DSM 6.x und darunter DS 213J Ordneraufbau und Freigaben

[Accuface]

Öffentlich würde ich die Photos nicht machen. Der Einfachheit wegen würde es genügen, wenn du einen "Vereins-Benutzer" anlegst. So können sich alle mit diesem Benutzer anmelden.

Auch mehrere gleichzeitig?

 

[jan_gagel]

Naja, besser als ohne Benutzer ists allemal. Aber Rechte steuern kannst du dann eben nicht. Entweder du hast dann Zugriff oder nicht. Normalerweise würde ich alle Benutzer anlegen.

 

[Accuface]

folgendes Problem:

Ich hab nun einen Ordner Bilder
darin einen unterordner
2010
2011
2012

in diesen Unterordnern sind nun die einzelnen Bilder.

Ist es nun möglich einen User so einzustellen dass er nur runterladen darf, aber nicht verschieben, löschen, usw....

 

[Trolli]

Du kannst doch einfach die Berechtigung für den Benutzer für diesen Ordner auf "nur lesen" setzen?!?

 

[Kaltesbier]

Ja das geht. Da Must du aber in der DS Systemsteuerung / Benutzer die rechte auf nur lesen setzen.
Dann müsste es gehen.
Hast du auch in der Photo Station / Benutzerkonten dem Benutzer erlaubt diese Ordner zu sehen?

 

[Accuface]

moin,

Das hat mit der Photostation nix zu tun, das ist ein Separater Ordner in der FS.

Komisch, sobald ich dem User für den jeweiligen ordner die rechte für "ausführe" und Lesen+Schreiben" entziehe, darf er nur noch den Inhalt des Ordner sehen. Versuch ich was zu kopieren, Verschieben, Löschen, Herunterladen, kommt die meldung das ich (eingeloggt als der User zum Testen) nicht genug rechte habe. Dabei greife ich über "meineIP:5000/file" darauf zu.

 

[Kaltesbier]

Na wenn du ihn die rechte entziehst ist das doch auch in Ordnung. So sollte es ja auch sein. Egal im WLAN oder von extern.

 

[Accuface]

hi,

Nein, ich glaub es gibt ein mißverständnis.

Ich möchte dass der User zwar daten runterladen kann, diese aber weder verschieben, löschen, umbennen oder what ever darf.
Einfach nur Runterladen.

Aber entweder es lässt sich über Rechte maus -> Kontextmenu, alles machen oder eben nichts.

Deswegen die Frage: lässt es sich für den User so einrichten dass er NUR runterladen darf?

Gruß

 

[Trolli]

Du musst dafür die Rechte im Disk Station Manager setzen, nicht in der File Station.

Entweder für Benutzer
Systemsteuerung -> Benutzer -> Bearbeiten -> Privilegieneinstellung

oder für Ordner
Systemsteuerung -> gemeinsamer Ordner -> Berechtigungen -> Privilegieneinstellung

 

[Accuface]

Hi,


im DSM hat der benutzer "Nur lesen", und für Ordner hat er für den Hauptordner "nur lesen".

in der FS hat er für den Hauptordner "Bilder" auch "nur lesen", für den Unterordner 2011:

Besitzer: lesen, schreiben, ausführen, ist angehakt
Gruppe: lesen, schreiben, ausführen, ist angehakt
Sonstiges: lesen, schreiben, ausführen, ist angehakt

nimm ich nun bei Gruppe und Sonstige alle Haken raus, kann dieser User immernoch kopieren, löschen......usw.

Ich bin jetzt total verwirrt.

Was mich zu einer neuen Frage bringt: wer fällt alles unter sonstiges?

Edit:

Die änderungen werden erst nach erneutem login des Users in den File, aktiv. Ich dachte es reicht wenn man Aktualiesiert. ^^
dann muss ich später nochmal die Ordneroptionen testen.

Jedenfalls darf der User trotz "nur Lesen" verschieben, umbennen, kopieren....usw.

 

[Trolli]

Keine Ahnung was Du da machst. Wenn ich die Privilegieneinstellungen im DSM auf "nur lesen" setze, kann ich definitiv nicht mehr löschen, umbenennen oder ähnliches. Weder im Hauptordner noch in den dazugehörigen Unterordnern. Dazu muss ich auch nicht die File Station neu laden, die aktualisiert sich automatisch.

Lass dabei die Berechtigungen auf Dateiebene (in der File Station) außer acht. Die funktionieren anders. Im Normalfall fasst man die gar nicht an...

 

[jan_gagel]

(...)
Besitzer: lesen, schreiben, ausführen, ist angehakt
Gruppe: lesen, schreiben, ausführen, ist angehakt
Sonstiges: lesen, schreiben, ausführen, ist angehakt

(...)

Was mich zu einer neuen Frage bringt: wer fällt alles unter sonstiges?

(...)

