Studiengang Informatik FHDW Vorlesung Gruppen und Rechte unter

Studiengang Informatik FHDW Vorlesung: Gruppen und Rechte unter Windows 2000 1. Quartal 2004 Vorlesung: 1 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Gliederung Gruppen unter Windows 2000 Gruppenzuordnungen Gruppen herauf-/zurückstufen Berechtigungen auf Freigabeebene Beispiel zu Freigabeberechtigungen Berechtigungen auf NTFS-Ebene Beispiel zu NTFS-Berechtigungen Vorlesung: 2 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Gruppen unter Windows 2000 Eine Gruppe ist eine mittelbare oder unmittel -bare Sammlung von Benutzerkonten und kann für die Vergabe von Berechtigungen verwendet werden Sicherheitsgruppe. Alternativ: Verwendung von Gruppen für nicht-sicherheitsrelevante Aufgaben , z. Bsp. Mail- oder Softwareverteilerliste Verteilergruppe. Vorlesung: 3 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Gruppen unter Windows 2000 Gruppentypen: Lokale Gruppen Anwendbar auf WS und Standalone-Servern (SAM). Lokale Domänengruppe Anwendbar auf Domänencontrollern (DC) im gemischten und einheitlichen Modus (Active Directory, AD). Die unter NT 4. 0 bekannten vordefinierten Gruppen mit bestimmten Systemprivilegien werden unter Win 2000 vordefinierte lokale Gruppen genannt. Globale Gruppe Anwendbar auf DC im gemischten und einheitlichen Modus (AD). Universelle Gruppe Anwendbar auf DC im einheitlichen Modus (AD). Vorlesung: 4 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Gruppen unter Windows 2000 Es gibt in einer Domäne nur drei Gruppentypen. (Vier, wenn WS und Standalone-Server mit einbezogen werden. ) Annahme: die Verwaltung sei einfach. "Wäre Windows 2000 ein Schriftsteller und die Gruppen Worte und Sätze, dann würde Windows 2000 mit ihnen jonglieren, sie schichten und stapeln und völlig verquert wieder anordnen, dass Kafkas Werke im Vergleich dazu wie Kinderbücher zu lesen wären. " [William Boswell, Windows 2000 Server, Markt und Technik, 1. Auflage 2001] Vorlesung: 5 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Gliederung Gruppen unter Windows 2000 Gruppenzuordnungen Gruppen herauf-/zurückstufen Berechtigungen auf Freigabeebene Beispiel zu Freigabeberechtigungen Berechtigungen auf NTFS-Ebene Beispiel zu NTFS-Berechtigungen Vorlesung: 6 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Gruppenzuordnungen Lokale Gruppe Einer lokalen Gruppe können Rechte für lokale Ressourcen einer WS oder eines Standalone. Servers zugeordnet werden. Einer lokalen Gruppe können lokale Benutzer (SAM-gespeichert), globale Gruppen und/oder universelle Gruppen derselben Domäne angehören. Vorlesung: 7 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Gruppenzuordnungen Lokale Domänengruppe Einer lokalen Domänengruppe können Rechte für AD-Ressourcen zugeordnet werden. Einer lokalen Domänengruppe können globale Gruppen und/oder universelle Gruppen derselben Domäne angehören. Ausserdem möglich aber nicht der Microsoft Rechtevergabe-Empfehlung entsprechend: Einer lokalen Domänengruppe können Domänenbenutzerkonten zugewiesen werden. Eine lokale Domänengruppe kann Mitglied einer anderen lokalen Domänengruppe derselben Domäne sein. Vorlesung: 8 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Gruppenzuordnungen Globale Gruppe Einer globalen Gruppe können Benutzerkonten und/oder globale Gruppen derselben Domäne angehören. Eine globale Gruppe kann Mitglied einer lokalen Gruppe derselben Domäne sein. Eine globale Gruppe kann Mitglied einer universellen Gruppe derselben oder einer vertrauenswürdigen Domäne sein. Ausserdem