht enttäuscht

Das NAS sollte auf lange Sicht schon eine vollständige Sicherung bekommen, wenn man bedenkt, dass dies jetzt der "zentrale Datenspeicher" wird/ist. Wäre blöd, wenn dann mit einem Schlag direkt alles weg ist. Weiss nicht, was für ein Typ Du bist (und wie oft sich bei euch Inhalte auf dem NAS ändern), aber in regelmässigen Abständen eine Sicherung auf eine USB-HDD (welche im besten Fall nicht dauerhaft verbunden ist - Stichwort "Offline Backup") wäre schon ratsam. Ein Glück, dass die Festplatten mit entsprechenden Kapazitäten mittlerweile auch nicht mehr sooo teuer sind. Wünsche jedenfalls noch viel Spass bei Tüfteln! ??

 

[Henry Wilt]

@blurrrr

Ja, die Virtualisierung mit VMM: Gestern abend noch getestet, zuerst VMM installiert, einfach, dann einen Ubuntu Client (Ich habe ihm alle Kerne gegeben und 3 GB RAM) . Installation einfach, aber im Betrieb war es trotzdem kein Vergnügen.

Die VMs bleiben am lokalen PC unter Virtual Box.

Bevor ich VMM deinstalliere muss ich ja die VM wieder loskriegen, welcher ich 40 GB zugestanden habe.
In der Filestatsion sehe ich leider nicht, wo die liegen um die notfalls manuell zu löschen ( kein Ordner sichtbar).
In der VMM sehe ich unter virtuelle Festplatte, dass 9,48 GB von 40 belegt sind diese aber deaktiviert sind.

Wenn ich nun die Ubuntu VM lösche, wo sehe ich, dass dieser virteuelle Festplattenspeicher auch wieder zur Verfügung steht?
Wenn ich VMM deinstalliere, ist dann der Plattenplatz wieder komplett fri der für die VMs benutzt wurde?

Kann man in Filestation auch so etwas einstellen wie "versteckte Ordner" anzeigen oder Systemdateien anzeigen um dies zu sehen?

DANKE

 

[blurrrr]

Normalerweise wird die VM beim löschen komplett samt Datenträgern gelöscht. Speicherplatz sieht man z.B. im Speichermanager. Ich persönlich halte von der NAS-Virtualisierung auch nicht sonderlich viel. Lieber auf dem Rechner (da ist es schon wesentlich performanter), oder halt direkt auf einem Server. Allerdings hat das NAS auch irgendwo den Vorteil, dass es recht stromsparend ist und (zumindestens bei mir) 24/7 läuft (da ich aber sowieso div. Server laufen habe, muss da arme NAS den Job nicht machen (könnte es auch garnicht, viel zu schwach ?? )).

 

[Snyder]

Wenn‘s eng wird auf der NAS, kannst du an einen der beiden USB eine fette Platte für z. B. Medien und andere Daten hängen, die nicht zwingend gebackupt werden müssen. Am anderen hängt ja die Platte fürs NAS-Backup. So hast du eben mal ein paar TB mehr Speicherplatz mit USB3. Auf meiner schnarchlahmen 213j mit USB2 geht das gar nicht mal so schlecht.

 

[Henry Wilt]

@Snyder : Danke für den Tip. Wenn es eng wird, ist dies eine Option.

Habe jetzt die Ubuntu VM gelöscht und auch das VM Programm. Am Wochenende werde ich mir ansehen, wie ich am besten die NAS Daten auf eine externe Festplatte dann zu Backupzwecken kopiere. Zuvor aber noch die anderen PCs für eine SIcherung AUF die NAS vorbereiten und durchführen.

Schönen Abend noch.

 

[Snyder]

Fürs Backup der Diskstation gibt es z. B. Hyperbackup.