[MCE 2005] Rechten eigenaar overruled administrators?

[JeroenNietDoen]

Mijn server heeft een share. De share start in de root van de harde schijf. Geautoriseerde usergroepen zijn administrators en externe bureaublad gebruikers. Beide usergroepen hebben volledig beheer over deze share.

Mijn 2 clients zijn 2 PC's waarvan de gebruikers lid zijn van zowel externe bureaublad gebruikers als administrators. Zij benaderen de share via het netwerk. Er wordt geen wachtwoord gevraagd op de share.

Nogmaals: beide users zijn lid van de groep administrators!

Probleem: als user a iets op de share zet, dan kan user b dat bestand niet verplaatsen/verwijderen. Als ik vervolgens naar beveiliging kijk op dit bestand lijkt alles in orde. Echter blijkt dus dat alleen "administrator" en user a zelf dit bestand kunnen verwijderen terwijl user b wel degelijk lid is van administrators. In dit geval lijkt het dus dat de rechten van de eigenaar

Tevens begreep ik altijd dat onder NT de rechten op het hoogste niveau doorlopen naar beneden. Dus zou user b met volledig beheer op de root alles moeten kunnen. Het lijkt er dus op dat eigenaren andere administrators kunnen overrulen.

Kan iemand me een zetje in de goede richting geven, of ik doe iets verkeerd of ik begrijp het rechtensysteem van NT niet

Even terzijde, als users lid zijn van de groep administrators, hoeven ze toch geen lid te zijn van externe bureaublad gebruikers omdat administrators zowiezo al extrne bureaublad gebruikers zijn

[sanfranjake]

Creator Owner? Rechten niet naar beneden doorgeerfd? Heeft iedereen op shareniveau ook rechten?
Wat staat er precies in de ACL van het bestand? Wie is de eigenaar? Misschien kan je via gpedit.msc nog wat sleutelen.

Op een normaal systeem is Administrators superieur aan Remote Desktop Users en zou je ze daar niet expliciet lid van hoeven maken

[JeroenNietDoen]

sanfranjake schreef op maandag 07 augustus 2006 @ 22:09:
Creator Owner? Rechten niet naar beneden doorgeerfd? Heeft iedereen op shareniveau ook rechten?
Wat staat er precies in de ACL van het bestand? Wie is de eigenaar? Misschien kan je via gpedit.msc nog wat sleutelen.

Op een normaal systeem is Administrators superieur aan Remote Desktop Users en zou je ze daar niet expliciet lid van hoeven maken

Alle administrators hebben op het hoogste niveau van de share volledige rechten. Maar ik vermoed dus dat deze rechten inderdaad niet naar beneden doorgeerfd worden want als 1 van de administrators een file op de share plaatst, kan de andere administrator dit bestand niet verplaatsen c.q. verwijderen.

Het lijkt dus alsof er bij mij gekeken wordt naar de grouprechten en omdat die gelijk zijn, overrulen de ownerrechten.

En sorry, ACL ben ik nog niet van op de hoogte.

[_Dune_]

Je moet ook naar de NTFS rechten kijken, mogelijk dat de eene groep daar minder rechten heeft. Wanneer je een share benaderd heb je eerst te maken met de share rechten en vervolgens met de NTFS rechten. Daarnaast kan het met Creator Owner te maken hebben of het inderdaad erven van rechten.

P.s. Wanneer op share niveau adminstrator rechten is gegeven, maar op NTFS niveau read rechten dan heb je uiteindelijke read rechten. NTFS rechten gaan namelijk voor share rechten.

[ Voor 24% gewijzigd door _Dune_ op 08-08-2006 08:46 ]

[JeroenNietDoen]

Ik heb het lek al boven. Op de share zelf heb ik groep everyone weggegooid en alleen administrators volledig rechten gegeven. Maar ik heb op NTFS niveau niks aangepast en dan krijg je dus dat op bestanden de NTFS eigenaar rechten nog steeds gelden

Ik moet dus everyone op de share volledig rechten geven en dan op NTFS nuveau volledige rechten aan de groep administrators geven en dat op het hoogste niveau van de share.

Dan moet het werken.

[ Voor 0% gewijzigd door JeroenNietDoen op 08-08-2006 08:59 . Reden: Wat de post hierboven zei dus! ]

[_Dune_]

Kaap schreef op dinsdag 08 augustus 2006 @ 08:59:
Ik heb het lek al boven. Op de share zelf heb ik groep everyone weggegooid en alleen administrators volledig rechten gegeven. Maar ik heb op NTFS niveau niks aangepast en dan krijg je dus dat op bestanden de NTFS eigenaar rechten nog steeds gelden

Ik moet dus everyone op de share volledig rechten geven en dan op NTFS nuveau volledige rechten aan de groep administrators geven en dat op het hoogste niveau van de share.

Dan moet het werken.

Wanneer je de groep everyone full control geeft op de share heeft automatisch iedereen toegang tot de share. Iedereen is namelijk automatisch lid van de groep everyone, misschien dat het verstandiger is de groep domain users te gebruiken. (mits je een dowmain hebt opgezet natuurlijk)

Overigens wanneer je de groep everyone full control geeft op de share hoef je niet eens de groep administrators er ook nog aan toe te voegen. Aangezien de administrators ook lid zijn van de everyone groep.

[SeatRider]

Kaap schreef op maandag 07 augustus 2006 @ 22:06:
Tevens begreep ik altijd dat onder NT de rechten op het hoogste niveau doorlopen naar beneden. Dus zou user b met volledig beheer op de root alles moeten kunnen.

Dat is dus niet zo. Standaard staan de rechten op bestanden en mappen wel zo dat ze automatisch van bovenaf doorsijpelen, maar je kunt per map/bestand aangeven dat inheritance uit moet. Dat moet wel, want zo kun je mensen wel blader rechten geven op een hoofdmap, maar niet op alle submappen.

Het lijkt er dus op dat eigenaren andere administrators kunnen overrulen.

Dat klopt. Je kunt wel als administrator jezelf owner maken, en daarna de rechten weer goed zetten.

[ Voor 19% gewijzigd door SeatRider op 08-08-2006 09:18 ]