Photo Station Nutzer Zugriff auf Photostation verbieten?!

[Brathorst]

Tach zusammen,

ich habe heute einen Gast-Account eingerichtet und lediglich Schreib- und Lese-Rechte (ohne Löschen etc.) für einen gemeinsamen Ordner und nur den Zugriff auf die File-Station gewährt, mit dem Ziel, dass mir der Gast in den Ordner Daten hochladen kann.

Hierfür hab ich den Gast noch einer separaten Gruppe zugefügt, welche die normalen User-Gruppen-Rechte wieder aufhebt (bis eben auf den einen gemeinsamen Ordner).

Die Rechteverwaltung funktioniert soweit auch ganz gut, lediglich eine Sache verwirrt mich etwas:

Ich kann mich mit dem Gastkonto auf meiner gemeinsamen Photostation anmelden und hab auch Zugriff auf die gemeinsamen (privaten) Fotoordner.

In der Photostation hat der Gast-Account keine Rechte verteilt bekommen und die gemeinsamen Ordner sind auch nicht „öffentlich“.

Hab ich noch irgendwo n Haken vergessen? Kann ich die Photostation komplett für Benutzer sperren, dass das Anmelden erst gar nicht funktioniert?

Vielleicht hat ja jemand noch einen Tip.

Ach ja, der Ordner auf den der Gast-Account Zugriff hat, liegt natürlich nicht unter /photos.

Hab übrigens gestern auf die aktuelle DSM upgedated, falls das ein Grund sein könnte?!

 

[ottosykora]

Irgendwie tönt es etwas widersprüchlich.
Die Rechte Verwaltung für die Photo Station wird von der DS gemacht oder von der PS selber?

Die gemeinsamen Alben (Ordner) in der PS sind auch für die Veröffentlichung da, also eigentlich allen zugänglich auch wenn die Bilder drin eigentlich in privaten Alben liegen. Das ist einfach Funktion um Bilder zugänglich zu machen auch für Leute ohne Account.

 

[Brathorst]

Hallo ottosykora,

vielen Dank fürs vorbei schauen

Also in der Benutzerverwaltung der PS taucht der Gast-Account zwar auf, hat jedoch keine Haken bei durchsuchen, verwalten etc.

Im DSM ist dem Benutzer zudem der Zugriff auf den /photo Ordner verwehrt. Der wird in der File-Station dementsprechend auch nicht angezeigt.

Lediglich in der Photostation kann sich der Benutzer ganz normal anmelden und bekommt den gemeinsamen /photo Ordner zu sehen.

die entsprechenden Alben des gemeinsamen Foto-Ordners sind als "privat" markiert.

Kann ich denn die PS für einzelne Benutzer im Gesamten Verbieten, oder hat man da immer Zugriff drauf?

Wie erwähnt, soll der Gast-Account eigentlich nur auf einen Ordner zugriff gekommen, in den er per FileStation Daten hochladen kann...

Grüßle

Edit:
In der PS werden die Benutzerkonten vom DSM übernommen.

Ach ja: Wenn ich normal auf die PS vom Browser zugreife (mit der Ergänzung "/photo" nach meiner DDNS Adresse) dann seh ich erstmal keine Fotos und müsste mich anmelden... Falls du das gemeint hast mit den gemeinsamen Alben.
Also Zugang ohne account geht net.

Nur hat eben der Gast-Zugriff auf die PS und damit auf die gemeinsamen Ordner, obwohl ich ihm den Zugriff auf diesen im DSM verboten habe...

 

[ottosykora]

hmm, nur : >die entsprechenden Alben des gemeinsamen Foto-Ordners sind als "privat" markiert.<
gemeinsamen Alben sind freigegebene Bilder an alle, auch wenn sie sich eigentlich in den privaten Alben befinden. Es sind nur temporäre Links und sind dazu da Bilder an Leute ohne Account ins Internet zu stellen. Darum ist mir dieser Punkt nicht ganz klar was du genau meinst.

Der Gast, ist es der aktivierte Gast Account der vom System vorgesehen ist oder hast du den ganz neu angelegt?


Eigentlich sollen sich bei den Unterordnern unterhalb von /photo gar keine Berechtigungen verändern lassen, die sind unter Eigenschaften des Ordners alle aktiviert aber aber können nicht deaktiviert werden.
Es sollen auch keine Änderungen durchgeführt werden von der Filestation aus etc.
Alles soll von der PS aus gemanaged werden. Es wird dann vom System direkt alles verwaltet.




>Lediglich in der Photostation kann sich der Benutzer ganz normal anmelden und bekommt den gemeinsamen /photo Ordner zu sehen.
<

ist so korrekt


Den einzelnen Alben jedoch den Zugang verwehren, Benutzer Steurung in der PS

Zugang zu Photo Station zu sperren wäre nur möglich wenn die Benutzer Rechte von der PS verwaltet werden.