Also das sind im Prinzip die "normalen" Unix-Berechtigungen. Im Detail sieht das auf der Kommandozeile so aus:

drwxrwxrwx_____Eigentümer_____Gruppe_____Datei-/Verzeichnisname

Die Anzeige ist so, daß diese Flags aktiv sind, wenn sie angezeigt werden. Steht also ein r, bedeutet das, lesen ist erlaubt. Steht an dieser Stelle jedoch ein - ist das Lesen verboten. Das d am Anfang steht einfach für Directory also das hinten ist ein Verzeichnis. Dann gäbe es noch l für Link. Wobei beim Link oft das tatsächliche Ziel bei ls -l angezeigt wird.

Es gibt drei Spalten mit jeweils rwx. Die erste Spalte bezieht sich auf den Eigentümer einer Datei. Die zweite Spalte bezieht sich auf die Gruppe. Und die letzte Gruppe wird von Synology als "sonstiges" gehandelt, dient "dem Rest der Welt". Sprich alles, was nicht unter Besitzer und Gruppe fällt.

Bei folgenden Muster könnte man auch sagen (-rwxr-xr--):
- der Besitzer darf eine Datei lesen, schreiben (löschen oder verändern) und ausführen
- die Gruppe darf die Datei nur lesen und ausführen
- alle anderen dürfen die Datei nur lesen
(diese Datei ist offensichtlich ein Programm oder ein Skript, da es auf der Kommandozeile ausführbar ist)

Bei einem Verzeichnis würde das so ausgesprochen (gleiches Muster: drwxr-xr--):
- der Besitzer darf: 1. den Verzeichnisinhalt anschauen (das Dateilisting), 2. Dateien ins Verzeichnis schreiben, darin löschen und ändern, 3. ins Verzeichnis wechseln
- die Gruppe darf: 1. den Verzeichnisinhalt anschauen, 2. ins Verzeichnis wechseln
- alle anderen dürfen den Inhalt des Verzeichnisses anschauen, aber nicht rein wechseln (quasi wie bei einem Schaufenster)

Zum DSM und seinen Eigenheiten. Der DSM an sich ist ein schwieriges Konstrukt, wenn man die Zugriffsrechte anschaut. Denn er muß einerseits auf Basis der Linux- / Unix-Rechte arbeiten, zum Anderen diese transparent über alle möglichen Protokolle (Samba, FTP, NFS, AFP) darstellen und abweichend davon auch noch die ACLs (Access Controll Lists) unterstützen, die es unter Linux so überhaupt nicht gibt. Die PhotoStation an sich hat wiederum ihre eigene Rechte-Struktur mit Alben und Unter-Alben, ganz was anderes, das aber nur der Vollständigkeit halber.

Ich setze die Zugriffsrechte prinzipiell mit Gruppen im DSM und dann nur auf Freigaben. Ich erstelle also keine Zugriffsrechte auf einzelne Verzeichnisse oder gar Dateien. Dieses ganze ACL-Geraffel ist nicht so meins. Zudem wird es ziemlich schnell unübersichtlich. Außerdem sollte man immer bei einem neuen gemeinsamen Ordner, einem neuen Benutzer oder einer neuen Gruppe immer mal über die Zugriffsrechte schauen, nicht daß man da ein Scheunentor öffnet. Oder jemand bekommt Zugriff, wo er keinen haben soll.

So habe ich Gruppen angelegt, die Stück für Stück die Berechtigungen einschränken. Denn ein Verbot ist von höherer Priorität wie eine Erlaubnis. Was einmal verboten ist, kann an anderer Stelle nicht wieder erlaubt werden. Also keine einfache Angelegenheit mit diesen Zugriffsrechten. Schon garnicht mit denen in der FileStation. Und das mit dem neu Anmelden ist auch wieder so eine DSM-Eigenheit, denn Zugriffsrechte auf Linux-Ebene würden sofort greifen.

Ciao Jan

 

[Accuface]

Hi,

Super, danke.

Wobei mir Nachfolgendes zu hoch ist. Bin ja kein Spezialist was Programieren und so serverzeugs angeht, von daher versteh ich fast nur Bahnhof, wobei dass auch nicht weiter schlimm ist.

Also das sind im Prinzip die "normalen" Unix-Berechtigungen. Im Detail sieht das auf der Kommandozeile so aus:

drwxrwxrwx_____Eigentümer_____Gruppe_____Datei-/Verzeichnisname

Die Anzeige ist so, daß diese Flags aktiv sind, wenn sie angezeigt werden. Steht also ein r, bedeutet das, lesen ist erlaubt. Steht an dieser Stelle jedoch ein - ist das Lesen verboten. Das d am Anfang steht einfach für Directory also das hinten ist ein Verzeichnis. Dann gäbe es noch l für Link. Wobei beim Link oft das tatsächliche Ziel bei ls -l angezeigt wird.

Es gibt drei Spalten mit jeweils rwx. Die erste Spalte bezieht sich auf den Eigentümer einer Datei. Die zweite Spalte bezieht sich auf die Gruppe. Und die letzte Gruppe wird von Synology als "sonstiges" gehandelt, dient "dem Rest der Welt". Sprich alles, was nicht unter Besitzer und Gruppe fällt.

