Synology Photos Neue Ordner werden automatisch freigegeben - wie verhindern?

[HansSyn]

Hallo,

würde mich freuen, falls mir hier jemand helfen kann.

Ziel:
Wir verwalten unsere Fotos in Jahresordnern.
Unterhalb dieser sind für jedes Event ein eigener Unterordner - bspw. „/photo/2022/2022-11-11 Geburtstag Hans“
Diese Event-Ordner möchten wir einzeln an andere Benutzer/-gruppen freigeben.

Problem/Frage:
Nach der Einrichtung aller Rechte (bei der die Zugriffsberechtigungen für alle Benutzer passen) haben wir das Problem, dass jeder neu erzeugte Ordner unterhalb 2022 automatisch für die auf 2022-Ebene Zugriffsberechtigten freigegeben wird.
Obwohl unter Ordnerberechtigungen die Option „Datenschutzeinstellungen für alle Unterordner übernehmen“ deaktiviert ist.
Das wollen wir nicht, diese Ordner sollen nur durch Konfigurationseingriff an weitere Benutzer/-gruppen freigegeben werden.
Was mache ich falsch?

Details:

• Im freigegebenen Bereich (Ordner „photo“) befindet sich der Ordner „2022“.
  D.h. „/photo/2022“ - ein Ordner auf erster Ebene.
• Der Ordner „2022“ ist über “Einstellungen>Freigegebener Bereich>Zugriffsberechtigungen festlegen“ für eine Benutzergruppe Gruppe1 freigegeben
  (Zugriffsstufe: Benutzerdefiniert, Recht „Herunterladen“).
  Dies ist eingestellt, weil sonst auch auf die Unterordner kein Zugriff möglich wäre.
• Für den Ordner „2022“ sind über „Ordnerberechtigungen festlegen“ die Datenschutzeinstellungen auf „Privat - nur Eingeladene haben Zugriff“ und Gruppe1 in der Liste der Eingeladenen (Recht Herunterladen). Die Option „Datenschutzeinstellungen für alle Unterordner übernehmen“ ist deaktiviert.

 

[Benares]

Die Option „Datenschutzeinstellungen für alle Unterordner übernehmen“ bedeutet nur, dass du bei Änderungen an den Berechtigungen, die Änderungen einmal nochmal explizit nach unten verteilen möchtest.

Sie dir die Berechtigungsstruktur besser nochmal über die Filestation an (Rechtsklick, Eigenschaften, Berechtigungen). Du wirst sehen, dass da normalerweise auf /photo direkt die Berechtigungen änderbar wäre, auf den Ebenen darunter aber scheinbar nicht. Dann ist die Vererbung aktiv, d.h. der Ordner erbt bei Änderungen weiter oben die Berechtigungen automatisch. Das gilt auch für neue Ordner.
Wenn du diese Vererbungshierarchie irgendwo unterbrechen willst, wählst du unter "Erweiterte Optionen den Punkt "Übernommene Berechtigungen ausdrücklich machen", das hebt die Vererbung an dieser Stelle auf und die bisher vererbten Rechte werden zunächst als lokale Rechte übernommen und sind dann änderbar.

Wenn dann aber dort wieder neue Ordner entstehen, werden auch dort erstmal wieder die Berechtigungen der übergeordneten Ebene übernommen und wenn es aber anders sein soll, muss du die Aktion dort halt wiederholen.

Und wenn du dann ganz den Überblick verloren hast, gibt es ja zum Glück ganz oben wieder den Punkt „Datenschutzeinstellungen für alle Unterordner übernehmen“ der alles wieder bereinigt.

Mein Tipp: Mach's nicht so kompliziert. Default ist, dass nur die Freigegebenen Ordner selbst Berechtigungseinstellungen erhalten und alles darunter vererbt ist.

Edit: Willkommen im Forum übrigens

 

[HansSyn]

Hallo Benares,
vielen Dank für die sehr schnelle Antwort und den Willkommensgruß

Den Tipp mit „mach‘s nicht so kompliziert“ komme ich sehr gerne nach. Möchte es einfach haben.