Normale Benutzer haben nun mal Zugang zu /photo, sehen also die Alben, aber können diese nicht aufmachen.

 

[Brathorst]

mit "privat" habe ich die Einstellung in der PS gemeint, also quasi nicht "öffentlich". Bei "öffentlich" sieht man die Alben ohne Login.

Der Gast-Account ist nicht der originale vom DSM, den hab ich deaktiviert...

Komisch ist eben, dass ich dem Gast per Einteilung in eine Gruppe mit überwiegend Zugriffsverboten im DSM und in der Filestation den Zugriff auf alle Ordner verbieten konnte. So werden mir in der Filestation die Ordner /photo, /video, /musik, sowie weitere gemeinsame Ordner der 1. Ebene nicht dargestellt.
er sieht lediglich den einen Ordner (inkl. Unterordner) auf den er Zugriff haben soll.

Soweit so gut, nur komisch wirds eben, wenn ich mit dem Benutzer die Photostation öffne, weil dann sieht er plötzlich sämtliche Alben und Bilder unter /photo und kann die Alben sogar öffnen!

Bringen Screenshots von einer maßgeblichen Einstellung was zur Fehlersuche?

Unter Photostation-> Einstellungen->Benutzerkonten->Benutzer"Gast" sind dem Benutzer keine "Durchsuchen"-Rechte oder "Verwalten-Rechte" für die einzelnen Alben gegeben. Normalerweise sollte damit doch auch das öffnen verboten sein, oder?

Any ideas?

 

[ottosykora]

Ich denke du wirst da wohl einige Screenshots machen müssen, weil so wie du es beschreibst ist nicht ganz klar was du meinst und was du wo verstellt hast.

Wenn ich die PS aufrufe, dann sehe ich natürlich die gemeinsamen Alben, öffentlich Alben und die 'Schlösser' der password geschützten Alben. Klar kann ich auch die gemeinsamen Alben aufmachen, dazu sind sie ja da. Die öffentlichen auch. Die privaten sehe ich erst wenn ich mich einlogge, und dazu muss ich noch Berechtigung für diese Alben haben. Die password geschützten kann ich nur mit dem PW öffnen.

Kannst du vielleicht etwas beschreibena wie sich der Gast in die PS einloggt?

 

[Brathorst]

Vielen Dank nochmal dass du dich meiner annimmst

Alles klar, dann versuch ich mal meine vielleicht etwas verwirrende Problembeschreibung mit Bildern zu untermalen:

Also, ich habe den Benutzer „simon“ erstellt, der ja automatisch Mitglied der Gruppe „users“ ist und damit auch Zugriff auf alle Ordner hätte. Um für ihn den Zugriff dann auf den einen gewollten Ordner (02_Gemeinsame Dateien) zu beschränken habe ich eine zusätzliche Gruppe „Gäste“ neu erstellt, die mit den entsprechenden Zugriffs-Verboten lediglich den einen ordner (02_Gemeinsame Dateien) übrig lässt.

Am Beispiel des Ordners 02_Gemeinsame Dateien seht ihr die Genehmigungen die also der Benutzer „simon“ hierfür hat. Nur Lesen und schreiben (ohne löschen).



In der Filestation funktioniert das ganze auch super und wie gewollt. Der Benutzer „Simon“ hat nur Zugriff auf den Ordner „02_Gemeinsame Dateien“. Alle anderen gemeinsamen Ordner (music, photos, etc) werden ihm in der Filestation nicht angezeigt (da er keinen Zugriff hat):



Komisch wird’s wie gesagt bei der Photostation:
Hier kann sich der Benutzer „simon“ mit seinen normalen DSM-Daten anmelden und sieht plötzlich alle Alben, die unter /photos liegen und kann diese sogar öffnen!

Hier die in der Photostation für den Gast-Benutzer „simon“ eingestellten Privilegien:



Lediglich für das Album E.2, welches in der PS als „öffentliches“ Album markiert wurde hat er „Durchsuchungs-Privilegien“, was ja auch ok ist.
Alle anderen Alben sind in der PS als „Privat“ eingerichtet, sodass diese erst angezeigt werden, wenn man sich in der PS angemeldet hat.

Ich denke mein Verständnisproblem liegt darin, warum kann der Benutzer „simon“ in der Photostation Alben in einem Ordner sehen, die ihm in der Filestation nicht angezeigt werden?

Ist meine Ausführung einigermaßen nachvollziehbar? Wäre sonst noch ne Einstellung oder ein Häkchen interessant?

Es kann doch eigentlich nicht sein, dass jeder Benutzer, egal wie viele Rechte er in der DSM eingerichtet bekommt (oder eben nicht) über den Umweg der Photostation Zugriff auf den /photo Ordner bekommt, oder?
oder hab ich n Denkfehler?

