NTFS permissies | Map mag niet verwijderd of hernoemt worden

[arnoudx6]

Hallo allemaal,

Ik heb een vraag op mijn werk die ik niet opgelost krijg. Ik heb last van het volgende probleem:

Probleem omschrijving
Op onze Windows fileservers hebben wij meerdere projectfolders staan met de volgende structuur:

/projectmap1
/projectmap1/management
/projectmap1/customfolder1
/projectmap1/customfolder2
/projectmap1/mogelijk nog veel meer customfolders

De rechten van projectmap1 moeten geërfd worden door de customfolders, maar de folder management moet alleen beschikbaar zijn voor een speciale management groep. Dit heb ik weten te realiseren door de inherent permissions uit te schakelen op de management folder en een groep genaamd management toe te voegen met edit permissies. Tot zover werkt alles goed en is iedereen tevreden. Nu heb ik de vraag gekregen om ervoor te zorgen dat niemand van het management de naam van de management folder kan veranderen(Helaas gebeurd dit nog wel eens), helaas loop ik hierbij tegen een probleem aan. Op de folder projectmap1 staat namelijk het recht "Delete subfolders and files" dit recht wordt ook geërfd op de management folder ondanks dat inherent permissions staat uitgeschakeld, hierdoor kan de map hernoemt kan worden. Na wat Google werk kwam ik erachter dat dit normaal is en niet één of ander bug.

De vraag
Hoe kan ik ervoor zorgen dat subfolders hernoemt en verwijderd kunnen worden behalve een mangement subfolder als de parrent folder "Delete subfolders and files" in zijn permissies heeft staan?

Ik hoop dat één van jullie mij kan helpen met dit frustrerende probleem.

Het bovenstaande voorbeeld van projectmappen is versimpeld en we praten over ongeveer 1000 projectmappen

[ Voor 3% gewijzigd door arnoudx6 op 10-09-2015 17:08 ]

[Hero of Time]

Voeg bij 'projectmap1' de rechten van de groep die de management map niet mag verwijderen of hernoemen toe en DENY het recht voor verwijderen/hernoemen van subitems. Een deny gaat boven een grant, dus ze kunnen in de map management wel dingen wijzigen, maar de map zelf niet. Aldus de theorie.

[F_J_K]

Maar dan zou management ook /customfolder1 niet meer mogen hernoemen. Of dat een probleem is, is aan de TS.

offtopic:
Ik heb iets dergelijks in een grijs verleden bij gebrek aan nadenk-zin/-tijd heel fout opgelost: scriptje dat af en toe checkte of voor iedere directory een bepaalde subdirectory nog bestond. Zo niet dan kwam er een seintje.

[arnoudx6]

Hero of Time schreef op donderdag 10 september 2015 @ 17:14:
Voeg bij 'projectmap1' de rechten van de groep die de management map niet mag verwijderen of hernoemen toe en DENY het recht voor verwijderen/hernoemen van subitems. Een deny gaat boven een grant, dus ze kunnen in de map management wel dingen wijzigen, maar de map zelf niet. Aldus de theorie.

Bedankt voor de reactie, Ik heb het zojuist getest en ik loop inderdaad tegen een probleem aan. De management groep mag nu ook de andere folders niet editen wat wel de bedoeling is. Ik hoop dat we daar nog een truckje voor kunnen bedenken

[Craven]

Je kan ook NTFS permissies uitdelen op "folder only".

[Hero of Time]

Ja, maar gaat het dan om echt het object map, of wat er in de map zelf staat, dus mogen ze dan bestanden die in de management map staan wijzigen?

Het heeft iig wat trial and error nodig.

[arnoudx6]

Het lastige is de customfolders(Uit de officele post) inherented moeten zijn hierdoor kun je dus niet "This folder only" op de projectmap zetten.

[Hero of Time]

Jawel, want This folder only is geen onderdeel van inherentence. Test het wel eerst even.

[Ximon]

Dat kan handiger:
/projectmap1
/projectmap1/customfolder1
/projectmap1/customfolder2
/projectmap1/mogelijk nog veel meer customfolders
/management/projectmap1/

Dat maakt het beheer volgens mij 10x makkelijker omdat je niet moeilijk hoeft te doen met inheritance aan/uit/rechten op alleen een folder/ook op files/op files en folders/behalve dan die ene waar Miep van HR iets in heeft gezet dat zeker alleen voor HR toegankelijk mag zijn maar wel bij dat project hoort en dus in projectmap1 moet staan en niet in /HR/