Custom share rechten

[dude88]

Ik loop even tegen een puntje aan bij het aanmaken van een nieuwe share.

Ik heb onderstaande structuur op de file server (2008 R2):
X:\Toplevel Folder\
Met daarin:
Folder 1
Folder 2
Folder 3

Aan folder1,2,3 worden altijd 2 AD groups gehangen. 1 voor lezen, en 1 voor lezen en schrijven.

Ik wil het volgende:
- Users mogen geen folder aanmaken in toplevel folder
- Users mogen indien schrijfrechten wel folder maken in folder1,2,3

Dit is gelukt door middel van custom rights op de folderlevel folder. Op de toplevel folder only hebben de users alleen:
Traverse folder / execute file
List folder / read data

Echter er is 1 bijeffect waar ik vanaf wil. Users kunnen bijvoorbeeld wel folder 1 in folder 2 verplaatsen als ze daar schrijfrechten in hebben.

Ik wil dus voorkomen dat users de folder1,2,3 kunnen verplaatsen of verwijderen. Wat ze in deze folders doen is vrij, dus daar wel alle rechten behalve manage.

Iemand een idee hoe dit het beste op te lossen.

[SteeringWheel]

Uit m'n hoofd:

folder: groep - recht - applies to
toplevel folder: all users of iets dergelijks - read - only this folder
subfolder: groep readwrite - change - only files and subfolders
subfolder: groep readwrite - write - folder, files and subfolders
subfolder: groep read - read - folder, files and subfolders

[dude88]

Thanks, ik heb het getest dat werkt!

Echter ik verwacht dat er 150+ folders aangemaakt moeten worden.

Als je dan deze rechten bij elke folder moet aanmaken wordt het helemaal een enorme klus. Daarbij is de kans op foutjes ook enorm. Zeker als later ook andere dit via een procedure moeten gaan doen.

Ik had eigenlijk gehoopt dat het mogelijk was iets aan rechten op de toplevel folder aan te passen.

Een andere optie is om een script een nieuwe folder aan te laten maken.
Dan moet het script:
2 groupen in AD aanmaken op basis van de map naam.
Map zelf aanmaken.
custom rechten zoals hierboven beschreven aanpassen en toepassen op de map.

Gezien ik zelfs geen scripter ben heb ik niet eens een idee waar ik moet beginnen...

[Linke Loe]

dude88 schreef op donderdag 29 januari 2015 @ 11:54:
Gezien ik zelfs geen scripter ben heb ik niet eens een idee waar ik moet beginnen...

Wat dacht je van https://technet.microsoft.com/en-us/library/hh847741.aspx en https://technet.microsoft.com/library/dn249523.aspx

Hier vind je een overzicht van alle powershell cmdlets waarmee je dit in een script kan gooien.

[dude88]

Thanks, maar ik betwijfel of ik daar uit ga komen.
Ik krijg over het algemeen al ruzie met PS zodra ik zo'n cmdlets moet gaan inladen.

Laat staan dat ik met variabelen meerdere objecten moet gaan aanmaken en vervolgens toevoegen met custom instellingen

Ja, het zou wel erg handig zijn.

[SteeringWheel]

En deze nog voor acl's:
http://blogs.technet.com/...d-acls-in-powershell.aspx
https://sites.google.com/...acl-owner-and-ntfs-rights

Deze is eenvoudiger, maar werkt langzamer op bestaande folderstructuren (met inhoud):
https://gallery.technet.m...0b-4a2b-acef-90dbb2b84e85

Het werken met ntfs permissies is niet het makkelijkste als je nog moet beginnen met scripten. Maar het is wel een uitdaging die je uiteindelijk een hoop werk scheelt en scriptervaring oplevert

[Linke Loe]

Nog een tip: gebruik de Powershell ISE (integrated scripting environment). Dit werkt een stuk vriendelijker dan het reguliere Powershell venster.

[Killah_Priest]

dude88 schreef op donderdag 29 januari 2015 @ 13:35:
Thanks, maar ik betwijfel of ik daar uit ga komen.
Ik krijg over het algemeen al ruzie met PS zodra ik zo'n cmdlets moet gaan inladen.

Laat staan dat ik met variabelen meerdere objecten moet gaan aanmaken en vervolgens toevoegen met custom instellingen

Ja, het zou wel erg handig zijn.

PS is toch echt wel zo'n beetje het belangrijkste om je in te verdiepen als systeembeheerder.
Zonder PS zul je dit soort dingen helaas met de hand moeten doen.

Het leuke aan PS is wel : hoe vaker je ermee bezig bent hoe beter je erin wordt.

[dude88]

Dat ben ik nu wel een beetje aan het doen
Ik had al een paar dingetjes gemaakt om wat info aan AD toe te voegen.

Linke Loe schreef op donderdag 29 januari 2015 @ 16:00:
Nog een tip: gebruik de Powershell ISE (integrated scripting environment). Dit werkt een stuk vriendelijker dan het reguliere Powershell venster.

Goede tip, dat maakt het testen een stuk vlotter!

Goed, de basis heb ik nu op zijn plek
Het script vraagt om de foldernaam.
Vervolgens worden de map aangemaakt op de file server en er worden 2 AD groups aangemaakt met de bijbehorende beschrijvingen.

De volgende stap wordt dus de custom rechten toevoegen aan de nieuw aangemaakt map met de 2 AD groups.

Als iemand daar nog tips voor heeft graag!

Straks ga ik het nog leuk vinden