Ordner für bestimmte Benutzer unsichtbar machen

[LordHelmchen06]

Guten Abend an alle,

Ich habe grade ein warscheinlich einfach zu lösendes Problem und zwar, habe ich bei meinem Windows Server 2003 Ordner freigegeben, aber jeder Benutzer sieht alle Ordner. Also z.B. einen Ordner namens "Bilder", geh mit dem Benutzer Tim auf den Server, der KEINE Rechte hat, auf diesen Orner zuzugreifen, jedoch sieht er diesen, kann zwar nicht zugreifen, aber sieht ihn.
Jetzt meine Frage, wie kann ich das ausstellen? Ich hab schon alles ausprobiert, was mir eingefallen ist.

P.S.: Ich habe bereits die SuFu und google benutzt, aber nichts gefunden

 

[Tankred]

Du benötigst "Access-based Enumeration (ABE)": http://www.microsoft.com/germany/technet/sicherheit/newsletter/abe.mspx

 

[LordHelmchen06]

Ok ich habe das jetzt runtergeladen und installiert. Ich habe das dann auch bei den freigegebenen Ordner aktiviert, nur ich kann die Ordner immer noch mit Benutzern die keine Freigabe haben sehen!
Was muss ich machen damit die Benutzern die keine Freigabe haben die Ordner auch nicht sehen kann?
Mfg LH

 

[Tankred]

Die ABE funktioniert nur, wenn Freigabe- und Sicherheitsberechtigungen stimmen.

Beispiel:

Wir haben einen Ordner auf dem Server freigegeben und die Sicherheitseinstellungen so vorgenommen, dass authentifizierte Domänen-Benutzer den Inhalt des Ordners auflisten können. Diese Einstellung darf sich NICHT vererben, sondern gilt nur für diesen Ordner! In diesem Ordner erstellen wir nun Ordner A und Ordner B, wobei wir User X Berechtigungen nur für den Ordner A geben. Mit global aktivierter ABE sollte der User nun also nur noch Ordner A, nicht aber Ordner B sehen.

 

[LordHelmchen06]

Das versteh ich nicht so ganz.
Also ich habe das so: Ich habe jetzt z.B. auf Platte "D" einen Ordner mit Dokumenten freigegeben. Den hab ich dann für mein Benutzerkonto freigegeben und bei mir am Pc als Netzwerklaufwerk. Jetzt will ich das halt so haben das wenn sich einer auf den Server anmeldet also die IP eingibt und sich mit seinem Benutzer anmeldet, dass der dann den Ordner Dokumente nicht sieht. So wie ich das jetzt in diesem Beispiel verstanden habe, wäre das dann so wenn er auch die Freigabe für den Ordner Dokumente hat, dass er dann im Ordner Dokumente seine Ordner sieht, aber meine nicht.
Bei mit soll es halt so sein das der Benutzer die Ordner auf die er keine Freigabe hat nicht so, aber ohne das ich die nochmal in einen Unterordner packen muss.

 

[Tankred]

Naja, so funktioniert ABE nun mal. Sie orientiert sich weniger an den Freigaben, als viel mehr an den NTFS-Berechtigungen. Du kannst es ja mal mit einer entsprechenden Vergabe von Rechten hinsichtlich "Freigabe" und "Sicherheit" versuchen. Ob das funktioniert kann ich aber nicht sagen, denn so gibt man eigentlich keine Ordner frei. Stell Dir das mal in Firmen vor, wenn man jeden Ordner einzeln freigeben würde. Da blickt man ja nicht mehr durch und in der Computerverwaltung hättest Du eine Monsterliste mit unendlichen Freigaben. Wer soll den da noch einen Überblick haben? Deshalb macht man eigentlich eine Freigabe und legt darin die entsprechenden Ordner an, bei denen der Zugriff mittels NTFS-Rechte vergeben wird.

 

[LordHelmchen06]

Das verstehe ich aber irgendwie nicht, denn das ist doch das gleiche Prinzip.
Wie gibt man denn dann die Ordner richtig frei? So mit einem Überordner und dann nur Unterordner?
Noch eine Frage, ich welche Gruppe muss ich die Benutzer stecken damit sie auch Dateien löschen können? Bisher hat das bei mir nur mit der Administrator Gruppe funktioniert, aber ich will nicht jeden Benutzer als Admin haben.
Mfg LH

 

[Tankred]

Das verstehe ich aber irgendwie nicht, denn das ist doch das gleiche Prinzip.
Wie gibt man denn dann die Ordner richtig frei? So mit einem Überordner und dann nur Unterordner?

