Users Gruppe und Admin

Status
Für weitere Antworten geschlossen.

Tischer_s

Benutzer
Mitglied seit
04. Aug 2012
Beiträge
31
Punkte für Reaktionen
0
Punkte
0
Hallo an alle,

ich bin relativ neu hier und stelle meine Synology gerade ein!

Ich komme nicht so ganz klar mit der Users Gruppe.

JEDER wird ja automatisch dieser Gruppe zugeordnet. Die Users Gruppe hat überall Lese und Schreibrechte. Sollte ich das ausstellen, hat keiner mehr Rechte. Besonders der Admin hat damit keinen Zugriff mehr auf die Ordner.

Das bringt mich zu der Annahme, dass Users wie die Mutterkategorie ist. Wenn alles auf Lesen und Schreiben gesetzt ist, haben alle anderen diese Rechte AUSSER ich beschränke diese mit eigenen Gruppen und Nutzern.

Ist das richtig?

Sollte ich einen neuen user einrichten der nur in der Gruppe Users ist kann ich ihm einzelne rechte zuordnen aber es hat dann trotzdem keinen Zugriff auf die anderen Ordner welche in der Users Gruppe freigeschalten sind?

Richtig soweit?

Kann mir jemand den groben Sinn erklären warum das so geregelt wurde!?

Dank an alle
 

jahlives

Benutzer
Mitglied seit
19. Aug 2008
Beiträge
18.275
Punkte für Reaktionen
4
Punkte
0
der Gruppe users gibt man am besten überhaupt keine Rechte. Weder Lesen noch Schreiben noch Verbieten, einfach nichts. Wenn man es via Gruppen steuern will legt man am besten eine neue Gruppe an und packt die entsprechenden User dort rein. Dieser neuen Gruppe kann man dann Rechte verteilen
 

Tischer_s

Benutzer
Mitglied seit
04. Aug 2012
Beiträge
31
Punkte für Reaktionen
0
Punkte
0
Ok also nehme ich bei der Gruppe Users alles heraus?

Aber dann hat bei mir gerade mein Admin auch keinen Zugriff auf die Ordner... :/
 

Tischer_s

Benutzer
Mitglied seit
04. Aug 2012
Beiträge
31
Punkte für Reaktionen
0
Punkte
0
Ahhh ok verstehe! KEINE Rechte, also auch nicht verbiete! Damit ist jeder User quasi Teil einer "leeren Gruppe" welche nichts darf und nichts verboten bekommt und somit die Regeldefinition auf der neuen User/Gruppenebene erfolgt richtig?
 

Puppetmaster

Benutzer
Sehr erfahren
Mitglied seit
03. Feb 2012
Beiträge
18.991
Punkte für Reaktionen
629
Punkte
484
@jahlives:
Ich schlage mich auch immer wieder mal mit den Berechtigungen herum. Einen Königsweg habe ich da noch nicht entdeckt.
Wenn ich alle Häkchen herausnehme aus der Gruppe users...ok. Dann hatte ich aber das Problem, daß ich z.B. beim Anlegen einer neuen Freigabe einen neuen Eintrag in der Gruppe users fand, bei dem der Haken wieder gesetzt wurde! Auf jede neue Freigabe darf jeder erstmal zugreifen der in der Gruppe users ist. Finde ich nicht so praktisch.
 

joku

Benutzer
Mitglied seit
06. Mrz 2011
Beiträge
6.664
Punkte für Reaktionen
2
Punkte
164
es gibt zwei Gruppen von Haus aus.
administrators
users

und zwei Benutzer
admin
guest
nun hast Du die Möglichkeit
einmal die Benutzer mit Rechten zu versehen
und/oder mit dem Gruppen
sollen die Benutzer alle gleiche Rechte haben, alles in eine Gruppe
darf der Benutze noch was extras, seine Privilegien aufstocken oder
in noch eine Gruppe mit den Rechten die er braucht.
 

Tischer_s

Benutzer
Mitglied seit
04. Aug 2012
Beiträge
31
Punkte für Reaktionen
0
Punkte
0
Meinst du mit Freigabe eine Dateiverknüpfung im Sinne eines generierten Links?

Wenn das so ist, gut zu wissen!

