[W2K.SRV] User kan in alle homedirs!

[Drag0nsden]

Ik heb een vreemd verschijnsel gehad met een paar laptops.

Omgeving met AD en (o.a.) een Fileserver. Op die fileserver staan de homedirs van de AD users, en uiteraard staan de rechten zo dat iedereen alleen rechten heeft in zijn eigen homeidr, en alleen de backup user in alle homedirs.
Dit klopt allemaal als een bus, want al ik al gebruiker in de users$ map ga bladeren en homedirs van andere gebruikers probeer te openen dan krijg ik geen toegang.

So far, So good.

Maar een gebruiker met een laptop die een mapping heeft aangemaakt naar \\SERVERNAAM\users$, met de hand, danwel door een fout in de uitvoering van het loginscript, en dan die map op "offline beschikbaar" heeft staan krijgt hetvolgende:

ALLE homedirs worden gesynchroniseerd! Het duurt even, want het zijn er nogal wat. Maar langzaam maar zeker loopt zijn HD vol. Als je dan gaat bladeren in de homedirs, blijkt dat je in de homedirs die nog niet zijn gesynced nog steeds geen toegang hebt, maar in de wel gesyncte mappen kun je gewoon rondkijken en bestanden openen! Dit gaat dus wel over de persoonlijke data van de gebruikers!

Meer mensen dit meegemaakt? En is er een fix voor? Ik ben hier zeer ongerust over, want er lopen hier meer laptoppers rond, en mijn gebruikers zijn ERG gesteld op hun privacy wat hun homedirs betreft...

[paulhekje]

dus je weet zeker dat:
- share rechten kloppen?
- NTFS rechten kloppen?
- er geen advanced user rights afwijkend zijn toegepast?
- de user niet via een groeplidmaatschap meer rechten heeft?

lijkt me sterk dat dit een bug is in off-line folders.

[ Voor 16% gewijzigd door paulhekje op 20-11-2003 12:42 ]

[Verwijderd]

en wat gebeur er als je hetzelfde doet op een vast werkstation ?

Kan me haast niet voorstellen dat alle rechten goed staan; dit zou nl een behoorlijke bug zijn. Vermeld dus de rechten van de gebruikers die alles kunnen en beperkt

[edit] nav opmerking paulhekje; weet je inderdaad zeker dat deze gebruiker stiekum geen lid is van een admin groep ??

[ Voor 21% gewijzigd door Verwijderd op 20-11-2003 12:45 ]

[Drag0nsden]

Okee, test gedaan voor de zekerheid.

Nieuwe PC gepakt, schone image erop.
Lokaal geen profielen aanzezig.
Nieuwe AD gebruiker aangemaakt die alleen standaard rechten heeft.
Lokaal heeft die AD-groep standaard user rechten.

Ingelogd als admin en offline files aangezet. (heeft de standaard gebruiker geen rechten genoeg voor)
Uitgelogd, en weer ingelogd als de test-user.
Mapping (Z:) aangemaakt naar \\SERVER\Users$

In verkenner naar drive Z:, ik zie alle homedirs, maar kan bij geen een naar binnen, behalve die van de test-user zelf.
Rechter muistoets op station Z:, offline beschikbaar maken.
En hij gaat keurig de hele inhoud, alle homedirs dus, synchroniseren.

Even gewacht, en de sync gestopt.
Nu kan ik gewoon de reeds gesyncde mappen binnenwandelen.
Nu blijkt dat dit geldt voor mappen van gebruikers die niet meer bestaan. (toevallig 3 x geklikt op een map van en verwijderde gebruiker)
Maar die data is natuurlijk nog wel vertrouwelijk!
De nog niet offline beschikbare mappen zijn niet toegankelijk...

Bovendien kan ik in verkenner klikken op extra > mapopties > offline bestanden > bestanden weergeven. En dan kan ik WEL alle files openen die offline staan, OOK die van nog actieve gebruikers...

[ Voor 21% gewijzigd door Drag0nsden op 20-11-2003 14:49 ]

[Drag0nsden]

Weet iemand toevallig welke domeingebruiker wordt gebruikt voor het synchroniseren van offline bestanden?

