Shared folders permissions VS ntfs permissions

[karrog]

Hei, jeg sitter og jobber i server 2003. Tester ut diverse ting på shared folders. Jeg har en vanlig bruker som har change and read rettigheter på den delte folderen, og da får han gjort det meste. Så jeg ser ikke helt hensikten med Security delen på delte mapper, er det noen som har snøring på NTFS permissions?

 

Takker for all hjelp som er mulig og oppdrive.

[ob1]

you called??

 

Nå stilte du egentlig ikke et konkret spørsmål da, men jeg kan forklare det jeg TROR du lurer på.

 

Share:

Share rettighetene er enkle (read, change og FC (Full Control). Disse trer kun kraft når brukeren får tilgang gjennom dette sharet. Hvis man får tildelt flere rettigheter så kombineres de. Altså hvis brukeren får read og gruppen "users" (som brukeren er medlem av) får FC, så blir den effektive rettigheten FC (FC+Read =FC)

 

NTFS:

Litt mer kompleks. Først legg merke til at de 6 rettighetene som listes opp ikke er faktiske rettigheter men mer "maler" av rettigheter. Hvis du går på "advanced" og "edit" så ser du de faktiske rettighetene man kan benytte. Også her gjelder det samme som med shares: ved kombinasjoner så er det summen som blir effektiv rettigheter. "Users": read og brukeren: write => read og write.

 

Når share og NTFS kombineres så er det den STRENGESTE som gjelder. Har man Read på share og FC på NTFS så er det Read som blir gjeldene hvis man kobler seg til gjennom sharet. Dette regnes ut ETTER at de kombinerte rettighetene for share og NTFS er regnet ut hver for seg.

 

Generelt så bruker man NTFS til å styre rettighetene og lar share stå på FC. Det virker bra i de aller fleste tilfellene.

 

Henger du med? Hvis du gjør det så skal jeg sørge for at du faller av nå.

 

Videre så kan man angi "deny" som overstyrer ALLE andre rettigheter man gis. Dette gjelder både shares og NTFS. Deny brukes sjelden og en godt planlagt struktur av rettigheter gjør "deny mer eller mindre overflødig. ("Everyone deny FC" bør man ikke sette på C:\)

 

Så er det arv: NTFS rettigheter kan enten arves eller angis direkte. Når man arver rettigheter kan man legge til men ikke fjerne de eksisterende rettigheten man arver. dvs. hvis man arver read, så kan man angi write, men du kan ikke fjerne read (uten å slå av arvingen).

 

He he he! Så kommer det morsomme: Hvis man arver deny-rettigheter til en katalog, men det angis allow-rettigheter på katalogen. Hva tror du blir gjeldene? Vil "deny" som arves overstyre "allow" som angis på selve katalogen?

 

Prøv dette selv: Lag en katalog som brukeren arver "deny read" fra katalogen over, men som administrator gir du den samme brukeren "allow read" på selve katalogen. Kan brukeren lese innholdet i katalogen eller ikke? (spennende)

 

Test selv og post svaret her! Ta gjerne med hvorfor du tror resultatet ble slik det ble. Ja, jeg er litt slem nå..... Hvis du ikke har mulighet så si ifra så skal jeg røpe svaret.

 

BTW: var det dette du lurte på eller hadde du et annet konkret spørsmål?

[karrog]

QUOTE:

Prøv dette selv: Lag en katalog som brukeren arver "deny read" fra katalogen over, men som administrator gir du den samme brukeren "allow read" på selve katalogen. Kan brukeren lese innholdet i katalogen eller ikke? (spennende)

 

Test selv og post svaret her! Ta gjerne med hvorfor du tror resultatet ble slik det ble. Ja, jeg er litt slem nå..... Hvis du ikke har mulighet så si ifra så skal jeg røpe svaret.

 

QUOTE /

 

Jeg lagde en mappe på c: som jeg kalte test, i denne mappen lagde jeg en ny mappe kalt test2. Test mappen fjerna jeg Everyone og la til brukeren, og jeg satte read sharing til deny. I mappa tesst 2 satte jeg brukeren til allow read.

