[2003] Massa shares + rechten aanmaken op server

[Falcon10]

Weet niet of dit het juiste forum voor dit onderwerp is, maar kan het niet echt ergens plaatsen dat ik denk daar staat het zeker goed.

Het probleem is als volgt :

ik zou een boel nieuwe gebruikers moeten aanmaken op een Windows 2003 server. Op zich geen probleem MS heeft hier blijkbaar al enkele tooltjes voor om ze te importere vanuit een XLS file.
Nu moet elk van deze gebruikers een eigen prive directory hebben die geshared is, en waar rechten opstaan : admin heeft full rigths, een groep ook full rigths en een andere groep enkel lezen.

Ik weet nu dus totaal niet hoe ik dit kan klaren, buiten de "simpele", trage manier : elk foldertje properties opvragen, sharen, vervolgens de rechten op deze share instellen, en vervolgens het volgende foldertje beginnen en dit maal een goede 700 keer doen
Beetje tijdrovend, dus de vraag : kan dit dmv een tooltje ofzo ook gedaan worden ?

Ik heb reeds een bar filetje klaar staan dat alle directorys creëert, maar het zou makkelijk zijn, alsik bv ineens in die bat file de shares kan instellen en de rechten erop. Maar ik denk dat dit niet kan vanuit een DOS bat file. Of wel ?

[ZeRoC00L]

net share /?

[Verwijderd]

Move PNS > WOS

Ik raad je aan eens op dit forum te zoeken, dit is volgens mij niet de eerste maal dat dit gevraagd wordt.

[mutsje]

zoek op Calcs op Shares in GOT

[Falcon10]

ZeRoC00L schreef op vrijdag 24 juni 2005 @ 12:58:
net share /?

en hoe dan ?

stel dat ik c:\gebruikers\gebruiker1 wil sharen ?
en dat de gebruikers administrator en gebruiker1 full controll moet hebben op de share en gebruiker2 alleen lezen ?
Want aan de codex van het net share commando raak ik dus niet uit

[borgdaville]

ik weet niet of het door de hitte komt maar dit is toch gewoon standaard mogelijk met AD, ik gebruik hetzelf ook. Tis alleen dat er dan maar 1 share is met alle folders van de gebruikers eronder.

Veel gebruikers aanmaken tegelijk kun je op tig manier zoals je al aangeeft.
Voor de nieuwe gebruikers kun je toch op het tabblad profiel kun je toch een homefolder voor iedere gebruiker laten maken(op een speciale share voor homefolders). Nu hebben alle gebruikers in hun eigen map alle rechten. Op het nivo van de homefolder share geef je de groepen die toegang moeten hebben tot de homefolders share en NTFS rechten.

[SeatRider]

mutsje schreef op vrijdag 24 juni 2005 @ 13:53:
zoek op Calcs op Shares in GOT

Of probeer CACLS

Of kijk eens wat je met security templates kan, die kun je namelijk ook gewoon met een texteditor verbouwen.

[elevator]

Kijk eens hier: [rml]elevator in "[ NT4] Rechten verdwenen, per stuk replac..."[/rml]

[StevenK]

Lijkt me dat je iets beter moet zoeken; er is een massa tools en scripts te vinden dit aan te pakken.

[Verwijderd]

Export vanuit excel de lijst als volgt naar homedirs.txt:

code:

gebruikersnaam1,groepsnaam1
gebruikersnaam2,groepsnaam2
etc..