möglich aber nicht der Microsoft Rechtevergabe-Empfehlung entsprechend: Einer globalen Gruppe können Rechte für ADRessourcen zugeordnet werden. Vorlesung: 9 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Gruppenzuordnungen Universelle Gruppe Einer universellen Gruppe können (auch domänenübergreifend) Domänenbenutzerkonten, globale und universelle Gruppe angehören. Eine universelle Gruppe kann (auch domänenübergreifend) Mitglied einer lokalen Domänengruppe oder einer universellen Gruppe sein. Ausserdem möglich aber nicht der Microsoft Rechtevergabe-Empfehlung entsprechend: Einer universellen Gruppe können domänenübergreifend Rechte für AD-Ressourcen zugeordnet werden. Vorlesung: 10 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Gruppenzuordnungen Empfehlungen für Rechte Innerhalb einer Domäne: (Domänen)Benutzer werden Mitglied in einer globalen Gruppe. Rechtezuordnungen auf lokale oder ADRessourcen durch eine lokale (Domänen)Gruppe. Eine globale Gruppe wird Mitglied in einer lokalen (Domänen)Gruppe. Rechtezuweisung von lokaler (Domänen)Gruppe über die globale Gruppe auf die (Domänen)Benutzer. Vorlesung: 11 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Gruppenzuordnungen Empfehlungen für Rechte Domänenübergreifend: Domänenbenutzer werden Mitglied in einer globalen Gruppe. Rechtezuordnungen auf AD-Ressourcen durch lokale Domänengruppen. Eine universelle Gruppe erstellen, deren Mitglied die globale Gruppe ist. Die universelle Gruppe ist Mitglied in der lokalen Domänengruppe. Rechtezuweisung von lokaler Domänengruppe über die globale Gruppe über die universelle Gruppe auf die Domänenbenutzer. Vorlesung: 12 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Gliederung Gruppen unter Windows 2000 Gruppenzuordnungen Gruppen herauf-/zurückstufen Berechtigungen auf Freigabeebene Beispiel zu Freigabeberechtigungen Berechtigungen auf NTFS-Ebene Beispiel zu NTFS-Berechtigungen Vorlesung: 13 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Gruppen herauf-/zurückstufen Unter bestimmten Voraussetzungen können Gruppen herauf-/zurückgestuft werden. Lokale Domänengruppe Universelle Gruppe: Voraussetzung: der lokalen Domänengruppe gehört keine andere lokale Domänengruppe an. Globale Gruppe Universelle Gruppe: Voraussetzung: die globale Gruppe ist nicht Mitglied in einer anderen universellen Gruppe. Universelle Gruppe Globale Gruppe: Möglich, sofern keine Mitglieder aus anderen Domänen vorhanden sind. Universelle Gruppe Lokale Domänengruppe: Muss am Global Catalog Server (GC) durchgeführt werden. Vorlesung: 14 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Zuordnungen und Heraufstufungen Vorlesung: 15 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Gliederung Gruppen unter Windows 2000 Gruppenzuordnungen Gruppen herauf-/zurückstufen Berechtigungen auf Freigabeebene Beispiel zu Freigabeberechtigungen Berechtigungen auf NTFS-Ebene Beispiel zu NTFS-Berechtigungen Vorlesung: 16 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf Freigabeebene Für freigegebene Ressourcen können Berechtigungen vergeben werden. Standardmäßig wird die Berechtigung Vollzugriff für die Gruppe Jeder in der Access Control List (ACL) eines jeden Objekts eingetragen. Mögliche Berechtigungen: Lesen Ändern Vollzugriff Vorlesung: 17 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf Freigabeebene Freigabeberechtigungen Lesen: Dateianzeige, Wechsel in Verzeichnisse, Inhaltsanzeige. Ändern Wie Lesen, zusätzlich: Neu erstellen von Dateien und Verzeichnissen, Löschen von Dateien und Verzeichnissen, Inhalte