Bei folgenden Muster könnte man auch sagen (-rwxr-xr--):
- der Besitzer darf eine Datei lesen, schreiben (löschen oder verändern) und ausführen
- die Gruppe darf die Datei nur lesen und ausführen
- alle anderen dürfen die Datei nur lesen
(diese Datei ist offensichtlich ein Programm oder ein Skript, da es auf der Kommandozeile ausführbar ist)

Bei einem Verzeichnis würde das so ausgesprochen (gleiches Muster: drwxr-xr--):
- der Besitzer darf: 1. den Verzeichnisinhalt anschauen (das Dateilisting), 2. Dateien ins Verzeichnis schreiben, darin löschen und ändern, 3. ins Verzeichnis wechseln
- die Gruppe darf: 1. den Verzeichnisinhalt anschauen, 2. ins Verzeichnis wechseln
- alle anderen dürfen den Inhalt des Verzeichnisses anschauen, aber nicht rein wechseln (quasi wie bei einem Schaufenster)

Ich find es nur etwas schade dass man die rechte für die Kontextsachen nicht definieren kann für die einzelnen User oder Ordner, aber ok, so ist es halt.

Ich möchte leuten Daten zum Herunterladen anbieten, sicher.....es werden nur Leute mit Account sein, aber was wenn zufällig jemand auf nem fremden rechner die zugangsdaten bekommt, sich dann einloggt und alle daten löscht, verschiebt.... oder sonstigen unfug anstellt?

Klar, kann ich den Benutzer dann sperren, aber die Daten wären dann Trozdem futsch. Deswegen wollte ich die kontextsachen sperren. Der/die User sollen aber trozdem soviel Freiheit haben um durch die freigegebenen Ordner zu surfen und sich zu holen was sie brauchen. da würde es auch nix bringen den leuten einen DLL zu schicken.

Beim Testen hab ich eben seltsame dinge beobachtet. Ein testuser hatte z.b. zugriff auf einen Ordner, sagen wir mal programme, auf nur lesen.
Dabei konnte er, eingeloggt über /file, in den Ordner gehen, aus dem Programmeordner eine Datei kopieren. beimaufklappendenm menu (speicherort wählen) konnte er ordner sehen, die für ihn nicht freigegeben waren.

Ich frag mich wie das Möglich sein kann.

Wie macht ihr eigentlich solche tests?
Ich hab dann 2mal den Firefox (1x normale ver. und 1. Portable) offen, im installierten hab ich den DSM offen und nehm da die änderungen vor, im anderen log ich mich mit dem Testuser über /file ein und test die veränderungen.

 

[Trolli]

Deswegen meinte ich ja auch, dass Du die Berechtigungen in der File Station am besten gar nicht anfasst. Berechtigungen solltest Du über den DSM vergeben, alles andere wird echt kompliziert.
Wenn Du einen DSM-Benutzer für einen Ordner auf "nur lesen" stellst, dann kann der auch in diesem gemeinsamen Ordner samt Unterordner auch nur lesen - nicht verschieben oder umbenennen oder sonstiges.

Und dass der Benutzer beim Kopieren Ordner sehen kann, für die er keine Berechtigung hat, kann ich bei mir auch nicht nachvollziehen.

 

[jan_gagel]

(...) aber was wenn zufällig jemand auf nem fremden rechner die zugangsdaten bekommt, sich dann einloggt und alle daten löscht, verschiebt.... oder sonstigen unfug anstellt? (...)

Naja, dafür gibts ja neben den Zugangsberechtigungen und -beschränkungen auch noch ein Backup. Könnte ja auch Datenverlust entstehen, durch:

- einen Virus (hatte ich schon in der Firma, der hat einfach die Dateigröße von Word- und Excel-Dokumenten auf 0 Byte gesetzt, überall wo er eben solche Dateien fand)
- einen Stromausfall
- Plattenfehler
- Fehler der DiskStation (Hardware oder Software)
- Bedienfehler

 

[Accuface]

Deswegen meinte ich ja auch, dass Du die Berechtigungen in der File Station am besten gar nicht anfasst.

ok, ich lass die ja schon in ruhe, wüsste ja eh nicht was bei den einzelnen Haken passiert....

Und dass der Benutzer beim Kopieren Ordner sehen kann, für die er keine Berechtigung hat, kann ich bei mir auch nicht nachvollziehen.

hmmm.... na viell. muss ich mich dann doch jedesmal ab und anmelden.

Naja, dafür gibts ja neben den Zugangsberechtigungen und -beschränkungen auch noch ein Backup. Könnte ja auch Datenverlust entstehen, durch:

- einen Virus (hatte ich schon in der Firma, der hat einfach die Dateigröße von Word- und Excel-Dokumenten auf 0 Byte gesetzt, überall wo er eben solche Dateien fand)
- einen Stromausfall
- Plattenfehler
- Fehler der DiskStation (Hardware oder Software)
- Bedienfehler

....auf backups komm ich zurücke wenn es dann soweit ist. im moment bin ich dran, zu veerstehen wie die berechtigungen funktionieren und wo was passiert...oder eben nicht

Danke schon mal soweit.