Om nu een lees- en een schrijfgroep te hebben op die dirs ga je met de volgende conventie te werk:
groepsnaam_C heeft schrijfrechten (C=Change) en groepsnaam_R heeft leesrechten.

code:

@echo off

:: Maak een mapping aan naar de plek waar de dirs moeten komen
set drivemapping=x
set admins="Domain Admins"

FOR /F "tokens=1,2* delims=;" %%i in (homedirs.txt) do call :CREATEDIR "%%i" "%%j"

goto :eof

:CREATEDIR
set userid=%1
set groep=%2

if not exist "%drivemapping%:\%userid%" mkdir "%drivemapping%:\%userid%"
xcacls "%drivemapping%:\%userid%" /T /G %admins%:F "%groep%_R":R "%groep%_C":C /c /y
net share %userid%="%drivemapping%:\%userid%" 
::of 'net share %userid%$="%drivemapping%:\%userid%"' als je de share wilt verbergen

Ik gebruik hier xcacls, is bijna hetzelfde als cacls maar met iets meer opties. Even op de ms site zoeken om te downloaden (hoef toch niet alles voor te kauwen ).

BTW: Een beetje sysadmin geeft alleen de groep "domain admins" full rights en andere gebruikers change rechten. Je wilt toch niet dat je gebruikers zelf rechten gaan zetten of erger: weghalen?

[mutsje]

VisaRider schreef op vrijdag 24 juni 2005 @ 14:39:
[...]

Of probeer CACLS

Of kijk eens wat je met security templates kan, die kun je namelijk ook gewoon met een texteditor verbouwen.

mja die bedoelde ik ook Maar homedirectory shares hoef je niet eens te zetten gewoon root rechten goed zetten en klaar.....net als profile shares hoef je ook niks aan te prutsen.

[Falcon10]

Verwijderd schreef op vrijdag 24 juni 2005 @ 16:28:
Export vanuit excel de lijst als volgt naar homedirs.txt:

code:

gebruikersnaam1,groepsnaam1
gebruikersnaam2,groepsnaam2
etc..

Om nu een lees- en een schrijfgroep te hebben op die dirs ga je met de volgende conventie te werk:
groepsnaam_C heeft schrijfrechten (C=Change) en groepsnaam_R heeft leesrechten.

code:

@echo off

:: Maak een mapping aan naar de plek waar de dirs moeten komen
set drivemapping=x
set admins="Domain Admins"

FOR /F "tokens=1,2* delims=;" %%i in (homedirs.txt) do call :CREATEDIR "%%i" "%%j"

goto :eof

:CREATEDIR
set userid=%1
set groep=%2

if not exist "%drivemapping%:\%userid%" mkdir "%drivemapping%:\%userid%"
xcacls "%drivemapping%:\%userid%" /T /G %admins%:F "%groep%_R":R "%groep%_C":C /c /y
net share %userid%="%drivemapping%:\%userid%" 
::of 'net share %userid%$="%drivemapping%:\%userid%"' als je de share wilt verbergen

Ik gebruik hier xcacls, is bijna hetzelfde als cacls maar met iets meer opties. Even op de ms site zoeken om te downloaden (hoef toch niet alles voor te kauwen ).

BTW: Een beetje sysadmin geeft alleen de groep "domain admins" full rights en andere gebruikers change rechten. Je wilt toch niet dat je gebruikers zelf rechten gaan zetten of erger: weghalen?

Alvast bedankt, echter nog enkele vragen :

bij "set drivemapping=x" daar zet ik bv : d:\data in de plek van het x teken ?

tevens volg ik je niet goed bij het zetten van de rechten via xcacls :

xcacls "%drivemapping%:\%userid%" /T /G %admins%:F "%groep%_R":R "%groep%_C":C /c /y
hier volg ik je niet.
ik vermoed dat de %admins% gedeclareerd wordt op set admins="Domain Admins", dat je bovenin hebt staan. Maar dan volg ik niet met de "%groep%_R":R "%groep%_C":C hier geef je %groep% overal read en change rechten zoals het er staat. Klopt dat ? Want daar snap ik niet echt net nut van. Hoe kan je zeggen dat groep x change rechten krijgt op die dir, en groep y enkel read ?