Du kennst schon den Unterschied zwischen Freigabe-Berechtigungen und NTFS-Rechten? Dieser Unterschied ist wichtig und ermöglicht eben erstens, nicht für jeden Ordner eine eigene Freigabe erstellen zu müssen und zweitens, Objekte innerhalb einer Freigabe mit unterschiedlichen und z.T. sehr fein unterschiedenen Rechten zu versehen.

Beispiel Home-Verzeichnisse: angenommen, Du willst für jeden Benutzer im Netzwerk ein Home-Verzeichnis einrichten, in das der Benutzer seine privaten Dateien schreiben kann. Dann legst Du nicht für jeden Benutzer eine Freigabe an, sondern nur eine einzige, z.B. mit dem Namen "Home". In dieser Freigabe kannst Du nun für jeden Benutzer einen Ordner anlegen, wobei Du nun über NTFS-Rechte definierst, welcher User auf welchen Ordner zugreifen kann.

Noch eine Frage, ich welche Gruppe muss ich die Benutzer stecken damit sie auch Dateien löschen können?

Ein weiteres Indiz dafür, dass Deine Rechtevergabe nicht stimmt. Wenn Du eine Domäne mit Active Directory hast, dann sind die neu angelegten Benutzer Mitglied der Gruppe "Domänen-Benutzer". Willst Du den Mitgliedern dieser Gruppe Zugriff auf eine Ressource gewähren, dann kannst Du das über Freigaben und/oder NTFS-Rechte machen.

Mach doch mal folgendes:

1. Lege eine Freigabe "Test" auf Deinem Server an
2. In den Berechtigungen der Freigabe soll nur "Jeder" stehen, mit den Rechten zum Lesen und Ändern
3. Gehe nun in den Reiter "Sicherheit" und klicke auf "Erweitert". Deaktiviere dort alle Vererbungen, sowohl über- als auch untergeordnete. Klicke dann auf "OK" um zum Reiter "Sicherheit" zurück zu kehren.
4. Vergib im Reiter "Sicherheit" für "Jeder" das Recht, die Ordnerinhalte aufzulisten. "Administratoren" sollten Vollzugriff haben. Sonst soll hier niemand Rechte haben.
5. Lege nun zwei Ordner in der Freigabe "Test" an, die Du beide wie folgt änderst:
6. Da die Ordner nicht freigegeben sind, sondern nur in einer Freigabe liegen, kannst Du die Berechtigungen nur mit NTFS-Rechten steuern. Gehe deshalb zu "Sicherheit" des jeweiligen Ordners, dann auf "Erweitert" und entferne wieder alle Vererbungen.
7. Gib danach einem User A unter "Sicherheit" Vollzugriff auf Ordner 1
8. Gib danach einem User B unter "Sicherheit" Vollzugriff auf Ordner 2
9. Aktiviere die ABE für die Freigabe "Test"

User A sollte in der Freigabe "Test" nun nur noch Ordner 1 sehen und darin nach belieben ändern, löschen etc. können. User B sieht entsprechend nur Ordner 2.

 

[.mojo]

wäre noch anzumerken, dass man grundsätzlich (zumindest hab ichs so gelernt und halte es auch für sinnvoll) nicht Benutzern rechte gibt, sondern Gruppen.

 

[LordHelmchen06]

Du kennst schon den Unterschied zwischen Freigabe-Berechtigungen und NTFS-Rechten? Dieser Unterschied ist wichtig und ermöglicht eben erstens, nicht für jeden Ordner eine eigene Freigabe erstellen zu müssen und zweitens, Objekte innerhalb einer Freigabe mit unterschiedlichen und z.T. sehr fein unterschiedenen Rechten zu versehen.

Hm ich glaube bei mir ist da einiges falsch. Ich habe das bisher immer so gemacht das ich auf Ordner freigeben, dann auf Berechtigungen und dann da Jeder entfernt und dann die Benutzer die darauf zugreifen sollen eingetragen.


Ich habe das jetzt mal ausprobiert mit dem Test Ordner. Das klappt jetzt auch aber wie man auf dem Bild sehen kann, wenn ich auf Netzwerk und dann auf Server gehen bin ich auf den Ordner Test gegangen und da konnte ich dann noch a und b sehen. Dann habe ich nochmal die IP vom Server eingegeben bin dann auf test und dann konnte ich nur noch a sehen. Wieso ging das dann auf einmal?