[Koffie]

* Koffie was altijd in de veronderstelling dat syncen onder de user z'n gebeurde
Zal het in de loop van de dag hier ook eens uittesten (NT4).

[PipoDeClown]

is die share "users$" standaard of door de admin gemaakt?
en welke rechten heeft ie daarop gegeven (toch wel iedereen deny behalve adminstrators)?
een gebruiker maakt toch verbinding met \\servernaam\gebruikersnaam$ ?

[ Voor 24% gewijzigd door PipoDeClown op 24-11-2003 09:37 ]

[Bart©]

Waarom maak je niet gewoon per gebruiker een share aan??

Bijvoorbeeld: Gebruiker: Pietje krijgt H: --> \\servernaam\pietje$

Ik weet dat het een werkje is als je veel gebruikers hebt, maar als je het dan allemaal zo gedeeld hebt dat heb je ook wat... En synchroniseerd (als je dat al zou willen) alles hoogst waarschijnlijk wèl goed...

[Bart©]

Misschien een domme vraag hoor.. Maar waarom zou je je home-directory lokaal beschikbaar willen maken??

[Drag0nsden]

De users$ share is standaard aangemaakt.

De rechten staan ook standaard, en die werken ook, want niemand kan in andermans homedir kijken, laat staan schrijven.

Het verandert alleen met gebruik ban offline files. En waarom?
Ik dacht ook dat de offline folder-sync-agent gebruik maakte van de account van de ingelogde ad-user, maar die kan NIET in de betreffende mappen, dus hoe kan hij die dan syncen?

En nee, ik ga niet meer dan 200 aparte shares voor mijn users maken, en zeker niet met het aantal mutaties wat wij per week hebben. Er werken hier veel uitzendkrachten/gedetacheerde krachten, dus het aantal mutaties is hoog.

[Drag0nsden]

Sierra-NL schreef op 24 november 2003 @ 09:54:
Misschien een domme vraag hoor.. Maar waarom zou je je home-directory lokaal beschikbaar willen maken??

Misschien omdat dat met een laptop wel handig is als je "On the road" bent...
Er zijn hier zo'n 25 laptoppers.... En die zijn vaak op pad, en willen dan bij hun bestandjes kunnen.

[Jofel]

Met name laptop gebruikers hebben graag hun home dir lokaal staan.

Bij mij op het werk is inderdaad de map "users" niet gedeeld maar alleen de mappen van de gebruikers zelf. Dus op de schijf waar alle home dirs staan (bijv. D) ziet dit er als volgt uit:

d:\data\users\pietje

Alleen de map pietje is dan gedeeld en wel als pietje$ zodat hij niet standaard zichtbaar is. Bovendieen heeft natuurlijk alleen de bewuste gebruiker en de groep domain admins rechten om in de map pietje te komen. Zowel op NTFS niveau als op share niveau. En dan werjt het prima met offline synchroniseren.

[edit]
Tja, te traag getyped...
Drag0nsden, voor tijdelijke gebruikers kun je juist perfect tijdelijke accounts aanmaken. Bijvoorbeeld: temp01 tot en met temp10 incl. zulke shares. Zo werkt het bijvoorbeeld ook bij mij op de uni waar ik nog studeer. En de home dit die hier bij hoort bevat dan inderdaad vaak nog bestanden van andere tijdelijke gebruikers maar dit is mij duidelijk van te voren verteld: zo'n tijdelijke dir is geen privé plek aangezien het tijdelijk is.
En het is misschien veel werk om nu nog 200 shares aan te maken maar dat is natuurlijk eigenlijk wel zoals het hoort. En daarna heb je ook geen problemen meer.
[\edit]

[ Voor 37% gewijzigd door Jofel op 24-11-2003 10:07 ]

[Koffie]

Enkele verzoeken:

- Graag te discussieren over de problemen van TS, andere oplossingen om bijvoorbeeld je complete serverpark te herinirichten hebben weinig nut hier
- Graag alles in 1 post posten, en niet voor elke reply op de knop "Post Reply" rammen

[Drag0nsden]

de map users$ i ook niet gedeeld.
Maar hij bestaat natuurlijk WEL. Want daar staan alle homedirs in En als je gewoon een nieuwe mapping aanmaakt, en als doel intypt: "\\server\users$" dan krijg jij keurig een mapping...