[Falcon10]

heb ondertussen ff enkele dingen aangepast in het script : ik heb er 2 scripts van gemaakt.
Het ene script maakt de groepdirectorys aan, het andere de userdirectorys.
Het resultaat zou iets in deze aard moeten zijn :

d:\data\groep1----------gebruiker1
          ------gebruiker2
------gebruiker3
groep2----------gebruiker1
------gebruiker2

etc etc

voor de groepdirs aan t emaken en sharen heb ik dus een txt file die er als volgt uit ziet :

groep1, groep1
groep2, groep2

de bat file ziet er dan ( volgens mij ) als volgt uit om de groepdirs aan te maken en te sharen :

code:

@echo off

:: Maak een mapping aan naar de plek waar de dirs moeten komen
set drivemapping=d:\data
set admins="Domain Admins"

FOR /F "tokens=1,2* delims=;" %%i in (test_groepdirs.txt) do call :CREATEDIR "%%i" "%%j"

goto :eof

:CREATEDIR
set groepid=%1
set groep=%2

if not exist "%drivemapping%:\%groepid%" mkdir "%drivemapping%:\%groepid%"
xcacls "%drivemapping%:\%groepid%" /T /G %admins%:F "%groep%_R":R "%groep%_C":C /c /y
net share %groepid%="%drivemapping%:\%groepid%"

vervolgens heb ik een andere txt file met het volgende in :

groep1, gebruiker1, gebruiker1
groep1, gebruiker2, gebruiker2
groep2, gebruiker1, gebruiker1

de aangepaste bat file om in de groepsdirs de gebruikersdirs te maken ziet er me dunkt dan zo uit :

code:

@echo off

:: Maak een mapping aan naar de plek waar de dirs moeten komen
set drivemapping=d:\data
set admins="Domain Admins"

FOR /F "tokens=1,2,3* delims=;" %%i in (test_userdirs.txt) do call :CREATEDIR "%%i" "%%j" "%%k"

goto :eof

:CREATEDIR
set groepid=%1
set userid=%2
set user=%3

if not exist "%drivemapping%:\%groepid%\%userid%" mkdir "%drivemapping%:\%groepid%\%userid%"
xcacls "%drivemapping%:\%groepid%\%userid%" /T /G %admins%:F "%groep%_R":R "%groep%_C":C /c /y
net share %userid%="%drivemapping%:\%groepid%\%userid%"

Iemand enig id of dit klopt ? Of ga ik nu een hele boel foutmeldingen krijgen en een server die crasht ?

[Verwijderd]

Falcon10 schreef op dinsdag 28 juni 2005 @ 09:54:
[...]

tevens volg ik je niet goed bij het zetten van de rechten via xcacls :

xcacls "%drivemapping%:\%userid%" /T /G %admins%:F "%groep%_R":R "%groep%_C":C /c /y
hier volg ik je niet.
ik vermoed dat de %admins% gedeclareerd wordt op set admins="Domain Admins", dat je bovenin hebt staan. Maar dan volg ik niet met de "%groep%_R":R "%groep%_C":C hier geef je %groep% overal read en change rechten zoals het er staat. Klopt dat ? Want daar snap ik niet echt net nut van. Hoe kan je zeggen dat groep x change rechten krijgt op die dir, en groep y enkel read ?

Als je het niet helemaal volgt probeer dan even de variabelen te "vullen". Dus je hebt bijv. gebruiker Piet en en de groep sales mag in zijn homedir komen:

userdirs.txt:

code:

piet,sales

code:

xcacls d:\data\piet /T /G "Domain Admins":F SALES_R:R SALES_C:C /c /y

Als je er echt niet uitkomt en je wilt testen hoe je batch eruit ziet, zet dan even "echo " voor de laatste 3 regels. Dan zie je alleen de output maar gebeurt er verder niks. Dan kun je checken of je misschien ergens tikfouten hebt gemaakt.