Ich habe aktuell einen User "Sharing" und eine gleichnamige Gruppe erstellt welche nur auf den Ordner Sharing zugriff hat! Alles was geteilt werden muss kommt da rein! Fertig!


Danke @jahlives für deine schnelle Antwort vorhin :) Sorry hatte ich vergessen in dem Post davor, mich zu bedanken... :)
 

Puppetmaster

Benutzer
Sehr erfahren
Mitglied seit
03. Feb 2012
Beiträge
18.991
Punkte für Reaktionen
629
Punkte
484
Meinst du mit Freigabe eine Dateiverknüpfung im Sinne eines generierten Links?

Damit ist generell ein Ordner auf höchster Ebene gemeint, dem du Freigaberechte für Benutzer erteilen kannst. Also Ordner wie video, photo, public, web, ...
 

jan_gagel

Benutzer
Mitglied seit
05. Apr 2010
Beiträge
1.890
Punkte für Reaktionen
1
Punkte
0
@Puppetmaster: ja, das ist nicht sonderlich praktisch, wenn man bei jedem Anlegen einer neuen Freigabe erst mal die Rechte wieder beschränken muß. Ich hab es mir schon so angewöhnt, daß ich prinzipiell bei jedem Anlegen einer neuen Freigabe die Rechte durch gehe, wer da wo Zugriff hat. Ich steuere das auch über Gruppen und hab, wie jahlives schreibt, eine neue Gruppe für "normale User" angelegt, mit der ich dann den Zugriff auf "spezielle Shares" verbiete. Die Standard-Gruppe bleibt unberührt. Dumm finde ich nur, daß eine USB-Festplatte, die noch nie an der DS war (demzufolge auch keine Berechtigungen bekommen hat) standardmäßig für alle freigegeben wird.

@Tischer_s: die Zugriffsberechtigungen funktionieren nach dem Prinzip Verbot ist höherwertig als Erlaubnis. Von da her kannst du auch allen Usern in der Gruppe Users Vollzugriff auf alles geben, dann packst du die User, die nicht auf alles zugreifen sollen in eine separate Gruppe und verbietest der Gruppe den Zugriff auf alles, was verboten gehört.

Ich hab also einen User für FTP-Zugriffe, z. B. userftp (Phantasiename, ist nicht der Realität entsprechend). Dieser User ist erstmal in der Gruppe Users und hat demzufolge Vollzugriff auf alles. Dann ist er in der Gruppe ftp (siehe Username, ebenfalls Phantasie). Die Gruppe ftp hat nur Zugriff auf eine einzige Freigabe / einen gemeinsamen Ordner, ebenfalls genannt "ftp". Alle anderen Ordner sind für diese Gruppe verboten.

Die Gruppe der gewöhnlichen User hat Zugriffsverbot auf die Freigabe ftp, nicht daß sich ein User irrtümlich dort mit verbindet.

Zugriffsrechte sind immer schwierig und nicht immer ist schnell und eindeutig zu erkennen, wer wo Zugriff hat. Problematisch finde ich noch, daß bei einem Anschließen von einem USB-Datenträger (USB-Stick oder Platte) natürlich die "Verbotsgruppen" immer nachbearbeitet werden müssen, sonst erhält jemand irrtümlich Zugriff auf was, wo er nix zu suchen hat.
 

Tischer_s

Benutzer
Mitglied seit
04. Aug 2012
Beiträge
31
Punkte für Reaktionen
0
Punkte
0
@jan_gagel:

Ahhh ich verstehe! Tausend Dank für die Erläuterung, damit lässt sich defintiv eine Menge anfangen und ich kann nun meine Zugriffsrechte bearbeiten.

Danke dir vielmals für deine Hilfe

Vlg

Sebastian
 

Puppetmaster

Benutzer
Sehr erfahren
Mitglied seit
03. Feb 2012
Beiträge
18.991
Punkte für Reaktionen
629
Punkte
484
Dumm finde ich nur, daß eine USB-Festplatte, die noch nie an der DS war (demzufolge auch keine Berechtigungen bekommen hat) standardmäßig für alle freigegeben wird.

