nicht angemeldet
Rechtevergabe im XP-Professional-Netzwerk
Hallo,
eine Frage an XP-Netzwerk-Kenner (nichts für Windows-Hasser ...): welche Möglichkeiten gibt es, Benutzerrechte für ein gemeinsames Domänen-Netzlaufwerk zu steuern?
Mein bisheriger Wissenstand:
(a) In einem Netzwerk gibt es soundsoviele Benutzerkonten.
(b) Benutzer, die gleiche Rechte haben sollen, werden i.d.R. in Gruppen zusammengefaßt.
(c) Den Gruppen kann man folgende Rechte zuordnen (oder verweigern): Lesen, Schreiben, Ordnerinhalt auflisten, Lesen/Ausführen, Ändern, Vollzugriff. (Diese Rechte könnte man nicht nur einer Gruppe, sondern auch einem Einzelkonto zuordnen.)
(d) Bei XP gibt es vordefinierte Benutzerkontenarten und Benutzergruppenarten.
Ich hoffe, daß es bis hierhin korrekt ist...
- Was ich nicht verstehe:
(1) Die Rechte werden eingetragen über Ordner > 'Eigenschaften' > Registerkarte 'Sicherheit'. An dieser Stelle gibt es zusätzlich noch die Registerkarte 'Freigabe'. Was hat diese noch für einen Sinn?
(2) Die Rechte an einem Hauptordner werden auf alle eingeschlossenen Unterordner vererbt. Kann man aber einem Unterordner eine andere Rechtestruktur zuweisen? Und wenn ja, bis auf welche Ebene hinunter? Ich habe die (unsichere) Auskunft erhalten, daß man die Rechte nur bis zur 2. Ebene steuern kann. Stimmt das?
(3) Welchen Zweck haben die 'Gruppenrichtlinien'? Sind sie eine zusätzliche Feinsteuerung der groben Benutzerrechte oder haben sie mit den Rechten primär nichts zu tun?
(4) Dann gibt es noch die Datei- und Ordnerfreigabe. Puuuh ... Ist das noch etwas anderes als das oben genannte? Was ist der Unterschied? Warum kann ich sie an meinem Arbeitsplatzrechner nicht über die Ordnereigenschaften sehen, obwohl unter 'Extras > Ordneroptionen > Ansicht' die 'Einfache Dateifreigabe' aktiviert ist?
Über Antwort freut sich:
pixxma
-
Hallo pixxma,
eine Frage an XP-Netzwerk-Kenner (nichts für Windows-Hasser ...): welche Möglichkeiten gibt es, Benutzerrechte für ein gemeinsames Domänen-Netzlaufwerk zu steuern?
könntest Du das bitte genauer spezifizieren?
Hast Du nun eine Domänenstruktur mit einem Domänencontroller (sei es Windows 2000 Server oder Windows Server 2003) oder ein Peer-to-Peer-Netzwerk ausschließlich mit Windows-XP-Rechnern?Mein bisheriger Wissenstand:
Ich gehe in meinen folgenden Ausführungen auf eine Domäne ein, Peer-to-Peer ist außer für den Privatgebrauch meiner Meinung nach uninteressant.
(a) In einem Netzwerk gibt es soundsoviele Benutzerkonten.
Ja, Benutzer sollten _grundsätzlich_ Domänenbenutzer sein.
(b) Benutzer, die gleiche Rechte haben sollen, werden i.d.R. in Gruppen zusammengefaßt.
Nicht ganz oder nur so ungefähr. Wenn für irgendetwas ein Recht erforderlich ist, z.B. Drucken auf einen bestimmten Drucker, dann legst Du eine Gruppe an, vergibst das Recht der Gruppe und fügst die Benutzer der Gruppe hinzu, die das Recht benötigen. Benutzer sind typischerweise vielen Gruppen zugeordnet.
(c) Den Gruppen kann man folgende Rechte zuordnen (oder verweigern): Lesen, Schreiben, Ordnerinhalt auflisten, Lesen/Ausführen, Ändern, Vollzugriff. (Diese Rechte könnte man nicht nur einer Gruppe, sondern auch einem Einzelkonto zuordnen.)
Das ist ein winziger Ausschnitt möglicher Berechtigungen.
(d) Bei XP gibt es vordefinierte Benutzerkontenarten und Benutzergruppenarten.
Es gibt zwei vordefinierte Benutzerkonten, den Gast und den Administrator. Ersteres sollte deaktiviert sein, letzerer könnte umbenannt sein. Aber: Security by obscurity doesn't work.