ändern Vollzugriff Wie Ändern, zusätzlich: Berechtigungen ändern (nur NTFS), Besizt übernehmen (nur NTFS). Vorlesung: 18 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf Freigabeebene Existieren mehrere (Gruppen)Berechtigungen für einen Benutzer, so werden alle Berechtigungen addiert. Werden bestimmte Rechte verweigert, so besitzen diese Restriktionen eine höhere Priorität als mögliche Rechtezuweisungen. Nicht-Zuweisung von Rechten (weder Zuweisung noch Verweigerung) gilt als Verweigerung. Vorlesung: 19 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Gliederung Gruppen unter Windows 2000 Gruppenzuordnungen Gruppen herauf-/zurückstufen Berechtigungen auf Freigabeebene Beispiel zu Freigabeberechtigungen Berechtigungen auf NTFS-Ebene Beispiel zu NTFS-Berechtigungen Vorlesung: 20 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf Freigabeebene Beispiel: Welche Rechte besitzt Teilnehmer auf die Freigabe Ordner_Novell? Vorlesung: 21 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf Freigabeebene Beispiel: Welche Rechte besitzt Teilnehmer auf die Freigabe Ordner_Novell? Antwort: Gewährte Rechte: Gruppe Jeder auf die Freigabe: Teilnehmer auf die Freigabe: Summe: abzüglich verweigerter Rechte: Teilnehmer auf die Freigabe: (Verweigerung beeinflußt: effektive Rechte Summe: Vorlesung: 22 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg Vollzugr. Lesen Vollzugr. Ändern Vollzugriff) Lesen

Gliederung Gruppen unter Windows 2000 Gruppenzuordnungen Gruppen herauf-/zurückstufen Berechtigungen auf Freigabeebene Beispiel zu Freigabeberechtigungen Berechtigungen auf NTFS-Ebene Beispiel zu NTFS-Berechtigungen Vorlesung: 23 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf NTFS-Ebene Für Verzeichnisse und neu erstellte Dateien in einem NTFS-Dateisystem können Berechtigungen vergeben werden (optional nicht rekursiv). Standardmäßig wird die Berechtigung Vollzugriff für die Gruppe Jeder in der ACL eines jeden Objekts eingetragen. Die nachfolgend aufgeführten sechs Standardberechtigungen setzen sich aus 13 erweiterten Berechtigungen zusammen, die über die Schaltfläche "Erweitert" zu administrieren sind. Vorlesung: 24 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf NTFS-Ebene Standard NTFS-Berechtigungen: Lesen, Schreiben, Ordnerinhalt auflisten, Lesen & Ausführen, Ändern, Vollzugriff Abhängig davon, ob die Berechtigungen für eine Datei oder ein Verzeichnis gelten, haben diese eine etwas unterschiedliche Bedeutungen. Vorlesung: 25 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf NTFS-Ebene Lesen Ordner: Dateien im Verzeichnis öffnen und Inhalt der Dateien lesen. Datei: Datei öffnen und Inhalt lesen. Schreiben Ordner: Dateien und Ordner erzeugen. Datei: Inhalt einer Datei ändern oder neuen hinzufügen. Vorlesung: 26 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf NTFS-Ebene Ordnerinhalt auflisten Ordner: Kombination aus Lesen und Lesen & Ausführen. Datei: Nicht zutreffend. Lesen & Ausführen Ordner: Dateien im Verzeichnis öffnen und lesen, ausführbare Dateien und Batchdateien starten. Datei: Datei öffnen und lesen, ausführbare Datei und Batchdatei starten. Vorlesung: 27 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf NTFS-Ebene Ändern Ordner: Alle Aktionen außer Unterordner und Dateien löschen, Berechtigungen ändern und Besitzrecht übernehmen. Datei: Alle Aktionen außer löschen, Berechtigung ändern und Besitzrecht übernehmen. Vollzugriff Ordner: Alles erlaubt. Datei: Alles erlaubt. Vorlesung: 28 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf