Bruker rettighetter på delte mapper

[neptun22]

Cool

 

Ja jeg tenker slik jeg også å gi ut minimalt med rettigheter, og åpne etterhvert hvis noen har behov.

 

Så lenger administrator har full control, så får man til å rette opp hvis man roter det til?

 

under advanced Security settings har man noen valg, kan du gi meg en kort beskrivelse på hva som vil hende hvis man skrur disse på i topp nivå mappen?

 

[NoTrace]

Hadde nok laget en Fileadmin gruppe i AD som har tilgang til alt.

Lokal administrator brukes jo aldri, og når du trenger den som mest er det få som husker hvor de har notert ned admin passord.

[neptun22]

Hadde nok laget en Fileadmin gruppe i AD som har tilgang til alt.

Lokal administrator brukes jo aldri, og når du trenger den som mest er det få som husker hvor de har notert ned admin passord.

 

Jeg har lagt med til local admin gruppen så da skal den være grei

[NoTrace]

Gruppe > Enkle brukertilganger

 

Men det er nå opp til deg selv. Men oversikten blir et helvette om man plutselig sitter med et titalls servere og enkle brukertilganger all over the place.

 

Lag en "Local admin" gruppe i AD, legg denne som local admin. Denne trenger ikke nødvendigvis tilgang til filshare.

Lag også en "Fileadmin" gruppe som har tilgang til alle filer.

 

Tar deg 3 minutter, og sparer deg for arbeid dersom en annen skal ha tilgang, du utvider med flere servere osv.

[Kjetil_hp]

Cool

 

Ja jeg tenker slik jeg også å gi ut minimalt med rettigheter, og åpne etterhvert hvis noen har behov.

 

Så lenger administrator har full control, så får man til å rette opp hvis man roter det til?

 

under advanced Security settings har man noen valg, kan du gi meg en kort beskrivelse på hva som vil hende hvis man skrur disse på i topp nivå mappen?

 

 

 

Så lenge man er lokal administrator på den Windows serveren som sharet ligger på så kan man gi seg selv tilgang til området uansett, selv om man skulle stenge seg selv ute (selv om du roter det til). Det gjøres i så fall ved å ta ownership på mappen, og så legge til administrators på ACL'en igjen med Full Control. Det samme gjelder stort sett andre lagringsløsninger også (selv om fremgangsmåten da kan være annerledes).

 

Forøvrig, når det gjelder local administrators gruppen på en server i et AD domene så er Domain Admins gruppen medlem av denne som default. På mindre miljøer hvor administratorene sitter med full Domain Admin rettigheter så har du allerede tilgang til alt via den gruppen. Hvis ikke bør du bruke en egen.

[neptun22]

Ok,

 

når jeg er innlogget på min lokal pc i domenet og går til \\srv\share01  så får jeg tilgang til alle mappene selv om de er satt opp med en gruppe og jeg ikke er medlem av gruppen.

Det er vel local admin gruppen som gjør dette

[Kjetil_hp]

Din admin konto er antakeligvis medlem av Domain Administrators som igjen er medlem av den lokale Administrators gruppen på filserveren, så da får du tilgang via den ja.

[neptun22]

ehh ja, må ha tungen rett i munnen når man holder på med dette. kan være forvirrende.

 

Hvis man har en mappe med mye undermapper og filer i, og man vil ta bort everyone og legge til en sikkerhetsgruppe istedenfor.

Blir det samme oppskrift på denne mappen som om man lager en ny mappe?

Endret 15. mars 2016 av neptun22

[Kjetil_hp]

Jeg er ikke helt sikker på om jeg skjønner hva du mener nå.

 

Først en liten avklaring rundt dette med Everyone: Man bør kun bruke 'Everyone' på Share-rettighetene. Alle delte mapper bør være delt til 'Everyone' med Full Control på roten av sharet.

 

På ACL (Security fanen) derimot bør ikke 'Everyone' forekomme. Skal du gi tilgang til alle kan du bruke gruppen 'Domain Users' eller den lokale 'Users' gruppen på serveren. Skal du gi tilgang til en bestemt gruppe med brukere så legger du til kun denne, samt local administrator gruppen (eller en custom admin gruppe du har).

 

Tilgangsgruppen 'Everyone' betyr i utgangspunktet at man ikke trenger en konto engang for å komme seg inn.

[neptun22]

Ok.

 

Når man skal dele en mappe legger til everyone(med read\write) og deler den ut.

På NTFS rettighetene så ligger everyone med full control. man fjerner denne å legger til domainuser gruppen istedefor hvis alle i domenet skal ha tilgang til denne, tenker jeg rett nå

[Kjetil_hp]

Ja, men ikke gi Full Control til brukere på NTFS rettighetene, det holder plenty med Modify. 

[neptun22]

Thats true

Endret 15. mars 2016 av neptun22

[neptun22]

Hei igjen.

 

Hvis jeg har en mappe som heter Administrasjon i denne mappen ligger mange under mapper. en av mappene heter Dokumenter denne har også undermapper, en av disse heter Brikker. Jeg ønsker at en person i en annen avdeling skal ha tilgang til denne mappen.

 

Mappen Administrasjon har en sikkerhetsgruppe Admin så alle i admin har tilgang til denne mappen.

 

Personen som skal ha tilgang til mappen Brikker er ikke medlem av sikkerhetsgruppen og det skal han heller ikke.

 

Men kan jeg sette inn brukernavnet under security på mappen Brikker? Vil han da få tilgang?

 

Eller må han få tilgang fra root nivaet?

Endret 21. oktober 2016 av neptun22

[NoTrace]

Ja, du kan gi direkte i Brikker.

Men brukeren kan da kun gå direkte til brikker mappen, og kan ikke "browse" seg inn via nivåene over som han ikke har tilgang til. :-)

[neptun22]

Det vil si at han ser

 

Share - Administrasjon - Brikker - og filene som ligger her?

 

Jeg får det ikke til å fungere, brukeren får ikke fram Administrasjon mappen

 

Må han ha noe rettigheter på Administrasjon og?

 

han får bare opp fellesmappe og avd sin ikke administrasjon mappen

 

Jeg har logget av og på bruker

Endret 21. oktober 2016 av neptun22

[NoTrace]

Nei, fordi han må gå direkte på filsti til Brikker.

 

typ \\SHARE\Administrasjon\Brikker\ direkte i Windows Explorer.

Kan ikke gå inn via Administrasjon siden han ikke har tilgang dit.

[neptun22]

ok, kan bare mappe opp denne manuelt på klient da

[Snylter]

Jeg ville aldri gitt enkeltbrukere tilgang, det er nemlig uryddig.

Det er også fullt mulig å kun gi tilgang til list content, da får man se hva som er der uten at man får åpnet det.

Gruppen trenger altså list content til alle mapper han må browse gjennom på vei til mappen han skal jobbe i, dette løses ved å opprette en gruppe med de riktige rettighetene og så melde brukeren inn i gruppa.