Zugriff auf Dateien verweigern funktioniert nicht richtig

[*cerox*]

Hallo zusammen,

ich habe hier ein Problem mit den Berechtigungen von Windows.

Der User Administrator ist Besitzer einer Textdatei. Dem Benutzer "Jeder" habe ich alle Rechte verweigert.

Kein Nutzer kann die Textdatei nun öffnen; so soll es ja auch sein. Jeder Benutzer kann die Textdatei löschen; es hat keine Gruppe "Benutzer" oder sowas Zugriff auf die Datei.

Zum Spaß habe ich auch mal einem speziellen Benutzer die Berechtigung verweigert (um auszuschließen, dass es nicht an "Jeder" liegt) - selbes Ergebnis.

Wahrscheinlich ist die Frage total dämlich aber woran liegt das?

 

[X-530]

Du hast ein Microsoft Betriebsystem.
Nicht umsonst machen alle Witze über Software aus redmond.
Kannst ja mal an den Support schreiben

 

[phil.]

Solche Kommentare sind natürlich sehr hilfreich. Fürs flamen suche dir bitte ein anderes
Forum.

 

[PCB]

@*cerox*: Versteh Ich dich richtig, dass User die Datei löschen können, obwohl sie eigentlich keine Berechtigung darauf haben ?

Wenns so ist, hast du oder Win irgendeine Hintertür offen gelassen!

Öffne mal in den Eigenschaften den Reiter Sicherheit, dort dann unten auf Erweitert. Gehe zum Reiter "Effektive Berechtigungen", da gibt es eine weitere Schaltfläche "Auswählen".

Im neuen Fenster dann den Benutzernamen eingeben, dann "Namen prüfen", wenn der Name unterstrichen wird, kennt Win den User und du kannst mit OK bestätigen. Nun werden die effektiven Berechtigungen angezeigt. Du kannst auch Gruppen wie "Jeder" eingeben und prüfen.

Wenn dort "zuviele" Rechte aufgeführt sind, kann es an der Vererbung eines übergeordneten Containers (Ordner, LW) liegen. Um das Auszuschließen, unter Sicherheit -> Erweitert den Haken bei "Berechtigungen übergeordneter Objekte ....." entfernen und nochmals die effektiven Rechte prüfen.

Als letzten Ausweg kannst du auch bei den Rechten die "Verweigern"-Spalte setzen, einfach obren "Vollzugriff" markieren, dann werden die anderen Rechte ebenfalls markiert. Jetzt sollte dann aber nichts mehr gehen, die Verweigern-Rechte sind die "obersten" Rechte bei Windows, sobald dort was gesetzt ist, werden alle anderen Rechte ignoriert.

PCB

 

[*cerox*]

Die Vererbung hatte ich schon ausgeschaltet, jedoch ist das ja wie du selbst sagst egal, sofern ich die Rechte für "Jeder" auf "Verweigern" setze, da Verweigern Vorrang vor allem hat.

Nochmal: Kein User kann die Datei lesen oder beschreiben - jedoch löschen.

Hier mal ein erklärender Screen[url].

Rechts oben sieht man die Sicherheitseigenschaften der Textdatei grafisch; links oben sieht man die Ausgabe von cacls, welche ebenfalls besagt, dass der Gruppe "Jeder" der Zugriff verweigert wird. Nochmal zur Erinnerung: Einem bestimmten User die Berechtigungen zu verweigern bringt das selbe Ergebnis.

Unten links sieht man den Versuch die Textdatei als ein User der Gruppe "Benutzer" zu öffnen - richtigerweise wird der Zugriff verweigert. Rechts unten habe ich als selber User, der nicht lesen oder schreiben darf, eine Shell offen, in der ich die Datei lösche.

Die Ausgabe im Fenster oben links zeigt, dass die Datei danach nicht mehr vorhanden ist, indem ich dem Befehl des Anzeigens der ACL einfach nochmal wiederhole.

Ich habe diese Prozedur nun auf vier verschiedenen Rechnern ausprobiert - überall entgegne ich dem selben Phänomen.

Wenns so ist, hast du oder Win irgendeine Hintertür offen gelassen

Hast du das mal bei dir ausprobiert? Wie verhält es sich?

Irgendwie fühlt man sich da verarscht. Ich wette, wenn ich jetzt als eingeschränkter User der Gruppe "Benutzer" den Windows Ordner versuche zu löschen, werden einige Dateien gelöscht, so dass Windows nicht mehr hochfährt oder korrekt arbeitet, obwohl man als User doch angeblich keine Schreibrechte auf den Windows-Ordner haben soll. Naja egal das hat damit erstmal nichts zu tun...

Kannst ja mal an den Support schreiben

Mit großer Wahrscheinlichkeit bekomme ich dann wohl keine Antwort: entweder, weil es Microsoft peinlich ist, was sie da verfuscht haben oder weil ich wirklich zu blöd bin und solche dummen Fragen dann nicht beantwortet werden.