NTFS-Ebene NTFS-Berechtigungen einrichten Abgeblendete Häkchen bedeuten, die Berechtigungen sind vererbt. Die Vererbung kann deaktiviert werden. Vorlesung: 29 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf NTFS-Ebene NTFS-Berechtigungen einrichten Vorsicht bei der Deaktivierung der Vererbung! "Entfernen" ohne vorherige Rechtezuweisungen erzeugt ein "totes" Verzeichnis. Vorlesung: 30 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf NTFS-Ebene Erweiterte Berechtigungen (Überblick): Ordner durchsuchen/Datei ausführen, Ordner auflisten/Daten lesen, Attribute lesen, Erweiterte Attribute lesen, Dateien erstellen/Daten schreiben, Dateien erstellen/Daten anhängen, Attribute schreiben, Erweiterte Attribute schreiben, Unterordner und Dateien löschen, Löschen, Berechtigungen lesen, Berechtigungen ändern, Besitzrecht übernehmen. Vorlesung: 31 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf NTFS-Ebene Erweiterte NTFS-Berechtigungen betrachten Vorlesung: 32 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf NTFS-Ebene Geltungsbereich für NTFS-Berechtigungen Konfigurierbar in den erweiterten NTFS-Rechteeinstellungen Für diesen Ordner, Unterordner und Dateien, Für diesen Ordner, Unterordner, Für diesen Ordner, Dateien, Nur Unterordner und Dateien, Nur Unterordner, Nur Dateien Vorlesung: 33 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf NTFS-Ebene Existieren mehrere (Gruppen)Berechtigungen für einen Ordner, so werden alle Berechtigungen addiert. Werden bestimmte Rechte verweigert, so besitzen diese Restriktionen eine höhere Priorität als mögliche Rechtezuweisungen. Nicht-Zuweisung von Rechten (weder Zuweisung noch Verweigerung) gilt als Verweigerung. Vorlesung: 34 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Gliederung Gruppen unter Windows 2000 Gruppenzuordnungen Gruppen herauf-/zurückstufen Berechtigungen auf Freigabeebene Beispiel zu Freigabeberechtigungen Berechtigungen auf NTFS-Ebene Beispiel zu NTFS-Berechtigungen Vorlesung: 35 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf NTFS-Ebene Beispiel: Der Nutzer Harald ist Mitglied der lokalen Gruppe Verwaltung. Welche Rechte besitzt er auf die Datei Abrechnung. Doc im Ordner Fi. Bu, wenn folgende Berechtigungen existieren? Jeder auf Fi. Bu: Lesen, Schreiben, Ordnerinhalt auflisten, Lesen & Ausführen, Verwaltung auf Fi. Bu: Ändern, Harald auf Fi. Bu: Lesen, Schreiben verweigert. Vorlesung: 36 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf NTFS-Ebene Beispiel: Der Nutzer Harald ist Mitglied der lokalen Gruppe Verwaltung und auch von Jeder. Anwort: Gewährte Rechte: Jeder auf Fi. Bu: L, S, O, L&S Verwaltung auf Fi. Bu: Ändern Harald auf Fi. Bu: Lesen Summe: L, S, O, L&A, Ä abzüglich verweigerter Rechte: Harald auf Fi. Bu: Schreiben (Verweigerung beeinflußt: Ändern) Summe: L, O, L&A Vorlesung: 37 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

Berechtigungen auf NTFS-Ebene Hinweise zu NTFS-Rechten: Arbeiten Sie im Zweifelsfall nur mit den erweiterten Rechten, um den Überblick nicht zu verlieren. Wird gewünscht, besondere Rechte zuzuweisen oder zu verweigern, so sollte unbedingt eine detaillierte Prüfung der erweiterten Rechte erfolgen! Es besteht keine Möglichkeit, sich die effektiven Rechte für ein Objekt anzeigen zu lassen! Vergeben Sie auf oberen Ebenen einer Verzeichnisstruktur nicht zu mächtige Rechte. Dokumentieren Sie Änderungen genau. Vorlesung: 38 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg

ENDE Fragen? Vorlesung: 39 Gruppen und Berechtigungen © 2003 Prof. Dr. G. Hellberg