Verständnis Problem mit Rechte Vererbung

[dragon001]

Hallo,

ich hab seit ein paar Tagen eine Synology Diskstation 1515+.
Hab diese an mein AD angeschlossen.
Jetzt hab ich ein paar shares angelegt.
Diese hab ich auf Basis der AD Gruppen mit Rechten belegt.
Ein Ordner sollte nur von einer Gruppe verwendet werden können.
Daher haben alle anderen Gruppen NA bekommen und die Gruppe die Zugang erhalten soll mit RW ausgestattet.
Wenn ich allerdings einen der LDAP User öffne, sehe ich das er keinen Zugriff hat, obwohl er Mitglied der Gruppe ist.

Die Rechte Priorität ist NA > RW > RO was mir sagt, das NA überwigt.
Wie kann ich das Lösen?
Die Verzeichnisse dürfen von keiner anderen Gruppe gesehen werden (geöffnet).
Allerdings kann ich den Benutzern die es öffnen dürfen auch nicht die anderen entfernen da diese ebenfalls benötigt werden.
Wie kann die Priorisierung der Privilegien anpassen?

 

[JudgeDredd]

Hallo und herzlich willkommen im Forum,

ich habe bei mir unter "Gemeinsame Ordner"/Berechtigungen/Privilegieneinstellung" der/den AD Gruppe jeweils RW Rechte eingeräumt.
In der Filestation oder auch mit einem Win-Client (User der Gruppe Domain-Admin) die NTFS Rechte bei den jeweiligen Verzeichnissen eingetragen.
Verweigerungsrechte benötigst Du eigentlich nur, wenn Gruppen bei vererbten Rechte explizit ausgeschlossen werden sollen.

Gruß,
Andreas

 

[dragon001]

Sorry, versteh das irgendwie immer noch nicht.
Ich hab eine Gruppe die heißt Domain-Benutzer.
Darin sollte keiner Zugreifen bis auf 2 Benutzer.
Diese Befinden sich ebenfalls in der Gruppe test1.
Test1 hat RW Zugriff auf das Verzeichnis. (die Gruppe)
Allerdings haben die einzelnen Benutzer selbst keinen Zugriff.
Wie kann ich das umgehen?

 

[Puppetmaster]

Also die Benutzer sind gleichzeitig in Gruppe "Domain-Benutzer" und "test1"?

Und Gruppe "Domain-Benutzer" hat das Recht NA auf den Ordner?

 

[dragon001]

Ja.
und Ja

 

[Puppetmaster]

Wie soll das gehen? Wenn in "Domain-Benutzer" schon NA gesetzt ist, wird eine Gruppe mit dem Recht RW das nicht wieder "heilen" können, da - wie du selbst schreibst - NA > RW.

Besser wäre dann, das Recht für diesen Ordner in der Gruppe "Domain-Benutzer" gar nicht zu regeln, sondern dafür ggf. noch eine weitere Gruppe zu etablieren.

 

[JudgeDredd]

Ich glaube wir sollten erstmal ein paar Begrifflichkeiten klären.
Shares=Gemeinsame Ordner=Freigaben
Directories=Verzeichnisse=Ordner

So, jetzt gibst Du der DomainGruppe "test1" RW auf das Share und weitere Unterscheidung dann auf Directory Ebene.

Fertig