[Falcon10]

momenteel lukt het ( ben het ff aan het testen op men laptop, geeft problemen met domeinusers die hij niet kan rechten geven ( dhu, aptophangt niet op domein momenteel ).

echter 1 ding :

sharen gaat niet. Blijkbaar is er iets mis met de combinatie van eerst de

code:

drivemapping=d:\data

en vervolgens als je de sharing gaat doen :

code:

net share %groep%=%drivemapping%/%groep%

ik krijg dan de foutmelding : system error 2 has occured.

als ik de ECHO voor die regel zet krijg ik volgende output op het scherm :

net share groep1=d:\data\groep1

typ ik bovenstaande regel manueel in men command venster, dan deelt hij de folder wel.

Enig id wat die fout kan veroorzaken ?

[Verwijderd]

Falcon10 schreef op dinsdag 28 juni 2005 @ 15:48:
net share %groep%=%drivemapping%/%groep%

ik krijg dan de foutmelding : system error 2 has occured.

als ik de ECHO voor die regel zet krijg ik volgende output op het scherm :

net share groep1=d:\data\groep1

typ ik bovenstaande regel manueel in men command venster, dan deelt hij de folder wel.

Enig id wat die fout kan veroorzaken ?

"system error 2" wil zeggen dat ie een file en/of dir niet kan vinden (net helpmsg 2)
Controleer heeeel goed wat je in je batch zet (hint: staat de slash wel goed?) en check of die dir wel is aangemaakt.

[Falcon10]

mja, die staat dus goed, heb em gewoon ff niet juist overgetypt in men vorige post

heb de code een beetje aangepast, zodat hij dus eerst gewoon alle groepmappen aanmaakt en rechten geeft.

dit is men code :

code:

@echo off

:: Maak een mapping aan naar de plek waar de dirs moeten komen
set drivemapping=d:\data
set admins="Domain Admins"

FOR /F "tokens=1,2* delims=;" %%i in (test_groepdirs.txt) do call :CREATEDIR "%%i" %%j

goto :eof

:CREATEDIR
set groepid=%1
set groep=%2

if not exist "%drivemapping%\%groepid%" mkdir "%drivemapping%\%groepid%"
xcacls "%drivemapping%\%groepid%" /T /G %admins%:F "%groep%":R "%groep%":C
net share %groep%=%drivemapping%\%groep%

ik miszie er totaal niets aan dus.

[Verwijderd]

Falcon10 schreef op dinsdag 28 juni 2005 @ 21:36:

code:

set groepid=%1
set groep=%2

if not exist "%drivemapping%\%groepid%" mkdir "%drivemapping%\%groepid%"
xcacls "%drivemapping%\%groepid%" /T /G %admins%:F "%groep%":R "%groep%":C
net share %groep%=%drivemapping%\%groep%

Allereerst geef je dezelfde groep lees- en daarna ook nog eens schrijfrechten.
Daarna share je de groepsnaam. Ik dacht dat 'groepid' geshared moest worden?

In mijn eerste post probeerde ik je te vertellen dat je het best volgens een bepaalde conventie te werk kon gaan.
Stel je hebt een groep salesmensen en die wil je onderverdelen in een lees en schrijf groep. Dan maak je bijv. een groep SALES_READ en een SALES_CHANGE aan. In je tekstbestand (test_groepdirs.txt) hoef je alleen het eerste gedeelte van de groepsnaam aan te geven, nl: SALES.

De regel met xcacls wordt dan als volgt:

code:

xcacls "%drivemapping%\%groepid%" /T /G %admins%:F "%groep%_READ":R "%groep%_CHANGE":C /y /c

[Falcon10]

Hey MrMenor,

het probleem van groepid en groep is niet zo erg, beide variabelen zijn altijd hetzelfde dus.
met de read en change rechten inderdaad klopt het nu niet, maar das ook zo erg niet, daar raak ik zelf nog uit.

het probleem zit hem momenteel enkel nog in de net share commando op het einde.
Die geeft dus die foutmelding ( system error 2 ), en daar wil ik uit raken, maar vind hem dus niet.
Jij toevallig een id ?