 

Man får ikke tilgang til disse mappene ved å gå igjenom test mappa, fordi brukeren har fått tildelt DENY på mappa over, og den vil overstyre mappene under(tror jeg). Er jeg i det hele tatt inne på noe?

[ob1]

dropp share rettigheter. La share stå på allow FC til brukeren, vi jobber bare med NTFS nå. Jeg glemt en liten setning eller to i sted, la meg spesifisere bedre:

 

c:\test: NTFS - deny read til brukeren, shares ikke

c:\test\test2: NTFS - (arver "deny read" fra c:\test) legg til allow read

share: shares med "allow FC" (slik at Share ikke påvirker NTFS)

 

Brukeren prøver å nå test2 gjennom sharet til c:\test\test2. Vil han få tilgang til mappen eller ikke?

[karrog]

God damn.

 

Jeg får tilgang til mappa, men ser at jeg arver deny på read pga at den er grået ut, men brukeren får tilgang til test2, men ikke test.....

hmmmm.... eller

[ob1]

hehehe....forvirret nå?

 

Det som du nå har lært er at rettigheter som settes direkte på katalogen vil overstyre rettighter som arves! Som du kanskje har hørt: "ingen regler uten unntak".

 

Håper du lærte noe av dette. Det var ikke meningen å ha det morro på din bekosting, så hvis du sitter med flere spørsmål så bare skriv de ned!

 

snakkes!

[karrog]

Var litt forvirret, men tror jeg har fatta poenget. Men det som jeg synes er rart er at man må share begge katalogene, for test2 katalogen som ligger i test som er sharet arver jo share rettighetene, men jeg kommer ikke inn på den hvis bare test er sharet, med mindre jeg kjenner filbanen. If you see what I mean

 

But finally så tror jeg at jeg fikk det inn... med teskje

 

EDIT: Det værste nå er at jeg blir sittende utover inatt og knote også, skal ta sert på mandag..... det blir mye i natt, satser på at jeg fikser det meste utover, ellers får du mye å svare på imorra

EDIT

Endret 12. mars 2004 av karrog

[karrog]

men en ting til, på de test mappene, jeg har ikke tilgang til den ene, men til den andre, der har jeg nå satt NTFS permission til FC, men får ikke opprettet, endre eller gjort annet enn å lese.... Why?

[karrog]

En gang til

 

Jeg har en mappe, bare en denne gang. Den er sharet til users med read.

NTFS har jeg lagt til en bruker med FC, skulle jeg ikke da få full tilgang til å utføre ting i denne mappen da?? for den aktuelle brukeren som jeg har lagt til i security med FC?

 

At det skal gå an å knote med detta da... herregud ass.

[ob1]

. Men det som jeg synes er rart er at man må share begge katalogene, for test2 katalogen som ligger i test som er sharet arver jo share rettighetene

 

NEI! Ikke share! Glem share! Jeg snakker om NTFS, og jeg skrev i det andre innlegget at du skulle bare share "test2". "Test" skulle IKKE shares! "Test2" arver NTFS-rettigheter![b!]

 

Tror du må skille bedre mellom Share og NTFS. Vi bruker bare NTFS i 99% av tilfellene i real life. På sertifiseringstesten vil de nesten garantert komme med noen lure kombinasjoner av share og NTFS.

 

men en ting til, på de test mappene, jeg har ikke tilgang til den ene, men til den andre, der har jeg nå satt NTFS permission til FC, men får ikke opprettet, endre eller gjort annet enn å lese.... Why?

 

Legg enten med et bilde av ACL'en eller rams den opp helt ordrett. Du jobber kanskje med feil bruker eller så har administrator også fått "deny read" på test-mappen.

 

Og til siste spørsmål: Share = read, NTFS = FC, ikke sant? Når vi kombinerer share og NTFS er det den strengeste (dvs read) som gjelder. Les over det første svaret mitt noen ganger til og lek mer med det.

 

Good luck buddy!