Mein Verständnis (die Konfiguration mache ich bisher komplett im Webbrowser in der Photos-App):

• Ich muss den Ordner „/photo/2022“ für Zugriff berechtigen, sonst ist auch kein Zugriff auf die Unterordner möglich.
  Der Zugriff soll für verschiedenste Personen (Verwandtschaft, Freunde), die dafür extra ein Benutzerkonto bekommen, über die Synology Photos Mobile App oder per Browser erfolgen.
• Ich möchte dann einzeln Eventordner berechtigen - bspw. „photo/2022/2022-11-11 Geburtstag“ für Benutzer Bob.
  Deshalb muss Bob auch für Ordner „/photo/2022“ Berechtigung erhalten.
• Das Blöde ist, dass jetzt Bob automatisch Berechtigung auf jeden *neuen* Ordner unterhalb „/photo/2022“ erhält, was ich nicht möchte.

Wo finde ich die „Erweiterten Optionen“ zur Unterbrechung der Vererbungshierarchie?
Ich vermute aber, dass das alles einfacher geht und ich nur einen Denkfehler habe oder die Einstellung noch nicht gefunden habe.
Mein Anwendungsfall müsste ja ein sehr häufiger sein.

 

[Thonav]

Dann gibst Du ihm die Rechte nicht für /photo/2022 sondern für die Unterordner, die er sehen soll.

 

[Benares]

Ach so, alles klar. Das oben gesagte galt für die Ordnerstruktur beim Zugriff über Explorer oder Filestation.
Synology Photos hat aber eine ganz andere, davon unabhängige Berechtigungsstruktur. Da müsste ich erstmal schauen, wie es sich da mit der Vererbung der Berechtigungen verhält. Aber ich fürchte, du wirst da halt bei jedem neuen Ordner die Berechtigungen halt einfach neu einstellen müssen, wenn diese anders sein sollen als auf der Ebene darüber.

 

[HansSyn]

Dann gibst Du ihm die Rechte nicht für /photo/2022 sondern für die Unterordner, die er sehen soll.

Hallo Thonav,
das funktioniert in der PhotosApp leider nicht.
Um Ordnerberechtigungen einstellen zu können gibt es die Voraussetzung, dass die übergeordneten Ordner zugegriffen werden können.
Meldung in der Anwendung: „Sie können die Berechtigungen dieses Ordners nicht bearbeiten, wenn die Datenschutzeinstellung seiner übergeordneten Ordner ‚Zugriff nur für Benutzer mit voller Zugriffsberechtigung‘ lautet. Ändern Sie zuerst diese Einstellung“:

 

[HansSyn]

Ach so, alles klar. Das oben gesagte galt für die Ordnerstruktur beim Zugriff über Explorer oder Filestation.
Synology Photos hat aber eine ganz andere, davon unabhängige Berechtigungsstruktur. Da müsste ich erstmal schauen, wie es sich da mit der Vererbung der Berechtigungen verhält. Aber ich fürchte, du wirst da halt bei jedem neuen Ordner die Berechtigungen halt einfach neu einstellen müssen, wenn diese anders sein sollen als auf der Ebene darüber.

Ja, das befürchte ich auch, dass ich bei neuen Ordnern immer nachkonfigurieren muss.

Das Blöde ist, dass bspw. meine Frau auch Ordner zum Einsortieren der Fotos anlegt und diese dann halt automatisch Freigaben erhalten.
Meine Frau ist kein Admin, hat aber innerhalb der Photos-App die Zugriffsstufe „Voller Zugriff“, welche nötig ist, damit sie einfach alles im freigegebenen Bereich sieht und damit sie auch überhaupt die Zeitachsen-Sicht sehen kann.

 

[Benares]

Grad mal probiert. Es ist so, wie ich es mir gedacht habe. Neue Ordner "erben" erstmal immer die Berechtigungen des übergeordneten Ordners, was ja m.E. auch Sinn macht. Im "Normalfall" passt das ja. Und wenn nicht, muss man es halt ändern.

