[XP] 1 laptop in 2 domeinen gebruiken

[Verwijderd]

De situatie is als volgt: Wij werken hier met een klein domein, 1 x W2k3 + ca. 10 werkstations (WinXPPro). Een collega van een andere dienst komt hier een enkele keer werken. Andere dienst heeft ander domein (geen trust, helemaal niks, willen wij ook niet). Collega heeft een account op ons domein. Ik heb reeds uitgevonden dat collega resources op ons domein zou moeten kunnen gebruiken door lokaal op haar laptop (XPPro)in te loggen en daarna via mijn netwerklocaties een resource (map of printer) van ons domein kan benaderen. inloggen met: domein.local\accountnaam. Dit lukt; collega kan shares benaderen. Vervolgens blijkt dat collega alleen leesrechten blijkt te hebben, terwijl ik haar vanuit ons domein zeer zeker lees, schrijf en wijzig rechten heb gegeven (zowel op share als op NTFS).
Wanneer collega werkt op één van de werkstations is er dus geen enkel probleem. Alleen als zij haar laptop gebruikt.

[Question Mark]

Wat is de exacte foutmelding die ze krijgt als ze vanaf haar laptop probeert te schrijven op één van deze shares?

[FaceDown]

Je kan haar aanmaken als user binnen jullie domein. Als zij dan met dezelfde naam en zelfde password lokaal op haar laptop inlogt, dan kan ze shares benaderen (lees + schrijf). Dan hoeft ze met de domeinnaam helemaal niks te doen.

[ Voor 13% gewijzigd door FaceDown op 21-09-2006 10:18 ]

[Verwijderd]

Question Mark schreef op donderdag 21 september 2006 @ 10:13:
Wat is de exacte foutmelding die ze krijgt als ze vanaf haar laptop probeert te schrijven op één van deze shares?

Weet het niet zeker, maar iets als: U heeft onvoldoende rechten om deze bewerking uit te voeren.....

(Collega is pas volgende week hier weer aanwezig).

[djluc]

FaceDown schreef op donderdag 21 september 2006 @ 10:17:
Je kan haar aanmaken als user binnen jullie domein. Als zij dan met dezelfde naam en zelfde password lokaal op haar laptop inlogt, dan kan ze shares benaderen (lees + schrijf). Dan hoeft ze met de domeinnaam helemaal niks te doen.

Is dat dan niet een enorm beveiligingsrisico? Ik kan dus als ik eenmaal het wachtwoord van iemand heb afgekeken met elke willekeurige computer toegang krijgen tot de data zonder dat deze computer in het domein opgenomen is?

[Zwelgje]

djluc schreef op zaterdag 23 september 2006 @ 00:16:
[...]

Is dat dan niet een enorm beveiligingsrisico? Ik kan dus als ik eenmaal het wachtwoord van iemand heb afgekeken met elke willekeurige computer toegang krijgen tot de data zonder dat deze computer in het domein opgenomen is?

dat is dus standaard onder windows, je pc hoeft geen lid te zijn van het domain om domainresources te kunnen gebruiken

resources verdeel je op username niet op computername. iedereen kan met een domain\username connecteren naar resources

kan wel anders maar dan moet je je servers met ipsec gaan dichttikken, dan kan je er *wel* voor zorgen dat je alleen met domainmembers kan connecteren naar de server.

[Verwijderd]

titelfix en tikje naar WOS

[ Voor 45% gewijzigd door Verwijderd op 23-09-2006 10:17 ]

[djluc]

Mm, dat verbaasd me eigenlijk wel. Stel: Je hebt een computer-policy waarmee je alle USB sticks en andere datadragers blokkeerd om gegevensdiefstal te voorkomen. Die wordt niet toegepast op de prive-laptop die pietje meeneemt, oftwel hij logt lokaal in met zijn gegevens en kan rustig de data op zijn lokale schijven zetten.

[Zwelgje]

als je het echt zo veilig wilt dan heb je vast ook wel een ipsec policy in place

* Zwelgje wel

[djluc]

Gelukkig heb ik daar nog niet mee te maken

[Tweeker]

djluc schreef op zaterdag 23 september 2006 @ 10:50:
Mm, dat verbaasd me eigenlijk wel. Stel: Je hebt een computer-policy waarmee je alle USB sticks en andere datadragers blokkeerd om gegevensdiefstal te voorkomen. Die wordt niet toegepast op de prive-laptop die pietje meeneemt, oftwel hij logt lokaal in met zijn gegevens en kan rustig de data op zijn lokale schijven zetten.

In dat geval moet je geen computers van derden in je netwerk toestaan, alleen door het bedrijf geconfigureerde pc's / laptops, waarvan de eigenaar niet het admin wachtwoord van heeft.

Anders heb je het geval:
pietje hangt zijn prive laptop in het netwerk, kopieert de data die hij wil hebben naar zijn desktop, logt in als local administrator en gooit het alsnog op CD/USB stick. En dan heb je nog niks bereikt.

[ Voor 0% gewijzigd door Tweeker op 23-09-2006 11:10 . Reden: toetsen zaten op de foute plaats... ]

[djluc]

Klopt inderdaad, had alleen gedacht dat dit standaard ook al zo was.

[aZuL2001]

Het hangt er van af of je de rechten op domain users hebt staan.

En jantje in domein 1 is niet dezelfde als jantje in domein 2.
De users hebben een verschillende Security Identifier.
En ook al is de naam hetzelfde, de sid niet.
En daar staan de rechten op, niet op de naam.

[Zwelgje]

aZuL2001 schreef op zaterdag 23 september 2006 @ 11:19:
Het hangt er van af of je de rechten op domain users hebt staan.

En jantje in domein 1 is niet dezelfde als jantje in domein 2.
De users hebben een verschillende Security Identifier.
En ook al is de naam hetzelfde, de sid niet.
En daar staan de rechten op, niet op de naam.

nee maar als je connect met

net use * \\server\share /user:domain\user password dan kom je er onder de target domain credentials in hoor

dat heeft niks met sids te maken in dit specifiek geval