Je kan alleen niet in die andere mappen komen.... Behalve dan de offline files agent....


Nog even voor de duidelijkheid: Alle rechten kloppen, en NIEMAND kan ergens komen waar hij niet hoort, het gaat ALLEEN fout als iemand probeert de users$ map te syncen (wat dan ook lukt).

Er is ook verschil (zoals eerder opgemerkt) tussen mappen waar geen owner meer van is, en mappen waar dat nog wel zo is.

edit:
Sorry Koffie, ik was nog aan het typen toen jij jouw bericht postte....

edit:
Toevoeging:

Bovendien, als ik voor alle 200+ users apart een share maak, dan zal ik die toch ergens moeten laten, in een map bedoel ik, en op die map moet men wel lees/browse rechten hebben, anders kun je de onderliggende mappen (incl. je eiegn share) niet lezen. En naar als ik DIE map dan weer een mapping maak, en die op Offline beschikbaar zet, hebben we weer hetzelfde probleem...

edit:
Sierra-NL:

Hoe ga ik aan mijn mobiele gebruikers uitleggen dat hun data die ze lokaal hebben, niet op de server kan vanwegen beveiligingsproblemen? En is het niet een taak van Microsoft, om te zorgen dat hun product veilig en naar behoren werkt? Waar heb je anders offline files voor?

[ Voor 50% gewijzigd door Drag0nsden op 24-11-2003 10:32 ]

[Bart©]

Drag0nsden schreef op 24 november 2003 @ 09:58:
En nee, ik ga niet meer dan 200 aparte shares voor mijn users maken, en zeker niet met het aantal mutaties wat wij per week hebben. Er werken hier veel uitzendkrachten/gedetacheerde krachten, dus het aantal mutaties is hoog.

Daar heb je ander hele mooie command-line tools voor die dat voor je kunnen doen.. En ik snap dat je ook de data van notebook-gebruikers wilt backuppen, maar als je daar deze security-problemen van krijgt dan zou ik zeggen, jammer!!

[downtime]

Sierra-NL schreef op 24 november 2003 @ 10:20:
Daar heb je ander hele mooie command-line tools voor die dat voor je kunnen doen.. En ik snap dat je ook de data van notebook-gebruikers wilt backuppen, maar als je daar deze security-problemen van krijgt dan zou ik zeggen, jammer!!

Dat is een leuke instelling. Menig bedrijf geeft tegenwoordig al z'n medewerkers een laptop. Met die instelling kun je wel ophouden met het maken van backups want in de praktijk zet dan iedereen toch z'n data lokaal op de laptop. Het offline folders gebeuren is juist een mooie oplossing om de data van mobiele gebruikers toch op de server te kunnen zetten.

[Verwijderd]

Drag0nsden schreef op 20 november 2003 @ 14:41:

[i]Ingelogd als admin en offline files aangezet. [i](heeft de standaard gebruiker geen rechten genoeg voor)

Wordt er een service gestart/geïnstalleerd die met admin rechten blijft draaien?

[Drag0nsden]

Verwijderd schreef op 25 november 2003 @ 18:35:
[...]


Wordt er een service gestart/geïnstalleerd die met admin rechten blijft draaien?

Eh... wat bedoel je precies? Of er één wordt gestart op het moment dat ik offline files aanzet? Of dat er al een paar draaien? Dat wel natuurlijk, er draaien genoeg servisec met de SYSTEM account. Maar het verschijnsel doet zich voor op verschillende OSen (XP en 2000), met standaard images, en custom installs... Het werkt altijd hetzelfde. Spyware, hacks etc. is dus ook niet echt een optie.

Ik heb ook nog geprobeerd om een laptop met de pre-installed Windows in het domein te hangen, offline files aan, etc. Hetzelfde effect.

Ik was eigenlijk wel benieuwd of andere mensen dit al eens hebben geprobeerd, en of het in hun omgeving ook werkt?

