Gebruiker kan share benaderen ondanks permissies

[ProCal]

Vreemd probleem met Windows Server 2008 (of ik begrijp het gewoon niet, dat kan ook):

Ik heb een share gemaakt en "Everyone" full control gegeven (op shareniveau), zoals ik dat ooit geleerd heb. (Mij is verteld dat je de permissies regelt in het security-tab en niet op shareniveau, vandaar.)

Dan heb ik bij security de "normale" permissies, voor Administrators, SYSTEM en dergelijke. Als ik niets wijzig aan deze instellingen en ook geen gebruikers toevoeg kunnen de gebruikers toch bij deze map komen en hier wijzigingen in aanbrengen. Datgene wat erop staat kan niet worden gewijzigd, wel kunnen er bestanden en mappen worden toegevoegd.

Waaróm dit zo is begrijp ik wel, de account groep "Users" staat in de permission entries met daarbij de read/execute/create/write/append attributen. Ik kwam erachter dat de "Authenticated users" niet meer als zodanig bestaat, deze hangt tegenwoordig onder "Users".

Als ik dus met een gebruiker inlog dan is het logisch dat bovenstaande gebeurt. Tot zo ver het, voor mij, begrijpelijke.

Wat ik niet begrijp is dat als ik de Users-permissies weggooi, ik er met mijn Administratoraccount niet meer bij kan. Vervolgens snap ik niet hoe ik het dan wél zo kan instellen dat gekeken wordt naar de groep die ik erin zet en niet naar authenticated users...

Ik kan natuurlijk permissions gaan deny'en op gebruikersnaam maar volgens mij is dat niet de bedoeling. (En dat zou een hel zijn met 100+ users ofzo)

Met Windows 2003 was het piece of cake... Gebruiker aanmaken, deze niet lid maken van Users maar van een andere groep en vervolgens die groep wel of geen toegang geven....

Wat doe ik verkeerd? Iemand die hier een idee over heeft?

[Hero of Time]

Wij hebben het zo geregeld dat de rechten op de share staat, niet op de NTFS rechten. Daarmee kan je het ook regelen.
Geef overigens NOOIT everyone full control. Dat is de worst practise die er is. Read/write is het hoogste wat je gebruikers/groepen geeft, tenzij ze zelf rechten mogen aanpassen, en dat wil je niet.

[RKD]

Hero of Time schreef op dinsdag 11 september 2012 @ 09:41:
Wij hebben het zo geregeld dat de rechten op de share staat, niet op de NTFS rechten. Daarmee kan je het ook regelen.
Geef overigens NOOIT everyone full control. Dat is de worst practise die er is. Read/write is het hoogste wat je gebruikers/groepen geeft, tenzij ze zelf rechten mogen aanpassen, en dat wil je niet.

Op share permissions geef je wel everyone full control, want je sluit het juist af met ntfs permissies. Het systeem wat de TS noemt gebruiken wij ook altijd.

In jouw geval (als je het dus met share permissions regelt) dan moet je idd niet everyone full geven.

[ Voor 8% gewijzigd door RKD op 11-09-2012 09:43 ]

[Weiman]

Precies, zo staat het ook in microsoft boeken over AD e.d.

[Turdie]

Heb je al is bij de effective permissions gekeken? Als je met de Administrator er rechten op wil hebben moet de Administrators groep als ACE op die map staan of de Domain Admins groep als je Administrator account daar lid van is.

Ik heb trouwens even gekeken op mijn eigen systeem (Windows 7 Enterprise) en de Authenticated Users kun je nog gewoon toevoegen als groep op een map.

[ Voor 43% gewijzigd door Turdie op 11-09-2012 09:59 ]

[ProCal]

shadowman12 schreef op dinsdag 11 september 2012 @ 09:56:
Heb je al is bij de effective permissions gekeken? Als je met de Administrator er rechten op wil hebben moet de Administrators groep als ACE op die map staan of de Domain Admins groep als je Administrator account daar lid van is.

Ik heb trouwens even gekeken op mijn eigen systeem (Windows 7 Enterprise) en de Authenticated Users kun je nog gewoon toevoegen als groep op een map.

@Iedereen: Zo heb ik het inderdaad ook geleerd op m'n Windows 2000 cursus, sharepermissies zet je Everyone full control en dan regel je het met ntfs-permissies. Inderdaad de "Microsoft-manier".

@Shadowman12:

Bij effective permissions heb ik gekeken. Het rare is, dat Gebruiker1 read/execute/create/write/append-permissies heeft, ondanks dat ik die gebruiker, of de groep waarin hij hangt, niet expliciet heb toegevoegd. Eigenlijk is dat niet raar, gebruiker is een Authenticated User en die hangt in de groep "Users". En die groep heeft wel read/execute/create/write/append-permissies.

Zoals ik al zei: als ik de groep Users weghaal, kan ik er helemaal niet meer bij, ook niet als admin, lokaal op de machine zelf. De admins hebben nu wel toegang tot die map, totdat ik de groep Users verwijder....

[Paul]

Als je de inheritance verbreekt (copy) en 'Users' weghaalt staan er alleen nog SYSTEM en Administrators (en misschien Creator / Owner, geen idee zo even uit mijn hoofd).

Je administrative user zit wel in de groep Administrators, maar door middel van UAC zit deze groep niet standaard in je Kerberos-ticket en moet je dus elevaten wil je erbij kunnen.

Makkelijkste is dus bij de advanced permissions de inheritance verbreken (copy), users weghalen, je administrative user toevoegen met full control en dan applyen, vervolgens bij de normal permissions de groep die je hebben moet toevoegen met read/write (kan ook via advanced maar ik kan nooit onthouden welke van de 300 vinkjes ik dan precies moet hebben dus neem ik de shortcut )

[ Voor 35% gewijzigd door Paul op 11-09-2012 11:04 ]