Grüßle und vielen Dank fürs "mit-Grübeln"

 

[NasQ]

Ich denke mein Verständnisproblem liegt darin, warum kann der Benutzer „simon“ in der Photostation Alben in einem Ordner sehen, die ihm in der Filestation nicht angezeigt werden?

Du siehst die DiskStation zu sehr als "eine Einheit"

Auf der DS laufen viele verschiedene Dienste. Grundlegend haben alle Dienste vollen Zugriff auf alle Dateien auf allen Volumes.
Die einstellbaren Berechtigungen sind meist dienstbezogen, weil die Dienste ihre eigenen Rechtesysteme beinhalten.

Die Berechtigungen, die du unter gemeinsamer Ordner eingibst gelten auch nur für die Dateidienste. (SMB, AFP, NFS, FileStation)
Diese Systeme (Dienste) verwalten die Berechtigungen nur für sich.

Die PhotoStation ist wiederum ein komplett eigener Dienst und hat auch ihre eigene Rechteverwaltung.

Was natürlich auch geht ist, dass du für den Gast die Berechtigung nimmst auf die PhotoStation generell zuzugreifen.

 

[Brathorst]

Ok, das würde dann schonmal einleuchten, wenn die PS quasi gar nicht weis, was die FileStation für Berechtigungen verteilt hat...
So hab ich das tatsächlich noch nicht betrachtet.

Ich hab wohl gedacht, dass wenn ich die Benutzerkonten von DSM übernehme und nicht in der PS erstelle, dann würden auch die Berechtigungen mit übernommen werden...

Du merkst, ich bin noch frisch in der Synology-Szene und war bisher nur der normale popelige Windows-Endverbraucher...

Was natürlich auch geht ist, dass du für den Gast die Berechtigung nimmst auf die PhotoStation generell zuzugreifen.

na dass wär natürlich perfekt, weil eigentlich soll der "simon" ja gar kein Zugriff auf die PS haben.

Im DSM und der PS hab ich die Möglichkeit allerdings nirgends gefunden...

 

[NasQ]

In DSM 5.1 unter Systemsteuerung -> Berechtigungen auf die VideoStation doppelklicken und dem Benutzer nen Haken bei "Verweigern" geben.

 

[Brathorst]

"VideoStation"?

Den hab ich glaub ich gemacht... aber da find ich die Photostation eben nicht, weil die ja glaub eine etwas andere Stellung hat wie die VS oder die FileStation...
hmm...

Muss heut abend nochmal schaun (hab meine DSM-Ports im Router geschlossen )

 

[ottosykora]

Bei der PS können die Benutzer von der DS übernommen werden, oder eine eigene Benutzer Verwaltung haben in der PS intern. Ich empfehle die PS interne, das wird übersichtlicher.

Die Rechte in der PS sind etwas einfacher. Was du da zeigst in der DS das ist die Verwaltung mittels ACL. Das muss nicht zwangsläufig überall funktionieren, ist wohl mit Windows schön kompatibel, lässt sich auch in Windows Explorer bearbeiten, aber das heisst lange nicht dass es universell verwendbar ist.
Ich habe auch früher diverses damit eingestellt und war überzeugt alles damit lösen zu können.
Wurde dann jedoch darauf aufmerksam gemacht dass dies nicht zwangsläufig für alle Dienste und Protokolle gleichwertig übernommen wird.

Photo Station ist eigenständiges Programm, ein Webanwendung, hat eigene Rechteverwaltung welche nicht ACL automatisch folgt.
Rechte Verwaltung in der PS funktioniert nur zwei ebenen tief, danach wird nur noch von dem übergeordneten Album vererbt.
Auch ist es nicht ohne weiteres möglich nur ein bestimmtes Unter Album freizugeben. Der Benutzer muss durch die anderen Alben durch wenn er zu dem unteren ankommen soll.
In deinem Beispiel ist für deinen Benutzer der ganze Pfad bis zu dem E2 durchgeschaltet. Das geht nicht anders.

Jemand hat es da mal mit Landkarte verglichen:
Ein User hat ein Ticket in ein Kino in Berlin. Darf also in das Kino eintreten.
Er ist jedoch aus Sambia und hat gegenwärtig gar kein Visum für Deutschland.
Somit nutzt ihm auch gültiges Ticket für Kino in Berlin wenig. Um dies zu nutzen
muss er ja zuerst nach Deutschland reisen dürfen, also Berechtigung dazu haben.


ACL System ist innerhalb der PS so nicht anwendbar. Die Rechte Verwaltung ist da eher Unix - Artig.


Du hast da gerade wieder ein Bespiel für die eingeschränkte Nützlichkeit von ACL gezeigt.
Früher konnte man noch wählen ob man die ACL will oder nicht, jetzt sind alle Ordner bei Synology damit 'ausgerüstet' und die Probleme sehen wir hier ganz klar.