Übrigens, "Voller Zugriff" ist schon sowas wie "Admin", halt nur innerhalb von Synology Photos. Und damit sollte sie auch alles dürfen, was ein anderer User mit "Voller Zugriff" darf. Das hat nichts mit Admin-Rechten im DSM zu tun. Nur sind halt DSM-Admins auch automatisch gleich "Voller Zugriff"-User in Synology Photos. Anderen muss man dieses Recht erst zuweisen.

 

[HansSyn]

Ja genau - neue Ordner erben die Berechtigung.
Da lässt sich wohl nichts machen - dann muss ich unser Vorgehen an die Rahmenbedingungen anpassen.

Bzgl. Admin vs. „Voller Zugriff“:

• Die Zugriffsstufe “Voller Zugriff“ (als Zugriffsberechtigung in Synology Photos) ist *kein* „Admin“ innerhalb von Synology Photos.
• Nur als DSM-Admin kann man in Synology Photos überhaupt die Zugriffsberechtigungen im freigegebenen Bereich konfigurieren oder die Ordnerberechtigungen festlegen.

 

[Benares]

Echt? Ich hab's, ehrlich gesagt, nicht probiert, dachte aber das wär so. Ok, wieder was gelernt.

Edit: So, ich hab jetzt meinem Sohn (der kein DSM-Admin ist) mal temporär "Voller Zugriff" auf SP gewährt. Ich kann dann unter seinem Account Rechte pflegen. Ich meinte übrigens bei den Ordner, nicht bei beim "Freigegeben Bereich" selbst.

 

[HansSyn]

Mit einem Benutzer mit „Voller Zugriff“ kann ich über die Weboberfläche von Synology Photos:

• unter „Einstellungen“ *nicht* den Freigebenen Bereich konfigurieren
• für einen Ordner *nicht* den Menüeintrag „Ordnerberechtigungen festlegen“ aufrufen (weil er nicht existiert).

Auch über die „Photos Mobile“-iOS-App sind die Konfigurationsoptionen nicht aufrufbar.

Wo kannst Du Ordner-Account-Rechte für einen solchen Benutzer vornehmen?

 

[Kurt-oe1kyw]

Es ist in der Tat etwas verwirrend.

Derzeit ist es aktuell so, dass ein User welcher im DSM 7 als User in der Gruppe Administratoren im DSM eingetragen ist, gleichzeitig auch zum vollständigen Admin von SP wird.

User welche im SP die Berechtigungsstufe "Voller Zugriff" haben, oben vollen Zugriff auf die Ordnerberechtigungen, sie müssen dazu nicht im DSM Admin sein.
Dh sie können auf Ordnerebene Rechte erteilen (Ordnerberechtigungen) (*)ABER sie können nicht "zentral" über die Einstellungen etwas ändern, hier steht ihnen nur das Register "Persönlich" zur Verfügung! Obwohl sie "Vollen Zugriff" (damit ist in Bezug auf die Ordnerberechtigungen gemeint!) sehen sie die beiden anderen Register "Freigegebener Bereich" und "Global" NICHT!
Diese Bereiche sind nur dem/den Admin ( s ) von SP zugänglich. (**)


User welche im DSM Adminreche haben erhalten vollen Zugriff auf die Ordnerberechtigungen UND die Zutrittskontrolle welche über die Einstellungen in Persönlich, Freigegebener Bereich und Global gehen durch Klicken auf die dortige Schaltfläche "Zugriffsberechtigungen festlegen". ZUGRIFFSBERECHTIGUNGEN! Nicht verwechseln mit Ordnerberechtigungen.