[Verwijderd]

en als je de encriptie aanzet.

[Drag0nsden]

Nee, encryptie helpt ook niet.

Bovendien, al zou het helpen, dan kan een gebruiker die local Admin rights heeft (zoals bijv. externe medewerkers met een laptop van HUN baas) de encryptie zelf uitzetten. Bovendien vind ik, dat de beveiliging vanuit AD al goed moet zitten. Ik hou niet zo van work-arounds, en dergelijke. Dat zou inhouden dat ik mijn hele inrichting van rechten, en policys en dergelijke moet aanpassen, omdat de fabrikant haar product niet afdoende heeft beveiligd.

Dat is hetzelfde als je auto waarvan de achteruitversnelling niet werkt. En dan maar gewoon een straat rondrijden, want dan heb je hem niet nodig...

[Flyduck]

Ik heb de situatie ff nagemaakt op me werk, en hier werkt het niet. Krijg gewoon access denied...

[mutsje]

lijkt mij inderdaad ook meer een brakke security dan een windows 2000 bug anders hadden we allang een serie bugfixes gehad.

[luckyme_]

Wat staat er bij de NTFS rechten op het moment dat ze offline beschikbaar zijn? Ik heb het vermoeden dat er rechten overheen worden gezet door inheritance.

[babbelbox]

Is het niet zo dat de share \\server\users$ admin rechten vereist om verbinding te maken, dus dan is het toch aannemelijk dat de files ook offline beschikbaar gemaakt kunnen worden.

[mutsje]

Als NTFS rechten goed gezet zijn dus wat luckyme_ ook al aangeeft op de ROOT folder ook goed staan, kun je anderen hun folders niet syncen omdat je dan Error 5 krijgt namelijk Acces is Denied.

[Steven]

Bestaat er in Windows niet iets wat in Novell Inheritant Rights heet? Hiermee zie je precies waar iedereen de rechten op een bepaalde map vandaag krijgt.

[.je]

Ik heb zo het idee dat dit al gedaan is, maar toch nog maar even een vermelding dmv een plaatje:

Je kan de gebruikers, die onder een group policy zitten en daarbij de behorende rechten krijgen toch deze dingen instellen:
Klik voor plaatje

[Newpowerr]

Je kan in de active directory de usermappings aanmaken als volgt: \\servernaam\sharenaam\%username% Wat er dan gebeurt is, dat de userdir gemapped word in de share, en niet de share zelf, dat is het voordeel van windows 2000/2003 Server en windows 2000/XP. Als je dan als user een mapping krijgt naar je userdir, dan zit je dus meteen in je eigen dir, en niet in de root van de share, zoals vele hier in dit topic nog in hun hoofd hebben, dat was onder NT 4, en is dus niet meer noodzakelijk om dat onder windows 2000/2003 te doen. Het maken van 100Plus shares al dan niet hidden is dus niet meer nodig. Als je als mobiele gebruiker vervolgens je userdir offline beschikbaar wilt maken, dan kan dat dus op de driveletter, want dat is gewoon je eigen directory. Beter is nog om users hun eigen profile dir te geven, als men gebruikt maakt van roaming profiles, en voor hun documenten folder redirection aanzetten naar een separate share en die dan offline beschikbaar maken, dan krijg je tenminste niet al je profiel geneuzel offline beschikbaar.
Als je niet gebruik maakt van roaming profiles, dan hou je het alleen bij folder redirection vanuit een grouppolicy, en die laat je ook verwijzen naar \\servernaam\sharenaam\%username%\My documents. En ja, dat is mogelijk!
Vervolgens kan je met een policy e.e.a. in of uitschakelijk voor vaste gebruikers met betrekking tot offline folders, en voor de mobile gebruikers.

Success

[Equator]

Toch denk ik dat de TS ergens een kritieke denkfout maakt.

Stel je hebt alle userdir's staan op de D: schijf van de server:
- D:\Users --> Niet gedeeld
- D:\Users\Pietje --> Gedeeld als Pietje$ Admins FullControll Pietje Change rechten
- D:\Users\KLaas --> Gedeeld als Klaas$ Admins FullControll Klaas Change rechten

Zoals ik het nu begrijp heb jij D:\Users gedeeld als Users$.