Ganz genau, das ist sehr unschön gelöst.
Standardmässig hätte ich auch immer erwartet, daß ein Zugriff erst nach Freigabe erfolgen kann, und nicht, daß die Freigabe besteht, bis sie verboten wird.
 

schumihh

Benutzer
Mitglied seit
31. Aug 2012
Beiträge
8
Punkte für Reaktionen
0
Punkte
0
Hallo, ich hoffe, dass dieser Beitrag noch aktiv ist, denn ich schlage mich jetzt auch schon seit einiger Zeit mit diesem Thema rum und durchschaue die DS nicht?!
Ich habe im Standardordner photo jede Menge Bilder, die Benutzer a und Benutzer b sehen dürfen. wir nutzen iphoto wie gewohnt und die apps für ipad und iphone.
Die erste Kuriosität war bzw ist, dass ich auf die Bilder nur mit admin oder guest (Benutzername und Passowort leer lassen) zugreifen kann. Bei DS audio ging das mit einzelnen Benutzeranmeldungen super! Ich wollte nun im Ordner photo für beide Benutzer jeweils einen Ordner anlegen auf den nur der jeweilige Benutzer zugreifen kann. Allerdings konnten entweder beide oder keiner zugreifen. Habe jetzt gerade leider keinen Zugriff auf meine DS, daher die Frage, mag es ebenfalls die Lösung sein, die Userrechte offen zu lassen oder mag sich hier auch ein Softwareproblem dahinter verstecken? Habe auch für beide Benutzer eigene Gruppen erstellt und beim Anlegen eines Ordners angegeben, dass nur der Benutzer und die Gruppe zugreifen darf. Klappte nur wenn ich auch "sonstige" angegeben habe. Gehe ich recht, dass die Freigabe für sonstige jetzt wieder dazu geführt hat, dass somit die user also alle zugreifen können? Und warum haben die das so kompliziert gebaut?
 

jan_gagel

Benutzer
Mitglied seit
05. Apr 2010
Beiträge
1.890
Punkte für Reaktionen
1
Punkte
0
Hallo schumihh,

die Ordner photo, video und audio sind "spezielle" Ordner, die dem Medienserver untergeordnet sind. Deren Inhalte werden dann vom Indexer abgearbeitet, die mp3-Dateien entsprechend in die Datenbank einsortiert, von den Photos werden verschieden große Vorschaubilder hergestellt, was immer etwas dauert.

Zugriffsberechtigungen sollte man (meiner Meinung nach) nur in der ersten Ebene vergeben, also bei den "Gemeinsamen Ordnern". Zwar kann die DS auch mit ACL umgehen und so Ordner innerhalb der gemeinsamen Ordner, ich würde da aber mich nicht drauf verlassen. Gehen diese Berechtigungen nur via Samba?

Jedenfalls würde ich innerhalb der gemeinsamen Ordner wie photo oder audio keine Berechtigungen setzen. Könnte sein, daß dann der Indexer auf die Schnautze fliegt. Außerdem würde ich mit diesen Ordnern nicht aktiv "arbeiten" sondern nur Bilder oder Musik ablegen, um mit der AudioStation oder PhotoStation (resp. den speziellen Anwendungen) zu arbeiten.

Ciao Jan
 

schumihh

Benutzer
Mitglied seit
31. Aug 2012
Beiträge
8
Punkte für Reaktionen
0
Punkte
0
Hallo Jan, vielen Dank erstmal. Ich muss jetzt allerdings gestehen, dass ich nicht weiß was ACL und Samba bedeutet? Zumindest hatte ich bis jetzt nicht bewusst etwas damit gemacht. Ich greife bis jetzt nur im WLAN auf die DS zu. Leider habe ich momentan keinen Systemzugriff, da ich unterwegs bin. Dass der Indexer möglicherweise nicht mit den Rechten klarkommt scheint mir auch schon aufgefallen zu sein, da ich nämlich irgendwann nur noch einen smiley als Vorschaubild in der Kachel gesehen habe während ich dahinter jedoch auf die Bilder zugreifen konnte. Wenn du empfiehlst nur auf der ersten Ebene Berechtigungen zu vergeben würde das dann ja für mich bedeuten, dass im Ordner Photo nur alle gemeinsamen Bilder liegen und keine Unterordner für die Bilder auf die nur ich oder nur meine Freundin zugreifen wollen liegen können. Würde dann also jeweils einen Photoordner auf der ersten Ebene für sie und für mich anlegen und dementsprechende Rechte vergeben. Aber kann ich denn bei der Photostation und bei DS Photo mehrere mehrere Quellen für die Bilder angeben? Diese Option ist mir bisher nicht bekannt und daher dachte ich, ich müsste es über Berechtigungen von Unterordnern lösen, was für mich eigentlich auch logisch gewesen wäre. Oder habe ich dich da jetzt falsch verstanden?