Wegen dem "vererben" der Rechte auf Ordner bzw Unterordner ist es derzeit in SP so in der Handhabung dass die Einstellungen vom Ordner in der ersten Ebene die weiteren Unterordner beeinflusst und ab der dritten Ebene nur mehr die Rechte aus der zweiten Ebene übernommen werden, da gibt es dann nichts mehr zum Einstellen.
Dh. wenn die erste Ebene mit Haken versehen wurde (ist notwendig um etwaige Unterordner zu sehen/verwenden zu können) dann erhalten alle neu erstellten Unterordner ebenfalls den Haken.
Bin ich im Moment auch nicht glücklich darüber, ich bin es aus der alten PS gewohnt das vorerst KEINE Privilegien (=Ordnerrechte) bei neu erstellen Ordnern vorhanden sind und ich muss diese erst den entsprechenden Usern "freigeben".
In SP ist es aktuell konträr dazu, nach dem Erstellen eines neuen Ordners müssen die Rechte den ungewollten Usern entzogen werden.

Mein großer Wunsch an Synology wäre "bedingte" Admins im DSM zu definieren nur für die Synology Photostation. Das ist jene Funktion welche HansSyn für sein Vorhaben benötigen würde, er könnte dann seine Frau als "bedingten" Admin im DSM definieren.
Ich meine damit die Funktion die es jetzt schon gibt im DSM 7.1 um Usern "bedingte" Adminrechte zu erteilen. Leider ist Synology Photos dort noch nicht dabei.
Als Admin von DSM einloggen! Dann siehe dazu DSM > Hauptmenü > Systemsteuerung > Benutzer und Gruppe > Register Benutzer > eine Zeile mit einem User den man bedingte Adminrechte erteilen möchte auswählen (im Fall von Hans seine Frau) > rechts oben DELEGIEREN > Delegierte Administration > neues Fenster > HIER könnt ihr jetzt bedingte Adminrechte (=Rollendelegation) erteilen, zB. User darf User und Gruppen verwalten, aber nicht mehr (Haken dafür setzen), oder User bekommt die Hyperbackup-Verwaltung usw.
LEIDER ist die Option Synology Photos dort (noch) nicht vorgesehen), dann könnte man tatsächlich einen zusätzlichen SP-Adminuser einrichten der aber NUR in SP echter Admin wird und nichts im DSM Anstellen kann.



Wie gesagt, leider steht die Option "Synology Photos" (noch) nicht zur Verfügung, dann könnte mal leicht einen "normalen" User zum reinen Admin-SP-User machen, geht dzt aber nicht.


Ihr dürft nicht vergessen dass SP ZWEI (!) Berechtigungen hat, 1 x Ordnerberechtigungen und 1 x Zugriffsberechtigungen!
Mit Bildern wird das viel Verständlicher:


*) ORDNER BERECHTIGUNGEN:





und im Vergleich dazu die
**) ZUGRIFFSBERECHTIGUNGEN (nur durch Admin verteilbar im freigegebenen Bereich)



Oben im Bild auf den orangen Ordner Klicken um als Admin von SP die Zugriffsberechtigung auf die Ordner in 4 Stufen zu verteilen für den ausgewählten User "Silvia" im Bild oben:


Der Admin von SP erteilt über die Zugriffsberechtigungen dann die 5 (!) möglichen Stufen für die Normaluser was sie in den einzelnen Ordnern dürfen/können.

Warum 5 Stufen wenn es nur 4 Spalten sind?
*) Stufe 1 = KEIN HAKEN gesetzt = dieser User sieht in SP den Ordner nicht mal! Für ihn ist er nicht vorhanden! Testalbum 3+6 sieht Silvia nicht!
*) Stufe 2 = BETRACHTER = Lesen, Bilder können angesehen werden
*) Stufe 3 = HERUNTERLADEN = Lesen, Bilder anschauen + download vom Originalbild der DS wird gestattet
*) Stufe 4 = HOCHLADEN = Lesen, Schreiben, Rauf- und Runterladen, das ist die MINDESTSTUFE für die Photobackupfunktion am Handy des Users!
*) Stufe 5 = MANAGER = Lesen, Schreiben, Rauf- RUnterladen, Kopieren, Löschen, kann auch neue Ordner in diesem Ordner erstellen!