In einem domänenbasierten Netzwerk gibt es _keinen_ vernünftigen Grund, lokale Benutzerkonten anzulegen. Es gibt auch _keinen_ vernünftigen Grund, neben den vordefinierten lokalen Gruppen auch noch weitere Gruppen anzulegen :-)
Weise Gruppen bestimmten vordefinierten Benutzergruppen zu, z.B. die Gruppe der Domänenadministratoren ist typischerweise Mitglied der Gruppe der lokalen Administratoren. Ich erinnere mich gerne an einen Supportfall, wo dies nicht der Fall war.
Ich hoffe, daß es bis hierhin korrekt ist...
- Was ich nicht verstehe:
(1) Die Rechte werden eingetragen über Ordner > 'Eigenschaften' > Registerkarte 'Sicherheit'. An dieser Stelle gibt es zusätzlich noch die Registerkarte 'Freigabe'. Was hat diese noch für einen Sinn?
In einem Domänennetzwerk? Wenig. Typischerweise gibst Du Ressourcen auf Servern frei, nicht auf irgendwelchen Arbeitsrechnern (die dadurch zu Servern werden).
(2) Die Rechte an einem Hauptordner werden auf alle eingeschlossenen Unterordner vererbt. Kann man aber einem Unterordner eine andere Rechtestruktur zuweisen?
Ja. Dazu deaktiviere die Vererbung.
Und wenn ja, bis auf welche Ebene hinunter? Ich habe die (unsichere) Auskunft erhalten, daß man die Rechte nur bis zur 2. Ebene steuern kann. Stimmt das?
Nein, das stimmt nicht.
Du könntest es prinzipiell Ordnerebene für Ordnerebene anders handhaben. Dies bedeutet jedoch enormen administrativen Aufwand, ist fehlerträchtig und für den Praxiseinsatz nicht sinnvoll.
(3) Welchen Zweck haben die 'Gruppenrichtlinien'? Sind sie eine zusätzliche Feinsteuerung der groben Benutzerrechte oder haben sie mit den Rechten primär nichts zu tun?
Die Benutzerrechte sind meiner Meinung nach alles andere als grob. Gruppenrichtlinien haben mit "Freigaben" und "Zugriff auf Freigaben" im Großen und Ganzen wenig zu tun, allerdings gibt es eine Gruppenrichtlinie, die den Zugriff über das Netzwerk verhindern kann. Das ist aber eine andere Geschichte. Grundsätzlich gilt für Gruppenrichtlinien in der Domäne das gleiche wie für Benutzerkonten. Verwende soweit möglich nur Domänengruppenrichtlinien, keine lokalen.
(4) Dann gibt es noch die Datei- und Ordnerfreigabe. Puuuh ... Ist das noch etwas anderes als das oben genannte?
Ja. Du solltest Dir klar machen, dass jeder Rechner, auf dem eine Ressource freigegeben ist, prinzipiell ein Server ist. In einer Domänenumgebung ist es im Allgemeinen nicht sinnvoll, auf Arbeitsstationen Ordner freizugeben. Halte die Daten zentral auf Fileservern. Dazu sind die da, dort werden sie auch vom Backup erfaßt.
Was ist der Unterschied?
Zugriffsrechte auf Dateien und Ordner zu erteilen, ist nur unter dem Dateisystem NTFS möglich. Diese Berechtigungen gelten sowohl für lokale Benutzer als auch für Benutzer, die über das Netzwerk auf diese Ressourcen zugreifen.
Freigaben erlauben erst den Zugriff über das Netzwerk. Ohne Freigabe kein Zugriff. So einfach ist das. Verfügt Dein Benutzerkonto jedoch nicht über ein Recht, auf die freigegebenen Dateien (und Ordner) zuzugreifen, dann kannst Du dennoch nicht auf die freigegebenen Dateien (und Ordner) zugreifen.
Warum kann ich sie an meinem Arbeitsplatzrechner nicht über die Ordnereigenschaften sehen, obwohl unter 'Extras > Ordneroptionen > Ansicht' die 'Einfache Dateifreigabe' aktiviert ist?
*g* Du solltest genau die 'Einfache Dateifreigabe (empfohlen)' _deaktivieren_. Diese Einstellung ist in einem Netzwerk nicht empfehlenswert. Ich halte sie grundsätzlich für nicht empfehlenswert.
Mich interessiert, ob Du an der Theorie, an den theoretischen Möglichkeiten oder an der Praxis interessiert bist. Weitere Informationen zu Gruppen in Windows-Domänen findest Du unter anderem auch in einem Archivposting von mir.