Nachtrag: habe nach längerem Suchen auf eine ähnliche Frage folgende Antwort gefunden: "Ja, du kannst den Ordner per "mount bind" (siehe Wiki) in den photo-Ordner als zusätzlichen Unterordner mounten." muss jetzt zwar noch nachlesen wie das im WIKI beschrieben ist, aber es hört sich nach der Lösung meines Problems mit den Benutzerrechten an und ich bleibe dann wie von dir empfohlen auf der ersten Ebene? Wenngleich ich das immer noch nicht logisch finde:)
lg Stefan
 
Zuletzt bearbeitet:

jan_gagel

Benutzer
Mitglied seit
05. Apr 2010
Beiträge
1.890
Punkte für Reaktionen
1
Punkte
0
Hallo Stefan,

wie soll ich da anfangen. Hm, der Ordner Photo ist ein vorgegebener Standard-Ordner, an dem würde ich persönlich nicht viel machen. Sinn dieses Ordners ist es, die Bilder via Medienserver und / oder PhotoStation zur Verfügung zu stellen. Deshalb ja auch der Indexer.

Für "normale" Daten würde ich andere Ordner auf oberster Ebene anlegen, und nicht innerhalb von Photo. Dazu zählen meiner Meinung nach auch Photos, die man mit iPhoto oder anderen Programmen bearbeitet.

Es gibt eine Benutzer-Verwaltung auf der DS, darin kann man auch den Benutzer-Heim-Dienst anschalten, oder wie das genau jetzt heißt. Damit werden sog. Heimatverzeichnisse / home-Verzeichnisse angelegt, die nur der jeweilige Benutzer zugreifen darf. Auch an denen würde ich keine speziellen Berechtigungen vergeben, einfach auf Standard lassen. Darin kannst du dann (ich gehe mal davon aus, daß du einen Mac hast) wie am Mac in deinem Home-Verzeichnis (Häuschen-Symbol) Verzeichnisse anlegen, wie du möchtest. Wenn du jetzt die "persönliche PhotoStation" aktivierst, gibt es mehrere PhotoStations, eine globale und für jeden Benutzer eine separate. Aber auch hier würde ich keine "Arbeitsdaten" ablegen sondern nur zu veröffentlichende Photos. Arbeitsdaten würde ich wiederum in einem Ordner innerhalb des Home-Ordners ablegen (bei mir heißt dies schlicht "Daten").

Zu dem ganzen kannst du noch einen Ordner "public" oder so anlegen, auf den dann alle User Zugriff haben, um Daten entsprechend auszutauschen oder gemeinsame Daten abzulegen.

Wenn du auch irgendwann mal die CloudStation verwenden möchtest, da wird innerhalb des Heimat-Verzeichnisses auf der DS dann auch ein Ordner angelegt. Die MailStation speichert die EMails auch personenbezogen innerhalb der Heimat-Verzeichnisse. Nur soviel am Rande..

Die PhotoStation und DSPhoto+ sollten sich umschalten lassen zwischen der globalen photo-Freigabe und der personenbezogenen Freigabe. Wie das allerdings genau funktioniert, kann ich nicht sagen, da ich es nicht verwende. Aber vielleicht ist das ja ein Ansatzpunkt für dich. Oder du verwendest nur die globale PhotoStation und die "Arbeitsverzeichnisse" innerhalb der Home-Ordner.

Kommen wir zu den Abkürzungen:

ACL bedeutet Access Controll List. Also eine Liste mit Zugriffsberechtigungen. Kommt aus der Windows-Welt, denn da kann man an jedem Verzeichnis eine Liste anhängen (virtuell versteht sich), mit Zugriffsrechten. Deshalb denke ich, daß dies auch nur in der Windows-Welt funktioniert. Da ich die Zugriffsrechte eben nur auf der ersten Ebene (den gemeinsamen Ordnern) steuere, kann ich hierzu aber auch keine allgemeingültige Aussage treffen. Ist halt für eine Windows-Domäne / ADS interessant, mit zentraler Benutzer-Führung.