 

[PCB]

Hallo *cerox*,

ich habs mal bei mir auf ner VM getestet, klappt alles wie im Sinne des Erfinders!

Allerdings habe Ich mich auch als eingeschränkter User angemeldet, nachdem das Konto erstellt war. An deinem Screen kann man ja sehen, dass du teilweise mit "Ausführen als" gearbeitet hast.

Das könnte eine Erklärung sein, ist zwar recht seltsam, aber wer weiss, vielleicht haben da deine Admin-Rechte doch einen Einfluß, kannste ja mal ausprobieren!

Du erwähnst auch nichts zu den effektiven Berechtigungen, schau dort auf jeden Fall mal nach und geh alle User / Gruppen durch, da erlebt man manchmal auch Überaschungen!

PCB

Ach ja, hier noch mein Ergebnis:

 

[*cerox*]

Allerdings habe Ich mich auch als eingeschränkter User angemeldet, nachdem das Konto erstellt war. An deinem Screen kann man ja sehen, dass du teilweise mit "Ausführen als" gearbeitet hast.

Ich habe mich per runas zum Administrator gemacht und dort die Zugriffsrechte eingestellt. Eingeloggt bin ich als eingeschränkter User der Gruppe "Benutzer" und ich kann die Datei ja auch wie schon gesagt nicht lesen oder schreiben - jedoch löschen. Auch wenn ich dieses Fenster mit runas vorher beende, macht es keinen Unterschied.

Du erwähnst auch nichts zu den effektiven Berechtigungen, schau dort auf jeden Fall mal nach

Hier ein Screen davon

schau dort auf jeden Fall mal nach und geh alle User / Gruppen durch, da erlebt man manchmal auch Überaschungen!

Du hast selbst gesagt, dass das Verweigern für Jeden oder einen bestimmten User auf eine bestimmte Datei Vorrang hat. Abgesehen davon, ist der User ausschließlich in der Gruppe "Benutzer".

 

[PCB]

Hier ein Screen davon.

Öhm, da sehe Ich nur einen leeren Reiter ohne Benutzer- / Gruppen in der oberen Zeile ?!

Falscher Screen von dir ? Wenn das doch der Richtige ist, musst du noch über "Auswählen" jemanden zum Überprüfen festlegen!
Der Reiter zeigt dir nämlich nicht automatisch "deine" Berechtigungen an, er soll eigentlich den Admins unter die Arme greifen, deswegen kann man damit für jeden beliebigen User überprüfen welche Rechte er auf das Objekt hat.

Halt mich bitte nicht für pingelig wg. solcher Kleinigkeiten, ich möchte dir gerne helfen! Aber wenn man nicht direkt davor sitzt, ist es doch ziemlich abstrakt und trocken mit der Fehlersuche!

Gerade in dem Rechte-Dschungel von Windows, dieser besagte Reiter ist sogar extra dafür eingebaut worden, weil sich selbst Windows-Experten nicht mehr auskannten und dann mühselig Berechtigungen gegeneinander aufrechnen mussten!

Lokale GPOs vor Domänen-GPOs, Verweigern vor Zulassen, mutiple lokale und Domänen-Gruppen und OU-Zugehörigkeiten, named User-Rechte .....

Ach ja: "Ich habe mich per runas zum Administrator gemacht und dort die Zugriffsrechte eingestellt" --> Maybe ist dann der eigentliche User zum Besitzer geworden ? Mal so ins Blaue gefragt, im Hinterkopf hab Ich immer noch die Vermutung mit "fehlgeleitenden" Rechten des Admins an den User, immerhin Löschen das höchste Recht überhaupt, abgesehen vom Vollzugriff.


PCB

 

[*cerox*]

Ich habe nun bei den effektiven Berechtigungen bei "Jeder" und einem anderen User nachgeschaut - wie zu erwarten haben sie keinen Zugriff.

Ich weiß nicht wie oft ich es noch sagen muss: cacls Datei besagt, dass Jedem der Zugriff verweigert wird.

Der Besitzer ist immer noch ein User aus der Administratorengruppe und Löschen kann ich die Datei immer noch mit jedem beliebigen eingeschränkten User.

[edit]

Ich habe das jetzt mal ohne runas gemacht - d.h. extra mit An- und Abmelden und es macht keinen Unterschied. Die Datei kann immer noch jeder User löschen.

Kann es an den Berechtigungen der Partition liegen; dort hat "Jeder" Vollzugriff! Ich dachte eigentlich das Verweigern bei einer speziellen Datei hätte dann Vorrang.

 

[Frightener]

Hmmm, ich habe das jetzt mal ausprobiert. Ich kann die Datei zwar nicht öffnen, jedoch umbenennen und löschen (per Explorer).

 

[*cerox*]

Endlich jemand mit genau demselben Problem - ich bin also doch nicht verrückt geworden^^

Weiß denn keiner eine Lösung dafür?