Wozu ich auch nocheinmal eine Frage habe, wie kann ich das machen das ich bei Vista wenn ich auf meinem Server gehe jedes mal das Anmeldefenster kriege, also das ich mich dann auch mit einem anderen Benutzer anmelden kann? Ich bin auch nicht auf Kennwort speichern gegangen aber trotzdem kommt das Fenster nicht.
In der Chip habe ich gelesen das Vista eine neuere Anmeldetechnik benutz und man das auch wieder auf den Modus von Xp stellen kann? Hat das vielleicht was damit zu tun weil unter Xp kam immer das Anmeldefenster. Da stand das man im Startmenü bei Vista in der Suche secpol.msc eingeben soll und das dann da ein Programm angezeigt wird, nur bei mir kommt da keins. Wenn ich es mit Ausführen probiere klappt das auch nicht. Hast du vielleicht davon auch eine Ahnung? Ich habe auch schon mal bei Google geguckt aber keine Lösung gefunden. Nur Leute die das gleiche Problem haben.

 

[Tankred]

Hm ich glaube bei mir ist da einiges falsch. Ich habe das bisher immer so gemacht das ich auf Ordner freigeben, dann auf Berechtigungen und dann da Jeder entfernt und dann die Benutzer die darauf zugreifen sollen eingetragen.

Das kann man prinzipiell natürlich auch machen. "Jeder" habe ich für die Anleitung nur gewählt, weil ich Deine Netzwerkstrukturen nicht kenne. Optimalerweise trägt man unter "Berechtigungen" die Gruppen authentifizierter Benutzer ein, die auf die Ressource Zugriff haben soll und die Administratoren, damit die Verwaltung funktioniert.

Ich habe das jetzt mal ausprobiert mit dem Test Ordner. Das klappt jetzt auch aber wie man auf dem Bild sehen kann, wenn ich auf Netzwerk und dann auf Server gehen bin ich auf den Ordner Test gegangen und da konnte ich dann noch a und b sehen. Dann habe ich nochmal die IP vom Server eingegeben bin dann auf test und dann konnte ich nur noch a sehen. Wieso ging das dann auf einmal?

Da kann ich nur spekulieren und vermuten, dass die Ordner in der linken Seite unter dem aufgelösten DNS-Namen angezeigt werden, weil die automatische Suche die Einträge gecached hat. Aktualisieren oder ein erneuter aufruf durch den UNC-Pfad sollte das auflösen.

Wozu ich auch nocheinmal eine Frage habe, wie kann ich das machen das ich bei Vista wenn ich auf meinem Server gehe jedes mal das Anmeldefenster kriege, also das ich mich dann auch mit einem anderen Benutzer anmelden kann?

Hm... sowas habe ich ohnehin noch nie genutzt. Entweder kennt mein Server die Benutzer dank Active Directory-Integration oder ich habe die Freigaben als Netzlaufwerk eingebunden.

Probiere doch mal die Einstellungen im NFC durch, vielleicht ist ja da eine Option die von Dir gesuchte.

 

[LordHelmchen06]

Ok das hat mit den Rechten jetzt alles geklappt, nur jetzt habe ich ein neues Problem!
Ich ich musste meinen Server neu aufsetzten und habe einfach die Partition auf der Windows ist formatiert und dann Windows neu installiert.
Mein Problem ist jetzt das ich auf meinche Ordner nicht mehr draukomme und auch die Berechtigungen nicht ändern kann, obwohl ich Administrator bin. Ich denke mal das hat was mit den NTFS Rechten zu tun. Kann ich nicht irgendwie alle Berechtigungen nicht zurücksetzten oder etwas Anderes machen?
Bitte um schnelle Antworten
Mfg LH

 

[.mojo]

du musst vorher den besitz übernehmen.
eigebnschaften, sicherheit, erweitert, besitzer, dein konto, haken setzen, übernehmen, ok.

ah und noch was, access based enumeration geht erst ab windows 2003 r2, soweit ich weiß.

 

[Tankred]

Nicht ganz, ABE wurde mit Windows Server 2003 SP1 eingeführt.

 

[.mojo]

ah ja, hast recht...
ok, dann nehm ichs zurück...

 

[LordHelmchen06]

Danke für eure Hilfe.
Es klappt jetzt auf jeden Fall wieder.
Muss ich um das Problem zu umgehen, bevor ich Windows neu aufsetzte alle Rechte zurücksetzten?
mfg LH

 

[Tankred]

Das kann man machen, ist aber viel zu unübersichtlich. Umgehen lässt sich das Problem, wenn man folgende Maxime beachtet:

- Der Administrator hat auf alle Ressourcen "Vollzugriff"
- Benutzer bekommen auf Ressourcen keinen Zugriff, sondern nur Gruppen