[Falcon10]

heb nog wat ermee zitten prutsen, en heb het opgelost gekregen.

volgende code heb ik nu ingevuld om de share succesvol te krijgen :

code:

net share %groep%=d:\data\%groep%

tevens script wat verder aangepast, zodat ik alle groepen die schrijf/lees/change/full rechten hebben op de dirs ook mee inlees vanuit de txt file, en ze direct ook bij de xcacls regel de juiste rechten toezeg.

Bedankt voor de hulp MrMenor !

[ Voor 3% gewijzigd door Falcon10 op 29-06-2005 11:12 ]

[Falcon10]

ik raak er niet meer uit eigenlijk.
Ik heb wat aanpassingen willen doen aan het script.
Dit om er meerdere van te maken, zodat het ook overzichtelijk blijft voor mijn opvolgers/collegas.

Wat ik dus wil doen is het script gebruiken om zo per script een recht toe te kennen aan de directory
En een ander script om de mappen te delen.

Probleem is dat ik ze maar niet uit elkaar "getrokken" krijg.

ik heb momenteel al de ganse gebruikersdatabase en zijn groepen reeds aangemaakt, en die gaan altijd hetzelfde blijven, ook de mappen hiervoor zijn al gemaakt op de server.
Om te illustreren, in deze structuur :

code:

schijf-X ---------- klas1-----------klas1leerling1
                         |---------------klas1leerling2
                      klas2-----------klas2leerling1
                         |---------------klas2leerling2

in deze structuur moet de dir klas1 en klas2 geshared worden en mogen enkel de leerlingen uit die klas er in kunnen. Alle leerlingen van klas1 zitten zo in een groep klas1, die van klas2 in een groep klas2 etc etc.
De groepen mogen enkel leesrechten hebben op hun klasmap.

Dus er zal 1 scriptje gemaakt worden om alle groepen hun leesrechten hiervoor te maken.
Ik dacht dat dit het voglende moet worden :

code:

@echo off
set admins="Domeinadministrators"

FOR /F "tokens=1,2* delims=;" %%i in (homedirs.txt) do call :CREATEDIR "%%i" "%%j"

goto :eof

:CREATEDIR
set user=%1
set groep=%2

xcacls D:\Leerlingen\%groep%" /T /G %admins%:F "%groep%":R /c /y

Kan dit kloppen ?

Vervoglens voer ik de volgende script uit om alles te sharen :

code:

@echo off

FOR /F "tokens=1,2* delims=;" %%i in (homedirs.txt) do call :CREATEDIR "%%i" "%%j"

goto :eof

:CREATEDIR
set user=%1
set groep=%2
net share %groep%="D:\Leerlingen\%groep%"

Zit ik zo ongeveer juist, of doe ik het helemaal verkeerd ?
Vervolgens zou ik de eerste bat file aanpassen om de full en change rechten toe te passen op de mappen, met andere gebruikers/groepen die in een andere txt file staan. Dit om het overzicht te houden.

[ Voor 4% gewijzigd door Falcon10 op 23-08-2005 12:08 ]

[Berimbau]

Check voor de grap eens de tool van http://www.tools4ever.com.
Het betreft UMRA (User Management Resource Administrator). Hier kan je alles mee wat jij wilt op een simpele manier.

[Falcon10]

Bedankt Berimbau !
Interessant programma.

vraag me eigenlijk wel af of je met xcacls ofzo ook niet gewoon een soort commanda kan schrijven dat gewoon op alle dirctorys die in de folder staan waar je op dat moment xcacls in laat draaien rechten kan laten zetten, door gewoon op de naam van de folder rechten te geven aan een gebruiker met dezelfde naam als de folder.

