Kontrollierte Netzlaufwerk-freigabe an Domänenuser

[NukeN]

Aktuelle Situation:
In unserem Betrieb nutzen wird Windows Server 2008 mit einer Domäne, in der alle User mit WinXPPro oder Win7Pro angemeldet sind.
Dabei hat jeder User einen künstliches Laufwerk zugeordnet bekommen um seine persönlichen Daten zu speichern. Diese künstlichen Laufwerke werden logischerweise auf dem Server in einem gemeinsamen Ordner abgespeichert.

Zum Problem:
Der Ordner, auf den sich die jeweiligen Userlaufwerke verknüpfen, sind öffentlicht zugänglich für alle Domänenuser. D.h. alle User haben Einsicht auf die Dateien jedes Domänenusers. Somit herrscht keine Privatsphäre.

Ziel:
Ich möchte erreichen, dass zwar jeder Domänenuser nach wie vor sein eigenenes virtuelles Laufwerk besitzt, dieses aber nur von seinem Account aus (ohne zusätzliches login) zugänglich ist. (Ausgenommen NetzwerkAdmin natürlich)

In der Sparte Sicherheit ist aktuell eingestellt, dass die X-Domänenbentzer vollzugriff besitzen. Wie ist es möglich, das jeweilige pers. Laufwerk jedes Users nur von "seinem Account" aus zugänglich zu machen; sprich, der Laufwerkordner darf zwar öffentlich angezeigt werden, sollte sich jedoch nur öffnen lassen, wenn der Ordner für den jeweiligen User freigegeben ist.

Mit freundlichen Grüssen
NukeN

 

[Taderaz]

Hmm ich verstehe nicht so ga nz was ein "künstliches Laufwerk" sein soll, kannst du das etwas erläutern?

Im Normalfalle, so kenne ich das, bekommt der User über ein Script per netlogon ein Netzlaufwerk (oder mehrere) zugeteilt. Das Netzlaufwerk ist ne 0815 Freigabe auf dem Server und dort wiederrum kannst du (oder der User... was aber idR keine so gute Idee ist) per Active Directory einstellen wer was wie darf.

 

[NukeN]

Mit dem künstlichen Laufwerk meine ich nur, dass der zugewiesene Ordner auf dem Server als Netzlaufwerk beim jeweiligen Client erscheint.

Ja, jeder User hat über das netlogon seinen Speicherplatz zugeordnet bekommen.
Es erscheint beim jeweiligen Client im Arbeitsplatz nur sein zugewiesenes Laufwerk, jedoch kann er beim (ebenfalls freigegebenen) Netzlaufwerk, wo sich alle Clientspeicherplätze befinden, nicht bloss seinen eigenen, sondern auch alle anderen Client-speicherplätze ansehen.

Wenn ich die den Domänenbenutzern (Bei Sicherheit) erlaube diese Speicherplätze zu verwalten, ist dies gleich bei allen Benutzern gestattet. Ich möchte jedoch, dass dies nur für den Inhaber dieses Speicherplatzes möglich ist.

Wie bzw. wo kann ich diese Änderung vornehmen?

Mit freundlichem Gruss

 

[Taderaz]

Ich sagte vorher, dass dies prinzipiell jeder User selbst machen kann (Rechtsklick, Eingeschaften, Sicherheit)... du wirst aber garantiert Idioten dabei haben, die sich ihr Share gleich komplett wegschießen oder es gar nicht hinbekommen... also selber machen .
Im Grunde müßtest du also das für jeden User so einstellen (Zugriff für Domänenuser entfernen und den jeweiligen User eintragen mit Vollzugriff bzw. Lesen+Ändern), dass nur er selbst Zugriff und der Rest nichts/keine Rechte hat... doof dann allerdings wenn du als Admin zugreifen mußt... also die besser drin lassen oder im Fall der Fälle auf dem Server Besitzrechte aneignen und dann wieder umstellen.