Als je snel de homedrives wilt delen dan kan je dit proberen
Batchfile (draaien op de server)

code:

@echo off
; Maak lijst van de users
D:
CD D:\Users
DIR /A:D /B > D:\users\users.txt
For /F "tokens=*" %%i IN (d:\users\users.txt) call :SHAREIT %%i

:SHAREIT
net share "%*"$=d:\Users\"%*"
cacls D:\Users\"%*" /T /G "%*":C /G Domain Admins:F

Is ff uit het losse handje, maar het kan heel makkelijk.

[Drag0nsden]

Tja, tijdje niet gewest, Vakantie, Ziekenhuis etc.


Zoal s Newpowerr het beschrijft is het bij ons ingericht (door mijn voorgangers)
En het werkt prima, alleen gebruiken wij geen roaming profiles.

Los van alle opmerkinegn en suggeties over of mijn security wel of niet goed staat, en hoe ik homedirs moet sharen:

Als ik nou een share heb, waar iedereen leesrechten heeft, ZONDER inhertance. En in die share (of map) staan weer mappen, waarin alleen de eigenaars rechten hebben. Verklaar dan eens hetvolgende:

Ik log in, en maak handmatig een mapping U: aan naar \\server\users$.
Ik ga in mijn verkenner naar drive U:.
Op elke map waar ik op klik krijg ik de melding "Access Denied", wat klopt, want ik heb er geen toegang.
Als ik dan die U: drive offline beschikbaar maak, gaat ie WEL alle mappen synchronizeren.....

[Taigu]

Heb je system account toevallig rechten gegeven ? (alhoewel het dan nog onmogelijk zou moeten zijn, maar je weet maar nooit)

[ Voor 44% gewijzigd door Taigu op 28-05-2004 15:30 ]

[Drag0nsden]

Nee, heb het voor de zekerheid nog even gecheckt en alleen de Backup User, en de gebruiker zelf kunnen er in... Ik heb zelfs voor de gein even op mijn test account DENY rechten ingesteld op een aantal usermappen, en dan nog hetzelfde, kan er niet in, maar hij synchroniseert wel...

[Verwijderd]

geef eens alleen list rechten op de users$ share, meer is toch niet nodig...

[RammY]

Heb je toevallig geen lokale gebruikers op (bijvoorbeeld) je laptop.. zoals de admin.
Die dus wel weer rechten heeft om op die folders te komen.

Anders toch es contact opnemen met Microsoft want dan denk ik toch dat dit een bugg is in 2k serv.

[Yalopa]

ik twijfel er ERG sterk aan dat het hier gaat om een bug, Het lijkt me dat ze dat wel eerst even testen bij MS, bovendien is 2K al enkele jaren oud, dus dat het nog nooit gevonden zou zijn???

zo heb ik het:

een share: home :permissie: read/execute "fileserver-users", en bij advanced options van die permisie staat apply to this folder only. Daaronder hebben users read /write op hun eigen dir. Werken met hidden shares vind ik een beetje zinloos, dat doe ik dus ook niet.

Ik snap wel niet waarom je users niet zelf hun offline laat instellen? je zegt dat ze er geen recht toe hebben, maar dat recht moet je dan toch echt via GPO afgenomen hebben, standaard kan dit nl wel.

met het cli tooltje "cacls" kan je op de commandline permissie's gaan opvragen mocht je dit nodig hebben

[reddog33hummer]

Heeft het werkstation mischien nog een soort admin link openstaan waar hij het passwoord van onthoud. probeer eens net /d \\servernaam en voor de shares. Wijzig je wachtwoord (en die van de admin) en locale admin, en locale users

[ Voor 20% gewijzigd door reddog33hummer op 02-06-2004 20:47 ]

[Gillie]

Even een opmerking, zijn de laptops ingericht met FAT32 of NTFS?

FAT32 heeft namelijk de eigenschap dat je geen rechten op gebruikersniveau kan gebruiken. NTFS kan je per bestand op de HDD rechten zetten.