Freundliche Grüße
Vinzenz
-
Hallo Vinzenz,
vielen Dank für Deine Bemühungen. Bei mir geht es um eine Domänenstruktur mit Controller. Die Materie ist wohl doch komplexer als ich dachte. Meine Anfrage rührt aus der Praxis her. Der Fall liegt so:
An unserem Firmennetz hängen ca. 130 Leute dran. (Ergo gibt es doch wohl 130 Benutzerkonten, oder?). Dann gibt es ein gemeinsames Laufwerk, auf das grundsätzlich alle zugreifen können. Dessen jetzige Ordnerstruktur soll komplett 'umgebaut' werden, weswegen die Rechte für Ordner (evtl für Unterordner) neu definiert werden müssen. Nicht alle Mitarbeiter sollen alles dürfen. Ein Mitglied von Abteilung ABC soll Vollzugriff auf den ABC-Ordner und vielleicht drei, vier andere Ordner haben. Andere Ordner von anderen Abteilungen soll er lesen, aber nicht verändern dürfen. Wieder andere Ordner soll er gar nicht sehen im Windows-Explorer.
Seine Kollegen aus der Abteilung sollen i.d.R. die gleichen Rechte haben, evtl. aber auch noch auf einen Ordner mehr oder weniger zugreifen können.
Die Abteilungsleiter sollen alles sehen und auf alles zugreifen können.
Ich denke, daß man im ersten Schritt die 130 Leute/Benutzerkonten erst einmal in Gruppen einteilen sollte, wobei DIE Leute in einer Gruppe zusammengefaßt werden, die identische Rechte haben.
Das ist mein Problem, daß ich nicht nur die Neusortierung der Ordner und Unterordner bewerkstelligen soll, sondern auch die Rechtevergabe für einen Netzwerkadministrator vorbereiten soll. Dazu wäre es für mich sehr nützlich, die Materie zu verstehen.
Welche Schritte sollten Deiner Ansicht vorgenommen werden?
MfG
pixxma
-
Hallo pixxma,
Welche Schritte sollten Deiner Ansicht vorgenommen werden?
Du solltest Dir ein paar vernünftige Bücher über Active Directory (AD) und Windows-Netzwerkverwaltung zur Verfügung stellen lassen, die Euros wären gut angelegt. Ich persönlich habe mit Microsoft Press, O'Reilly und Addison-Wesley gute Erfahrungen gemacht. Lies Dich in die Materie ein, noch besser besorge Dir Trainingsbücher (Microsoft Press) für die entsprechenden MS-Zertifikate. Für das praktische Selbststudium kann ich diese Werke wirklich empfehlen.
vielen Dank für Deine Bemühungen. Bei mir geht es um eine Domänenstruktur mit Controller. Die Materie ist wohl doch komplexer als ich dachte. Meine Anfrage rührt aus der Praxis her. Der Fall liegt so:
Soo kompliziert sieht das ganze doch gar nicht aus, ganz im Gegenteil.
An unserem Firmennetz hängen ca. 130 Leute dran. (Ergo gibt es doch wohl 130 Benutzerkonten, oder?).
Es sollte sie geben. Wenn nicht, sorge als erstes dafür, dass sie existieren. Grundsätzlich wäre es wahrscheinlich eine gute Idee, die Unternehmensstruktur im AD abzubilden, wenn dies noch nicht geschehen ist.
Dann gibt es ein gemeinsames Laufwerk, auf das grundsätzlich alle zugreifen können.
Könntest Dich eventuell damit anfreunden, statt _einer_ Freigabe mit diversen Unterverzeichnissen _mehrere_ Freigaben von Ordnern (auf dem gleichen Fileserver) zu verwenden?
Dessen jetzige Ordnerstruktur soll komplett 'umgebaut' werden, weswegen die Rechte für Ordner (evtl für Unterordner) neu definiert werden müssen. Nicht alle Mitarbeiter sollen alles dürfen. Ein Mitglied von Abteilung ABC soll Vollzugriff auf den ABC-Ordner und vielleicht drei, vier andere Ordner haben. Andere Ordner von anderen Abteilungen soll er lesen, aber nicht verändern dürfen.
Das ist überhaupt kein Problem. Bei jeder Freigabe erteilst Du auf Freigabeebene Vollzugriff für alle. Den Zugriff selbst regelst Du über die NTFS-Berechtigungen.
Wieder andere Ordner soll er gar nicht sehen im Windows-Explorer.
Mit mehreren Freigaben (eventuell versteckt) wäre dies am einfachsten zu realisieren. Beachte bitte, dass man bei Windows-Netzwerken typischerweise Ordner "sieht", auf die man dennoch keine Zugriffsberechtigung hat.
Seine Kollegen aus der Abteilung sollen i.d.R. die gleichen Rechte haben, evtl. aber auch noch auf einen Ordner mehr oder weniger zugreifen können.
Wie bereits erwähnt, für "Sonderrechte" richte entsprechende Gruppen ein.
Die Abteilungsleiter sollen alles sehen und auf alles zugreifen können.