Samba ist ein Protokoll ähnlich wie HTTP und FTP. Es kommt aus der Windows-Welt und heißt eigentlich SMB - Server Message Block. Damit kann man Verzeichnisse freigeben, sodaß andere PCs darauf zugreifen können. Der Rechner, der die Verzeichnisse Freigibt hat den SMB-Server installiert, der zugreifende Rechner entsprechend den Client. Mit der Software Samba wurde versucht durch Probieren und Herausfinden (try and error) die Funktionsweise von SMB herauszufinden und nachzubilden. So können auch Unix- und Linux-Rechner Daten mit Windows-Systemen austauschen. Der Samba-Client (und auch Server) wurde auch in Mac OS X eingesetzt, allerdings seit 10.7 (glaube ich) durch einen Apple-eigene Lösung ersetzt.

Wenn du also eine Freigabe am Mac verbinden möchtest, mußt du eigentlich auch das Protokoll mit angeben. Im Finder einfach auf das Menü "Gehe zu" klicken, dort auf "Mit Server verbinden". Dann mußt du "smb://ip_der_ds/freigabe" eingeben für Samba-Verbindung oder "afp://ip_der_ds/freigabe" für die Apple-File-Protokoll-Verbindung. Ich verwende afp auf Mac.

Noch was zu der PhotoStation. Wenn du viele Bilder einfach so in das Verzeichnis photo kopierst, wird die DS tagelang mit dem Berechnen der Vorschaubilder benötigen. Besser ist es, den Assistenten (den du zur Einrichtung der DS verwendet hast) zu benutzen, und damit die Photos zu übertragen. Der rechnet dann lokal am PC / Mac die Vorschaubilder und trägt es entsprechend in die Datenbank ein. Geht einiges schneller. Oder du lädst die Bilder mit der PhotoStation im Browser hoch, da kann man in den Optionen einstellen, ob er die Bilder nur übertragen soll, oder vorher die Vorschaubilder lokal errechnen soll. Damit ginge es auch schneller. Der Smiley wird eigentlich nur angezeigt, wenn die PhotoStation noch keine Vorschaubilder für den Ordner errechnet hat, bzw. der Ordner leer ist. Auch wenn du in den Ordner Bilder rein kopierst, und der Indexer bemerkt den Vorgang nicht und läuft nicht an. Dann ist für die PhotoStation der Ordner immernoch leer.

Edit: Das mit dem mount --bind würde ich erst mal lassen. Da kannst du zwar prinzipiell Ordner in andere rein-mounten. Ich würde aber erst mal versuchen, mit der vorgegebenen Struktur zurecht zu kommen. Denn das rein-mounten hat hier und da auch gewisse Nachteile, bzw. ist für den Konsolen-ungeübten etwas schwierig. Du kannst gerne die Konsole der DS / die Kommandozeile aktivieren und dich dort bewegen. Ich rate aber davon ab, wenn du keine Unix-Kenntnisse hast. Denn da kann man ziemlichen Schaden anrichten.

Ciao Jan
 

schumihh

Benutzer
Mitglied seit
31. Aug 2012
Beiträge
8
Punkte für Reaktionen
0
Punkte
0
Hi Jan vielen Dank für die Mühe.Ja ich habe einen Mac (Book Pro) Das mit dem Bind habe ich nach längerem rumlesen fast schon wieder verworfen, da es mir scheint, dass ich damit eher noch größere Probleme generiere.
Ich werde mich morgen nochmal zu Hause mit der generellen Rechtevergabe für User, Gruppen etc. beschäftigen. Ich schätze, dass ich da wohl den ein oder anderen Haken zuviel gesetzt habe?! Dass die DS mehrere Tage benötigt habe ich schon gemerkt:) Über den Schritt bin ich schon hinaus:). Ich denke mit den vielen Anregungen komme ich der Lösung morgen näher!Erstmal jedenfalls danke! lg Stefan
 
Status
Für weitere Antworten geschlossen.
 

Kaffeautomat

Wenn du das Forum hilfreich findest oder uns unterstützen möchtest, dann gib uns doch einfach einen Kaffee aus.

Als Dankeschön schalten wir deinen Account werbefrei.

:coffee:

Hier gehts zum Kaffeeautomat