Nochmal:
Zugriffskontrolle durch Admin der SP, zB Vollzugriff, benutzerdefinierter Zugriff, mobile Datensicherung
Ordnerberechtigung durch Admin, User mit Vollzugriff und User mit MANAGERSTUFE auf diesen Ordner!

Ich kann es nur Wiederholen, macht ein paar Testuser, ein paar Testordner und Testunterordner mit ein paar Testbildern und dann spielt euch mit der Zugriffskontrolle und den Ordnerberechtigungen, danach wird die arbeitsweise von SP relativ schnell klar und verständlicher.


Meine obligatorische WARNUNG!
ADMIN VON SP > Einstellungen > Register Freigegebener Bereich > SCHALTFLÄCHE FREIGEGEBENER BEREICH DEAKTIVIEREN!
FINGER WEG! BÖSE FUNKTION!
NIEMALS auf Schaltfläche "Freigebener Bereich deaktivieren" klicken!
Das löscht ALLE (!) mühsam angelegten Ordnerberechtigungen! Die sind weg!
Ihr könnt dann zwar auf die Schaltfläche "Freigebener Bereich aktivieren" klicken, der kommt auch wieder und die Ordner und Bilder sind auch wieder da, ABER die Ordnerberechtigungen sind weg!
Von vorne neu anlegen...

 

[Benares]

Wo kannst Du Ordner-Account-Rechte für einen solchen Benutzer vornehmen?

Ordner anhaken, dann die 3 Dödels unten rechts, "Ordnerberechtigungen festlegen".

Mit "Vollen Zugriff" erscheint das:



Ohne "Vollen Zugriff" erscheint bei dem gleichen Benutzer nur

 

[Kurt-oe1kyw]

Ergänzend zu den Bildern von Benares, die Menüs ändern sich WER die Haken setzt und WO!
Wo bedeutet, Haken auf einen ORDNER hat ein anderes Menü als Haken auf ein BILD!

Vergleich mit Benares oben, wenn ein Admin den Haken auf ein BILD setzt, dann erscheint das Menü für die Bild ( er ):


Nützliches "Bildermenü" mit der Zeile "Datum und Zeit bearbeiten", hier kommt dann die Möglichkeit wenn MEHRERE BILDER (!) ausgewählt wurden diese mit der Option "Datum und Zeit VERSCHIEBEN!" die Uhrzeit ( en ) zu korrigieren.
Praxisbeispiel:
Spiegelreflexkamera wurde nicht auf normale Winterzeit MEZ (=utc plus 1h) umgestellt, sondern war immer noch auf "Sommerzeit".
DANN hier die Bilder markieren und die STUNDE (nur die Stunde) um eine Stunde umstellen > OK.
ALLE BILDER behalten ihre ursprüngliche Minute und Sekunde und auch ihre Stunden, ABER die Stunde wurde jetzt eine früher!
Somit sind die ursprünglichen falschen "Sommerzeit"-Bilder auf der richtigen Winterzeit als Aufnahmedatum.
Achtung auf ZEIT VERSCHIEBEN STELLEN!
Zeit ändern stellt ALLE Bilder auf die gleiche Stunde, Minute, Sekunde wie das erste Bild im Ordner! Die haben sonst alle die gleiche Aufnahmeuhrzeit!
ZEIT VERSCHIEBEN, verschiebt aber von allen Bildern deren aktuelle Stunde zB um eine Stunde zurück, oder was auch immer ihr an Zeitverschiebung in der Stunde angegeben habt.

Und wegen dem Ordnerbild einrichten, da kannst du eigene Ordnerbild definieren, es gehen auch 4 eigene, aber das ist ein heikles Thema...
aber ich schwöre es geht, es ist machbar...

