Zugriffssteuerungen, die für alle außer dem aktuellen Nutzer gelten?

[cubefox]

Vorab:

In Vista kann man bei jedem Ordner und jeder Datei im Dialog "Eigenschaften" im Tab "Sicherheit", die Zugriffssteuerung dafür einstellen. Bei Ordnern auf Wunsch auch für untergeordnete Elemente. Um festzulegen, für wen die jeweilige festgelegte Berechtigung gelten soll, gibt es so genannte "Objektnamen". Das können beispielsweise bestimmte Windows-Benutzer sein, Benutzergruppen (z.B. "Administratoren") oder andere so genannte Objekttypen. Falls ein Zugriffsname (z.B. ein Windows-Nutzer), in der Zugriffssteuerung mehrfach vertreten ist (z.B. als Nutzer "Heike" und in der Gruppe "Administrator"), und sich die Zugriffseinstellungen widersprechen, so haben diejenigen Einstellungen Vorrang, die Verweigerungen darstellen. Wenn also dem Objektnamen "Heike" z.B. das Lesen eines bestimmten Ordners gestattet ist, das selbe aber dem Objektnamen "Administrator" untersagt ist, hat das Verbot Vorrang, denn in meinem Beispiel ist Heike ein Administrator. Wäre Heike ein Nutzer der nur über User-Rechte verfügt, hätte sie Zugriff auf den Ordner (vorausgesetzt der User-Gruppe ist der Zugriff nicht ebenfalls untersagt).

Das nur als Erläuterung, falls jemand - wie ich - bei der Sache bisher nur ansatzweise durchgeblickt hat.

Jetzt meine Frage: Gibt es einen Objektnamen (z.B. eine Gruppe), der für alle Nutzer gilt, außer für den aktuellen (oder einen bestimmten) Nutzer? Zum Beispiel um allen anderen Nutzern (egal ob Admin oder User) des Computers zu verbieten, auf einen Ordner zuzugreifen.

Man kann den Zugriff zwar jedem existierenden Nutzer einzeln verbieten, doch gilt das Verbot dann natürlich nicht für neuangelegte Nutzer. Ganzen Nutzergruppen (Administratoren und Usern) den Zugriff zu verweigern und mich (oder jemand anderen) zu "whitelisten", funktioniert auch nicht, denn Verweigerungen haben ja Vorrang. Deswegen die Frage, ob es einen speziellen Objektnamen gibt, der das regelt. In der Windowshilfe finden sich nämlich keine ausreichenden Erläuterungen und die Namen selbst sind zu großen Teil nicht selbsterklärend. Oder gibt es evtl. eine andere Lösung für das Problem?

 

[lutz86]

Hallo,

du könntest doch eine neue Gruppe erstellen, und für diese vergibst du dann die Berechtigungen für einen Ordner. Zu dieser Gruppe fügst du dann alle Benutzerkonten hinzu für die diese Zugriffsbrechtigungen gelten sollen. Wenn du einen neuen Benutzer erstellst fügst du diesen wieder zu deiner erstellten Gruppe hinzu und er erhält die Berechtigungen. Ob es eine Möglichkeit gibt das ein neuer Benutzer automatisch zu deiner Gruppe hinzugefügt wird weiß ich jetzt leider auch nicht.

MfG Lutz

 

[cubefox]

Mit der neuen Gruppe wäre es eigentlich ziemlich das gleiche wie meine bisherige Lösung (einzelne Verbote).

 

[lutz86]

Der Unterschied ist aber das du nicht für jeden neu erstellten Nutzer die Rechte neu vergeben musst sondern den neuen Nutzer nur zu der Gruppe hinzufügen musst.
Wenn es sich nur um einen Ordner handelt für den Rechte vergeben werden ist es wahrscheinlich egal, aber wenn du z.B. 10 Ordner hast und jedesmal wenn du ein neues Benutzerkonto erstellst die Zugriffsberechtigungen neu setzen musst hast du ja mehr Aufwand als wenn du den Benutzer nur zu der Gruppe hinzufügen musst.

MfG Lutz

 

[frogger9]

das lässt sich nicht realisieren, wenn man kein AD benutzt, somit also nicht auf einem SingleOS anwendbar. Denn grundsätzlich sind hier alle Benutzer Mitglied der Gruppe "Jeder".

Du kannst also nur weiterhin die Benutzerrechte händisch verweigern oder erweitern.

Du kannst natürlich auch ein Komandozeilentool wie icacls oder Subinacl verwenden, um schneller die Berechtigungen zu ändern.

 

[cubefox]

Danke für die Info. So wichtig ist es eigentlich nicht. Aber erstaunlich finde ich es schon, dass es ausschließlich "blacklisting" gibt. Beim Vorgänger Windows XP war es afaik so, dass (wenn man dies bei der Erstellung des Kontos festgelegt hatte) nur der aktuelle Benutzer Zugriff auf sein User-Verzeichnis hat. Das entspräche Whitelisting.