Afdelingsfolder Best Practice

[bregweb]

Onze afdelingsfolders zijn nogal een rommeltje, maar ik mag een nieuwe afdeling opzetten en wil nu wat meer structuur aanbrengen. Server is Windows 2012.
De structuur die ik graag wil

-Hoofdmap/Share op Server
-Afdelingsnaam (DA Full Control, Users Read Execute)
-Afdelingsmappen (DA Full Control, Users Read Execute)
- Nog meer mappen (DA Full Control, Users Full Control)
Ik wil graag tot aan de afdelingsmappen de boel zelf beheren, ze kunnen via mij een extra map aanmaken. Daaronder mogen ze zelf los gaan.

Zijn er zaken die ik over het hoofd zie? Iemand nog tips? Probeer op Internet iets van een best practice te vinden maar kan niet echt de juiste plek vinden.

[Question Mark]

bregweb schreef op donderdag 21 augustus 2014 @ 12:46:
Daaronder mogen ze zelf los gaan.

Da's dus een nogo. Straks heb je paden die langer zijn dan het toegestane aantal karakters en struikelt je backup daarover (of iets dergelijks).

Ik zou users overigens sowieso geen full control geven, change is meer dan genoeg. Dat voorkomt dat users zelf rechten kunnen gaan aanpassen van bestanden of folders.

Google verder eens op RBAC (Role Based Access Control). Daarmee deel je rechten uit op basis van functies (ipv op basis van een complete afdeling) en kun je toegang tot data net wat meer fine-tunen.

En gebruik verder meteen het juiste groeptype om toegang tot resources te krijgen, ik zie dat ook nog wel eens fout gebruikt worden. (Wikipedia: AGDLP)

[SirDarkAngel]

De structuur van een afdelings share wordt vaak bij een IT afdeling neer gelegd, terwijl deze vooral een adviserende functie moeten hebben in mijn ogen. Dit betekend niet dat de IT afdeling geen eisen mag neerleggen wat betreft beheersbaarheid (aantal niveau's etc.), maar uiteindelijk moet de business ermee werken en de structuur bepalen.

Wat betreft de structuur valt er weinig over te zeggen, behalve wat Mark al aangeeft, laat gebruikers zelf geen rechten veranderen, ook niet op hogere niveaus, dit is op langer termijn niet te beheren. Change rechten is meer dan voldoende.

_{(Zijn CIFS shares sowieso nog van deze tijd? Of moet je direct verder kijken als het toch gaat aan pakken)}

[bregweb]

Bedankt voor de link en de tip. Users FC was een copy/paste (lui) error van mijn kant, moet inderdaad change zijn.

Ik probeer de afdeling de structuur te laten bepalen en heb ook keurig 10 mappen opgekregen die zij willen gaan gebruiken. Ik heb die mappen keurig aangemaakt, DA mag alles en een security groep waar ik gebruikers in heb zitten heeft leesrechten op die mappen. Tot zover gaat alles goed.

Hoe draag ik nu die 10 lege mappen over aan de afdeling? Zij moeten genoeg rechten krijgen om de mappen te gaan vullen, maar niet genoeg om met die mappen te rommelen.

[hans_lenze]

bregweb schreef op donderdag 21 augustus 2014 @ 14:33:
Hoe draag ik nu die 10 lege mappen over aan de afdeling? Zij moeten genoeg rechten krijgen om de mappen te gaan vullen, maar niet genoeg om met die mappen te rommelen.

Meestal met een nieuwe driveletter in explorer. En een mailtje naar het afdelingshoofd dat ze los kunnen gaan. Wildgroei van mappen is niet te voorkomen, tenzij je een afdelingshoofd verantwoordelijk maakt voor het boeltje en hij/zij het ook strak bijhoudt. Het opruimen en/of netjes houden is in elk geval niet de taak van IT. Dat regelen ze maar lekker zelf met werkinstructies en afspraken onderling.

[Linke Loe]

bregweb schreef op donderdag 21 augustus 2014 @ 14:33:
Een security groep waar ik gebruikers in heb zitten heeft leesrechten op die mappen.

Heb je hier nu maar 1 (global) group aangemaakt en deze groep rechten gegeven? Dan hanteer je dus nog steeds niet het AGDLP principe, zoals al eerder aangehaald werd. Dit principe gas namelijk uit van een global group waar je de gebruikers in plaatsten een domain local group waar je rechten aan toekent op he filesystem. Vervolgens maak je de global groups lid van de domain local groups om ervoor te zorgen dat de gebruikers de juiste rechten krijgen.

[CMD-Snake]

Overweeg ook om Access Based Enumeration aan te zetten. Gebruikers kunnen dan alleen mappen zien waar ze rechten op hebben. Mappen waar ze geen toegang toe hebben worden niet getoond. Is wel handig als ze maar in bijvoorbeeld vijf mappen mogen terwijl er in totaal vijftien zouden staan op hun scherm anders.

[Killah_Priest]

CMD-Snake schreef op vrijdag 22 augustus 2014 @ 06:54:
Overweeg ook om Access Based Enumeration aan te zetten. Gebruikers kunnen dan alleen mappen zien waar ze rechten op hebben. Mappen waar ze geen toegang toe hebben worden niet getoond. Is wel handig als ze maar in bijvoorbeeld vijf mappen mogen terwijl er in totaal vijftien zouden staan op hun scherm anders.

ABE voorkomt ook onzinnige verzoeken van gebruikers voor toegang tot een folder, als men immers niet weet dat een folder bestaat dan vraagt men ook geen toegang (binnen het mkb kom ik helaas vaak genoeg mensen tegen die perse toegang willen hebben tot een bepaalde folder omdat zij "speciaal" zijn en meer rechten willen hebben als hun collega's).

Mijn voorkeur voor het inrichten van shares is dfs icm ABE, 1 driveletter mappen aan namespace met alle shares en men ziet vervolgens alleen de shares waar zij toegang toe hebben.

[Linke Loe]

Ik zou raad ook aan om DFS in te richten. Dit maakt het mogelijk om al je shares aan te bieden onder 1 namespace. Misschien klinkt het een beetje overbodig als je maar 1 fileserver hebt, maar het maakt een latere migratie naar een nieuwe fileserver wel een stuk eenvoudiger. Je kan dan lekker de boel laten repliceren terwijl je shares toegankelijk blijven onder dezelfde naam.