[reddog33hummer]

Gillie schreef op 02 juni 2004 @ 21:47:
Even een opmerking, zijn de laptops ingericht met FAT32 of NTFS?

FAT32 heeft namelijk de eigenschap dat je geen rechten op gebruikersniveau kan gebruiken. NTFS kan je per bestand op de HDD rechten zetten.

Het zou voor de server ruk moeten zijn of de client fat32 of ntfs gebruikt. We praten hier over het leveren van rechten door de server

[Joen]

Drag0nsden schreef op 26 november 2003 @ 17:05:
Nee, encryptie helpt ook niet.

Bovendien, al zou het helpen, dan kan een gebruiker die local Admin rights heeft (zoals bijv. externe medewerkers met een laptop van HUN baas) de encryptie zelf uitzetten. Bovendien vind ik, dat de beveiliging vanuit AD al goed moet zitten. Ik hou niet zo van work-arounds, en dergelijke. Dat zou inhouden dat ik mijn hele inrichting van rechten, en policys en dergelijke moet aanpassen, omdat de fabrikant haar product niet afdoende heeft beveiligd.

Dat is hetzelfde als je auto waarvan de achteruitversnelling niet werkt. En dan maar gewoon een straat rondrijden, want dan heb je hem niet nodig...

En als je ALLE gebruikers eens als NORMALE gebruikers laat inloggen ipv lokale administrators?
Bij mij thuis merk ik ook dat een lokale administrator ook op administrator-shares kan komen van andere PC's...

_{Niet boos zijn als ik er totaal naast zit, ik heb ook niet superveel verstand van Windows servers.}

[tc982]

Heeft everyone rechten ?

Doe deze eens weh indien ja en voeg alleen de domain users toe. ( op de hoofdshare )

[Flyduck]

Het is toch vrij makkelijk te controleren of er idd iets loos is?

Je geeft op een home-map van een user op NTFS NIVEAU alleen de betreffende user rechten.
Pleur een document in die map.

Als je nu op een of andere manier dat document eruit krijgt zonder dat je je als die user aanmeld, ... dan is er wat aan de hand.

[Taigu]

Niet nuttig

[ Voor 95% gewijzigd door Taigu op 03-06-2004 23:37 ]

[Gillie]

reddog33hummer schreef op 03 juni 2004 @ 09:59:
[...]

Het zou voor de server ruk moeten zijn of de client fat32 of ntfs gebruikt. We praten hier over het leveren van rechten door de server

O ja? Weet je dat heel zeker? Offline files staan lokaal op de laptop, als deze is ingericht met FAT32, welke geen ondersteuning heeft voor rechten, zijn deze dus leesbaar voor iedereen.

Met NTFS worden de rechten, naar mijn mening meegekopieërd.

[Taigu]

Gillie schreef op 04 juni 2004 @ 19:32:
[...]

Met NTFS worden de rechten, naar mijn mening meegekopieërd.

Fijn dat jij een mening hebt over NTFS rechten, laat ik met wat feiten komen : http://www.windowsitlibrary.com/Content/592/2.html#4

[leon1e]

Gillie schreef op 04 juni 2004 @ 19:32:
[...]


O ja? Weet je dat heel zeker? Offline files staan lokaal op de laptop, als deze is ingericht met FAT32, welke geen ondersteuning heeft voor rechten, zijn deze dus leesbaar voor iedereen.

Met NTFS worden de rechten, naar mijn mening meegekopieërd.

Dat is het probleem niet, als het goed is geeft de server de juiste rechten af en kunnen de documenten niet eens gekopieerd worden naar de lokale laptop. En komen er dus nooit documenten op een hd terecht waarvoor de gebruiker geen rechten had/heeft.

lezen lezen lezen...

[Duinkonijn]

leon1 schreef op 05 juni 2004 @ 17:38:
[...]