Dus als je een dir leerlingen hebt en je laat daar xcacls in draaien, dat hij op de folder leerling1 de gebruiker leerling1 schrijfrechten geeft, folder leerling2 krijgt leerling2 schrijfrechten

ik vermoed dat dat dan iets zou moeten zijn a la :

code:

xcacls %directorynaam%:C

Maar eerst zou je een soort dir |get moeten doen en deze eerst naar een txt bestandje sturen, waarna xcacls deze kan inlezen, zodat hij al weet welk de directorys zijn in de folder leerlingen.

Iemand een flauw id of dat zou kunnen ?

[akimosan]

dir /aD /b > dirs.txt

laat alleen directories zien in Bare format en schrijft naar textfile dirs.txt

gebruik ook dir /? voor meer opties.

[Falcon10]

bedankt akimosan, dat was degene die ik nodig had, ik heb er ook nog /S aan toegevoegd voor ook de submappen weer te geven en naar de txt te schrijven.

ik heb nu het volgende :

- een txt file ( info.txt ) met daarin de volgende verdelingen :

code:

klas\leerling         leerling

dus in werkelijkheid als volgt :

klas1\klas1leerling1 klas1leerling1
klas1\klas1leerling2 klas1leerling2
klas1\klas1leerling3 klas1leerling3
etc

vervolgens heb ik volgend script klaarstaan :

code:

@echo off

set drivemapping=\\server\Leerlingen

FOR /F "tokens=1,2* delims=;" %%i in (info.txt) do call :CREATEDIR %%i %%j

goto eof

:CREATEDIR
set dir=%1
set user=%2

xcacls "drivemapping%:\%dir% /T /G %user%:C /c /y

De bedoeling is dat dit script ervoor zorgt dat het dmv de 1ste token in de txt file via zijn drivemapping weet over welke directory het gaat en vervolgens door de 2de token die gebruiker change rechten geeft op die directory.
Maw :

\\server\Leerlingen\klas1\klas1leerling1 wordt door xcacls voorzien van change rechten voor klas1leerling1 op deze directory, enz enz

Klopt mijn script ? Ik heb het aangepast adhv het originele, juiste script, maar ben net zeker, scripten is nu niet direct iets waar ik een technische knobbel van heb.
Ena ls het verkeerd is, wat moet ik dan aanpassen ?

[Verwijderd]

Als je dit echt flexibel wilt kunnen inrichten zou ik toch echt naar UMRA (User Management Resource Administrator) kijken (Spam).

Je hebt hiermee eigenlijk een visuele scripting toolbox waarmee je alles (van Active Directory tot file systeem rechten tot Exchange mailboxen) met een soort bouwstenen architectuur kunt opbouwen. Dit kun je vervolgens dan koppelen aan een CSV file, command line input, een database, web interface of een win32 formulier-interface. Je kunt bij dat laatste dan ook delegatie toepassen.

Voorbeeldje: stel je wil gebruikers aanmaken met een home directory op \\HOMESERVER\Users\ en een Exchange e-mailbox @organisatie.nl uit een CSV file met de velden "voornaam;tussenvoegsels;achternaam" dan ziet je project er als volgt uit:

1. Generate names
2. Search Active Directory (duplicate names)
3. Jump to 1 wanneer gevonden en herhaal
4. Create user, alle attributen beschikbaar
5. Create directory op de juiste homeserver met rechten
6. Create Exchange mailbox met aliassen

Succes ermee!

[ Voor 4% gewijzigd door elevator op 29-11-2005 14:13 ]

[elevator]

Posten om mensen te helpen is natuurlijk niets mis mee, een topic van een paar maanden oud kicken om een product te promoten van een bedrijf waar je zelf werkt vind ik persoonlijk niet zo netjes

[Verwijderd]

Nog een leuke tip: ze doen gratis online 1:1 web-demo sessies waarbij je gewoon vragen kunt stellen aan een consultant en die doet dan meteen voor hoe je het moet bouwen.

[Verwijderd]

Apart dat het als spam wordt afgedaan, verderop in de posting staan ook website addressen gelist.

[ Voor 83% gewijzigd door Verwijderd op 29-11-2005 14:22 ]