- in welchem Pfad liegen die Freigaben?
- evtl. ein Bild der Sicherheitseinstellungen einer Fraigabe (Namen ggf. xen)

 

[NukeN]

Werde dies mal versuchen und bei Nichterfolg ein Bild posten.
Die Freigaben liegen auf einem offenem Datenlaufwerk, dass demzufolge komplett an alle Domänenuser freigegeben ist. Demnach muss ich für diesen diesen Freigabenordner die Rechte eingrenzen.

Mit freundlichem Gruss
NukeN

 

[Hummerman]

Einfach bei den Ordnerrechten nur Admin + den Benutzer rechte geben und nicht komplett Domänenbenutzer.

 

[NukeN]

Aus irgendwelchen Gründen scheint dies nicht zu klappen. Es scheint so, als würde es die Rechtevergabe nicht akzeptierenm gefolgt von Fehlerneldungen, z.B. Rechte konnten für Ordner XY und Datei XY nicht übernommen werden.


Gibt es irgendwelche Tool die diese Vorgänge verhindern und die irgendwie im Hintergrund eines MS Server 08 laufen?


Grüsse Nuken

 

[Taderaz]

angenommen du bekommst diese Fehlermeldung wenn du direkt auf dem Server (Remote) als Admin arbeitest... dann würde ich mal drauf tippen, dass du keine Rechte an diesen Ordnern hast.
Prüfe mal wie dort die Rechte aussehen, wer was darf. Und _pls_ pack einen Screen davon rein... sonst raten wir hier noch lange im Dunkeln rum und bemühen unsere Kristallkugeln.
Ahja, wenn du kein Domänenadmin bist könnte es auch schlicht daran liegen, dass du es nicht darfst... also verrate uns noch mit welchem Acc du arbeitest.

 

[Matsushita]

Einfacher Weg: im Reiter "Profil" (Active Directory, Benutzer und Computer) ein Netzlaufwerk eintragen.

 

[Hummerman]

@Matsushita: Ich glaube dein Lösungsvorschlag ist nicht das was der TE meint. Die Ordner sind scheinbar schon zugewiesen, bloß jeder Domänenbenutzer hat volle Zugriffsrechte.

Was mich eigentlich wundert, am besten zeigt der TE mal einen Screenshot von den aktuellen Rechten.

 

[Matsushita]

Wenn er die Netzlaufwerke über AD einrichtet, werden die Berechtigungen automatisch korrekt gesetzt. Natürlich kann er die NTFS-Berechtigungen auch per Hand fixen, aber ich vermute mal, dass das nicht der einfache Weg ist.

 

[Hummerman]

Beim TE scheint aber noch mehr falsch zu laufen, nicht nur der eine Ordner.

 

[Matsushita]

Den Einwand verstehe ich nicht. Der Threadstarter schreibt:

Ziel:
Ich möchte erreichen, dass zwar jeder Domänenuser nach wie vor sein eigenenes virtuelles Laufwerk besitzt, dieses aber nur von seinem Account aus (ohne zusätzliches login) zugänglich ist. (Ausgenommen NetzwerkAdmin natürlich)

Wie er dieses Ziel am eifnachsten erreichen kann, habe ich ihm aufgeschrieben.

 

[X909]

Hm, ist doch ganz einfach. Ordner erstellen und in der Freigabe nur den jeweiligen User eintragen. Im Fileservermanager kann man sogar einstellen, das unberechtigte User den Ordner nicht mal sehen.

 

[Matsushita]

Die Rolle Dateiserver hat der Threadstarter allerdings nicht erwähnt, oder habe ich etwas übersehen?

 

[Hummerman]

Den Einwand verstehe ich nicht. Der Threadstarter schreibt:

Wie er dieses Ziel am eifnachsten erreichen kann, habe ich ihm aufgeschrieben.

Nicht nur den ersten Post, sondern auch den Rest lesen.