Dat is het probleem niet, als het goed is geeft de server de juiste rechten af en kunnen de documenten niet eens gekopieerd worden naar de lokale laptop. En komen er dus nooit documenten op een hd terecht waarvoor de gebruiker geen rechten had/heeft.

lezen lezen lezen...

als je zelf ook leest...

gebruiker 1 logt in op een laptop met FAT en Offline beschikbaar...
gebruiker 1 logt uit. offline blijft beschikbaar
gebruiker 2 logt in op de laptop met FAT en Offline beschikbaar...

dan kan hij gewoon bij de map van gebruiker 1

[leon1e]

Duinkonijn schreef op 05 juni 2004 @ 21:37:
[...]

als je zelf ook leest...

gebruiker 1 logt in op een laptop met FAT en Offline beschikbaar...
gebruiker 1 logt uit. offline blijft beschikbaar
gebruiker 2 logt in op de laptop met FAT en Offline beschikbaar...

dan kan hij gewoon bij de map van gebruiker 1

Als een gebruiker een access denied krijgt, even los van dit probleem en wat normaal gewoon zo zou moeten zijn hebben we nog steeds bovenstaand probleem niet want dan kan gebruiker 1 simpelweg de map van gebruiker 2 niet downloaden. Wordt de map echter wel gedownload, dan kan die gebruiker erbij ja...

[downtime]

buddhole schreef op 05 juni 2004 @ 16:42:
Fijn dat jij een mening hebt over NTFS rechten, laat ik met wat feiten komen : http://www.windowsitlibrary.com/Content/592/2.html#4

Geen open deuren intrappen alsjeblieft. Die tekst klopt als je gewoon bestanden kopieert of verplaatst tussen NTFS disks. Maar bij synchroniseren blijven rechten wel degelijk behouden.

leon1 schreef op 05 juni 2004 @ 17:38:
Dat is het probleem niet, als het goed is geeft de server de juiste rechten af en kunnen de documenten niet eens gekopieerd worden naar de lokale laptop. En komen er dus nooit documenten op een hd terecht waarvoor de gebruiker geen rechten had/heeft.

lezen lezen lezen...

Lees dit artikel (Knowledge Base Article - 271830) eens en kijk wat Microsoft er zelf over te zeggen heeft:

Security Permissions Are Not Maintained When Making Files Available Offline on a FAT or FAT32 Drive

Komt er dus op neer dat je wel bestanden offline beschikbaar kunt maken op de client met FAT32. Die offline bestanden zijn vervolgens niet meer beveiligd als er een andere gebruiker op die client inlogt. Enige beperking is dat later opnieuw synchroniseren niet meer mogelijk is.

[Drag0nsden]

JeroenM_tbs schreef op 03 juni 2004 @ 10:35:
[...]

En als je ALLE gebruikers eens als NORMALE gebruikers laat inloggen ipv lokale administrators?
Bij mij thuis merk ik ook dat een lokale administrator ook op administrator-shares kan komen van andere PC's...

_{Niet boos zijn als ik er totaal naast zit, ik heb ook niet superveel verstand van Windows servers.}

Alle gebruikers zijn ook normaal (alhoewel..... )

Alleen de externe medewerkers zijn Local Admin. omdat hun baas dat zo heeft geregeld.
Bovendien had ik het niet over shares op andere PC's maar op de server.

(ben niet boos hoor, allen verdrietig... )

[ Voor 5% gewijzigd door Drag0nsden op 07-06-2004 10:35 ]

[Drag0nsden]

Duinkonijn schreef op 05 juni 2004 @ 21:37:
[...]

als je zelf ook leest...

gebruiker 1 logt in op een laptop met FAT en Offline beschikbaar...
gebruiker 1 logt uit. offline blijft beschikbaar
gebruiker 2 logt in op de laptop met FAT en Offline beschikbaar...

dan kan hij gewoon bij de map van gebruiker 1

Deze situatie is niet van toepassing op mijn probleem, omdat het hier gaat op mensen die uitsluitend hun eigen laptop/PC gebruiken. Het zijn dus geen files van een vorige sync sessie.

[Drag0nsden]

tc982 schreef op 03 juni 2004 @ 10:42:
Heeft everyone rechten ?

Doe deze eens weh indien ja en voeg alleen de domain users toe. ( op de hoofdshare )

Zo was het al ingesteld toen ik hier kwam.

