Berechtigungen für Verzeichnisse in 3 Ebenen anpassen
Hallo liebe Admin-User,
ich muss auf einem neu erstellten Laufwerk etwa 80 Verzeichnisse und Unterverzeichnisse anlegen.
Diese sollen in 3 Ebenen entstehen.
Alle Verzeichnisse - bis in die 3. Ebene hinein, sind namentlich bereits vorgegeben.
Daher habe ich schon eine entspr. Excel-Liste der Verzeichnisse erstellt.
Bevor ich diese Verzeichnisse nun anlege, würde ich gerne etwas zu den Berechtigungen für die 3. Ebene wissen.
Im ROOT-Verzeichnis soll die Vererbung deaktiviert werden.
Es gibt dort die Gruppen "Administrator" und "GAV".
Dabei soll es "Vollzugriff" für Admin haben und "Lesen, Ausführen, Ordnerinhalt anzeigen, Lesen" für die Gruppe GAV.
In Ebene 1 und 2 soll es genauso sein, wie im ROOT.
In der Ebene 3 liegen die meisten Unterverzeichnisse.
Dort sollen alle MA jedoch die Möglichkeit haben, neue Verzeichnisse anzulegen oder Dateien abzulegen... also mit zusätzlichen "ÄNDERN"-Rechten.
Nun meine Frage:
Wie mache ich es, dass in allen Unterverzeichnissen, die in Ebene 3 liegen, automatisch alle MA zusätzlich diese ÄNDERN-Rechte erhalten, ohne dass ich manuell in jedem einzelnen Verzeichnis über die Eigenschaften die Berechtigungen anpassen muss?
Zur Info:
Sämtliche Verzeichnisse werden im ROOT automatisch durch ein Script erstellt. Deshalb kann ich die Berechtigungen erst nachher anpassen.
ODER:
Wäre es ggf. sogar sinnvoller, im ROOT schon die ÄNDERN-Berechtigungen für die MA zu vergeben, diese weiter nach unten zu vererben und dann die Berechtigungen nur in den Ebenen 1 + 2 entspr. anzupassen... also dort für die MA von "ÄNDERN" auf "Lesen, Ausführen, Ordnerinhalt anzeigen, Lesen" ändern?
Obwohl ich gelesen habe, dass man es besser so nicht machen sollte (schlechter Stil etc.)
Danke und viele Grüße,
BN
ich muss auf einem neu erstellten Laufwerk etwa 80 Verzeichnisse und Unterverzeichnisse anlegen.
Diese sollen in 3 Ebenen entstehen.
Alle Verzeichnisse - bis in die 3. Ebene hinein, sind namentlich bereits vorgegeben.
Daher habe ich schon eine entspr. Excel-Liste der Verzeichnisse erstellt.
Bevor ich diese Verzeichnisse nun anlege, würde ich gerne etwas zu den Berechtigungen für die 3. Ebene wissen.
Im ROOT-Verzeichnis soll die Vererbung deaktiviert werden.
Es gibt dort die Gruppen "Administrator" und "GAV".
Dabei soll es "Vollzugriff" für Admin haben und "Lesen, Ausführen, Ordnerinhalt anzeigen, Lesen" für die Gruppe GAV.
In Ebene 1 und 2 soll es genauso sein, wie im ROOT.
In der Ebene 3 liegen die meisten Unterverzeichnisse.
Dort sollen alle MA jedoch die Möglichkeit haben, neue Verzeichnisse anzulegen oder Dateien abzulegen... also mit zusätzlichen "ÄNDERN"-Rechten.
Nun meine Frage:
Wie mache ich es, dass in allen Unterverzeichnissen, die in Ebene 3 liegen, automatisch alle MA zusätzlich diese ÄNDERN-Rechte erhalten, ohne dass ich manuell in jedem einzelnen Verzeichnis über die Eigenschaften die Berechtigungen anpassen muss?
Zur Info:
Sämtliche Verzeichnisse werden im ROOT automatisch durch ein Script erstellt. Deshalb kann ich die Berechtigungen erst nachher anpassen.
ODER:
Wäre es ggf. sogar sinnvoller, im ROOT schon die ÄNDERN-Berechtigungen für die MA zu vergeben, diese weiter nach unten zu vererben und dann die Berechtigungen nur in den Ebenen 1 + 2 entspr. anzupassen... also dort für die MA von "ÄNDERN" auf "Lesen, Ausführen, Ordnerinhalt anzeigen, Lesen" ändern?
Obwohl ich gelesen habe, dass man es besser so nicht machen sollte (schlechter Stil etc.)
Danke und viele Grüße,
BN
Please also mark the comments that contributed to the solution of the article
Content-ID: 671065
Url: https://administrator.de/forum/berechtigungen-fuer-verzeichnisse-in-3-ebenen-anpassen-671065.html
Printed on: February 9, 2025 at 07:02 o'clock
18 Comments
Latest comment