Nicht wirklich? Ich habe die Erfahrung gemacht, dass es durchaus sinnvoll ist, wenn Chefs und Abteilungsleiter auf diverse Bereiche _keinen_ Zugriff haben :-)
Ich denke, daß man im ersten Schritt die 130 Leute/Benutzerkonten erst einmal in Gruppen einteilen sollte, wobei DIE Leute in einer Gruppe zusammengefaßt werden, die identische Rechte haben.
Wahrscheinlich ist das nicht die beste Idee. Soweit ich das sehe, erstelle zunächst Gruppen, die Deinen Abteilungen entsprechen und schaue wieviel Du damit abdecken kannst. Für die restlichen Berechtigungen erstelle weitere Gruppen. Es ist überhaupt kein Problem und völlig normal, dass sich ein Benutzer in mehr als einer Gruppe befindet. Am besten ist immer noch das Prinzip KISS (keep it simple stupid), d.h. so einfach wie es geht, so komplex wie unbedingt nötig.
Das ist mein Problem, daß ich nicht nur die Neusortierung der Ordner und Unterordner bewerkstelligen soll, sondern auch die Rechtevergabe für einen Netzwerkadministrator vorbereiten soll.
Äh ja, der könnte doch auch was arbeiten ;-)
Dazu wäre es für mich sehr nützlich, die Materie zu verstehen.
Wieso denn das? Ehe Du Dich versiehst, bist _Du_ Netzwerkadministrator (in unvergüteter Nebenfunktion). *bg*
Freundliche Grüße
Vinzenz
-
Hi,
Praxis hin oder her, die Aufgabenstellung klingt sehr nach Lehrbuch,
für diese MSCE-Dinger :)Und da es für mich so nach Lehrbuch klingt, würde ich dir auch empfehlen,
dir ein (vielleicht auch mehrere) entsprechendes (z. B. Microsoft Press
für ca. 70€) Buch zu dem Thema zu kaufen, die Inhalte zu studieren und
versuchen in einer Testumgebung anzuwenden. Als Stichwort mag dir noch
helfen: Active DirectoryIch finde es erstaunlich, dass (d)eine Firma dir so eine Aufgabe gibt,
ohne von deinen Fähigkeiten zur Administration von MS Windows-Netzwerken
überzeugt zu sein, denn haben tust Du ja anscheinend nicht viele?Um dir diese Kenntnisse anzueignen, kannst du Kurse (MOC usw.) von
IT Weiterbildungsunternehmen besuchen oder dich eben im Selbststudium
von entsprechender Fachliteratur versuchen.Für Testumgebungen kannst du von MSFT das Produkt Virtual PC verwenden
sowie Evaluierungsversionen der Betriebssysteme.Den Know-How Aufbau zu bezahlen sowie eine Testumgebung sollte für
deine "Firma" eine zwingende Angelegenheit sein.Ciao, Frank
P.S: es kommen evt. noch 130 Computerkonten hinzu, auf denen dann evt.
auch noch Gruppenrichtlinien wirken ...-
@Frank & Vinzenz
Hi und danke. Also es ist ja nicht so, daß ich als 'Netzwerk-Anfänger' das alles selbst einrichten soll. Da gibt es schon 'Vollblut-Admins', die das letztendlich machen. Ich soll mir halt Gedanken machen, wie die Benutzerstruktur/-verwaltung auszusehen hat ("Wer darf was?") und finde es ganz gut, wenn ich ich wenigstens insofern die Materie kennenlernen kann, daß ich weiß "Was geht? Was geht nicht?". (Abgesehen davon lerne ich prinzipiell gerne dazu.)
Aber eine Frage noch: in meinem Ausgangsposting hatte ich folgende mögliche Rechte für Benutzer/-gruppen aufgezählt: Lesen, Schreiben, Ordnerinhalt auflisten, Lesen/Ausführen, Ändern, Vollzugriff. - Vinzenz schrieb dazu, daß das nur "ein winziger Ausschnitt" sei. Das aber sind doch die Rechte, die man über die Registerkarte 'Sicherheit' vergebn kann. Welche gibt es denn noch und wo finde ich die?
MfG
pixxma-
Hallo,
ja, wenn's an dem ist, solltest du wirklich deinem/n Vorgesetzten auf
die Nerven gehen, dich bei deiner Weiterbildung zu unterstützen.Zu deiner Nachfrage: Schnapp dir einen Ordner, Rechtsklick, Eigenschaften, Karte Sicherheit, "Erweitert" ... = neues Fensterchen,
-> einen Eintrag da auswählen und auf Bearbeiten klicken ... da siehst
du dann noch ein paar mehr Berechtigungen, bzw. Möglichkeiten :)Ciao, so long,
Frank
-
-
-