 

[HansSyn]

User welche im SP die Berechtigungsstufe "Voller Zugriff" haben, oben vollen Zugriff auf die Ordnerberechtigungen, sie müssen dazu nicht im DSM Admin sein.
Dh sie können auf Ordnerebene Rechte erteilen (Ordnerberechtigungen) (*)ABER sie können nicht "zentral" über die Einstellungen etwas ändern, hier steht ihnen nur das Register "Persönlich" zur Verfügung! Obwohl sie "Vollen Zugriff" (damit ist in Bezug auf die Ordnerberechtigungen gemeint!) sehen sie die beiden anderen Register "Freigegebener Bereich" und "Global" NICHT!
Diese Bereiche sind nur dem/den Admin ( s ) von SP zugänglich. (**)

Bei meinen Benutzern mit „Voller Zugriff“ komme ich nicht an den Dialog zur Konfiguration der Ordnerberechtigungen, die du in dem Screenshot unter (*) eingefügt hast. Darauf habe ich nur mit DSM-Admins Zugriff.
Auch der Screenhot von Benares zum Menü (über die drei Punkte „…“) mit der Option „Ordnerberechtigungen festlegen“ habe ich so nur bei einem DSM-Admin. Bei Benutzern mit „Voller Zugriff“ wird die Ordnerberechtigung-Option und die Foto-Anfrage-Link-Option nicht angezeigt. Tipp?

Dh. wenn die erste Ebene mit Haken versehen wurde (ist notwendig um etwaige Unterordner zu sehen/verwenden zu können) dann erhalten alle neu erstellten Unterordner ebenfalls den Haken.
Bin ich im Moment auch nicht glücklich darüber, ich bin es aus der alten PS gewohnt das vorerst KEINE Privilegien (=Ordnerrechte) bei neu erstellen Ordnern vorhanden sind und ich muss diese erst den entsprechenden Usern "freigeben".
In SP ist es aktuell konträr dazu, nach dem Erstellen eines neuen Ordners müssen die Rechte den ungewollten Usern entzogen werden.

Ja genau. Das ist mein Problem, das ich bei der PhotoStation nicht hatte. Genau so wie Du es hier beschreibst.
Müssen wir dann anders organisieren beim Vorgehen, wenn die Rahmenbedingungen so sind, wie Du es gerade hier auch bestätigst.

Mein großer Wunsch an Synology wäre "bedingte" Admins im DSM zu definieren nur für die Synology Photostation. Das ist jene Funktion welche HansSyn für sein Vorhaben benötigen würde, er könnte dann seine Frau als "bedingten" Admin im DSM definieren.

Dein Wunsch nach “bedingten Photos-Admins“ verstehe ich. Das würde Probleme lösen, dass Nicht-DSM-Admins innerhalb von Photos die a) Zugriffsrberechtigungen und b) Ordnerberechtigungen konfigurieren können.

Für meinen Fall wäre das gar nicht nötig. Die Rechte konfiguriere nur ich.
Mir würde ausreichen, dass beim Erstellen eines neuen Ordners durch meine Frau (bspw. beim Wegsortieren von Fotos aus der Handysicherung im persönlichen Bereich) dieser die Ordnerberechtigungen nicht erbt, weil dadurch erstmal ungewollt Benutzer direkt Zugriff erhalten.

 

[HansSyn]

Mein Workaround wird dann erstmal sein:

Neben dem Ordner „2022“ werde ich einen Ordner „2022 - Rechte zu konfigurieren“ (auf welchen nur meine Frau/ich Zugriff habe) anlegen, in welchem meine Frau neue Ordner anlegen kann um Fotos aus Handysicherung etc. wegzusortieren.
Ich übernehme dann regelmäßig aus dem Ordner „2022 - Rechte zu konfigurieren“ die Unterordner in den korrekten Ordner „2022“ und passe dann direkt die Rechtestruktur an, so dass Freunde/Verwandtschaft nicht ungewollt Zugriff bekommen.

Nicht so schön, aber wäre jetzt meine spontane Idee unter diesen Rahmenbedingungen, dass neue Ordner (bspw. “2022-11-11 Geb.“) immer die Ordnerberechtigungen (bspw. von „2022“) erben.