Doppelt genmoppelt hält besser oder wie??
Get-ChildItem (mit -Depth Parameter)
ForEach-Object
Get-Acl
FileSystemAccessRule Konstruktoren
Set-Acl
Vielleicht nochmal lesen
Get-ChildItem (mit -Depth Parameter)
ForEach-Object
Get-Acl
FileSystemAccessRule Konstruktoren
Set-Acl
Vielleicht nochmal lesen

Wie oben eigentlich schon alles verlinkt, einfach ne entsprechende Gruppe mit Schreib-Rechten in den ACLs hinzufügen
-TanteEdith- Kommentare hinzugefügt und Tippfehler korrigiert.
# Gruppe die Schreibrechte bekommen soll
$gruppe = "Domain\GroupXYZWrite"
# Root-Ordner der Ordner-Struktur
$ordner = "D:\Root"
# alle Ordner der dritten Ebene verarbeiten
Get-ChildItem -LiteralPath $ordner -depth 2 -Directory | %{
# ACLs des Ordners holen
$acl = Get-ACL -LiteralPath $_.Fullname
# Neue ACE in der ACL erstellen
$acl.AddAccessRule([System.Security.AccessControl.FileSystemAccessRule]::new([System.Security.Principal.NTAccount]$gruppe,"Modify","ContainerInherit,ObjectInherit","None","Allow"))
# Neue ACL zurück schreiben
Set-ACL -LiteralPath $_.Fullname -AclObject $acl
}
-TanteEdith- Kommentare hinzugefügt und Tippfehler korrigiert.
Moin,
Wie ich in deinem ersten Zhread schon schrieb (Neue Verzeichnisse mit Unterverzeichnissen anlegen und Berechtigungen vergeben) und @151434 dir hier sogar die Funktionen teilweise nochmal verlinkte:
Etwas Hirnschmalz deinerseits darf gerne eingebracht werden…
Wie ich in deinem ersten Zhread schon schrieb (Neue Verzeichnisse mit Unterverzeichnissen anlegen und Berechtigungen vergeben) und @151434 dir hier sogar die Funktionen teilweise nochmal verlinkte:
- Import-CSV()
- New-Item()
- Set-ACL()
Etwas Hirnschmalz deinerseits darf gerne eingebracht werden…
Wenn Dein vorgelagertes Skript noch nicht auf Powershell basiert, wäre dies ggf. sinnvoll, umzustellen. Literatur: www.msxfaq.de/powershell/ps_excel.htm

Zitat von @BN2023:
...hat hierzu nochmal jemand von Euch einen Tipp?
Wie kann ich den PS-Code so ergänzen, dass der ursprüngliche Eintrag für die Gruppe "MA" entfernt wird.
Das ist offenbar nötig, da wohl dieser Eintrag vorgeht vor dem Gruppeneintrag, der mit dem PS-Script erstellt wird.
Blödsinn, du hast das Schema der ACLs leider nicht verstanden und du hast die Änderung die ich oben hinzugefügt hatte nicht mit übernommen....hat hierzu nochmal jemand von Euch einen Tipp?
Wie kann ich den PS-Code so ergänzen, dass der ursprüngliche Eintrag für die Gruppe "MA" entfernt wird.
Das ist offenbar nötig, da wohl dieser Eintrag vorgeht vor dem Gruppeneintrag, der mit dem PS-Script erstellt wird.
Nicht denken sondern nachdenken und vor allem die Schritte VERSTEHEN UND AUCH SELBST NACHSCHLAGEN lautet die Devise, Copy n Paste bringt dich eben nicht weiter!
Me out.

Du hast die Änderungen ja erst vorgenommen, nachdem ich meinen Test durchgeführt habe
Meine Änderung gestern =>aktualisiert am 03.02.2025 um 11:32:01 Uhr
Dein Post
03.02.2025 aktualisiert um 14:27:20 Uhr
Ergo nach 11:32 nichts mehr geändert worden.
Wohl irgend nen Cache dazwischen gefunkt, haben wir keinen Einfluss drauf.
Bitte gewöhne Dir einen anderen Schreibstil an
Du bist nicht mein Deutschlehrer, also nein, ich schreibe so wie ich es für angebracht halte.Ich werde das neue PS-Script morgen einmal testen.
Verstehen der Befehle und deren Auswirkungen wäre ja auch nicht verkehrt. Dann macht man sich auch nicht so abhängig von Foren für seine Arbeit.