[Drag0nsden]

leffe_blond schreef op 02 juni 2004 @ 19:26:
ik twijfel er ERG sterk aan dat het hier gaat om een bug, Het lijkt me dat ze dat wel eerst even testen bij MS, bovendien is 2K al enkele jaren oud, dus dat het nog nooit gevonden zou zijn???

zo heb ik het:

een share: home :permissie: read/execute "fileserver-users", en bij advanced options van die permisie staat apply to this folder only. Daaronder hebben users read /write op hun eigen dir. Werken met hidden shares vind ik een beetje zinloos, dat doe ik dus ook niet.

Ik snap wel niet waarom je users niet zelf hun offline laat instellen? je zegt dat ze er geen recht toe hebben, maar dat recht moet je dan toch echt via GPO afgenomen hebben, standaard kan dit nl wel.

met het cli tooltje "cacls" kan je op de commandline permissie's gaan opvragen mocht je dit nodig hebben

Dit is door mijn voorgangers ingesteld. Reden was, dat er voor 95% desktops zijn, en dan is een offline folder systeem niet nodig.
Op laptops is het offline folder systeem wel ingeschakeld (zit in de image), alleen de rechten om het weer uit te zetten hebben de gebruikers niet. (want dat zit in dat tabblad waar ze geen rechten op hebben.) De gebruiker kan, als offline folders aanstaat, natuurlijk wél zelf beslissen welke mappen hij offline beschikbaar wil hebben. En dat is het probleem dus, als de gebruiker zelf de hele users share offline beschikbaar maakt...

Het is zelfs al een paar keer voorgekomen dat de gebruiker inlogt, maar dat zijn H: mapping niet naar zijn homedir, maar naar de root van de users share wijst, en die synchroniseert ie daan ook maar gelijk! Dit probleem was in alle gevallen weg nadat de gebruiker zich opnieuw aanmellde, maar is toch wel raar...
Dit was ook de reden dat ik erachter kwam dat we dit probleem hadden. Een gebruiker kwam mij vragen waarom hij alle usermappen kon zien. Hij kon er wel niet in (heb hem niet verteld dat die mappen nu allemaal op zijn HD stonden) maar toch...

[Verwijderd]

volgens het documentje van ms, kan je zoals al meerdere mensen aangegeven hadden niet syncen als je geen rechten hebt. dus toch ergens iets niet goed met je rechten.

overigens everyone of domain users maakt niet echt veel uit... ik neem aan dat je guest account toch disabled is.

[paulhekje]

Verwijderd schreef op 07 juni 2004 @ 13:52:
overigens everyone of domain users maakt niet echt veel uit... ik neem aan dat je guest account toch disabled is.

[off topic]
Klopt, maar soms gedraagt Everyone zich vreemd: met Everyone print rechten krijgen gebruikers soms de melding Acces Denied bij het koppelen van de printer. Als ik Authenticated Users erbij zet niet.
[/off topic]

@TS: post eens een output van cacls

[dawg]

Drag0nsden schreef op 28 mei 2004 @ 10:47:
Tja, tijdje niet gewest, Vakantie, Ziekenhuis etc.


Zoal s Newpowerr het beschrijft is het bij ons ingericht (door mijn voorgangers)
En het werkt prima, alleen gebruiken wij geen roaming profiles.

Los van alle opmerkinegn en suggeties over of mijn security wel of niet goed staat, en hoe ik homedirs moet sharen:

Als ik nou een share heb, waar iedereen leesrechten heeft, ZONDER inhertance. En in die share (of map) staan weer mappen, waarin alleen de eigenaars rechten hebben. Verklaar dan eens hetvolgende:

Ik log in, en maak handmatig een mapping U: aan naar \\server\users$.
Ik ga in mijn verkenner naar drive U:.
Op elke map waar ik op klik krijg ik de melding "Access Denied", wat klopt, want ik heb er geen toegang.
Als ik dan die U: drive offline beschikbaar maak, gaat ie WEL alle mappen synchronizeren.....

Verkeerd gelezen, nvmd dus.

[ Voor 10% gewijzigd door dawg op 09-06-2004 10:30 ]