xn5qk2
Goto Top

Egal welcher User sich über smb (Samba) über eine Freigabe verbindet, es werden immer die Rechte des Admins herangezogen

Sonnigen Samstag wünsche ich.

Ich habe hier ein Phänomen, was ich mir nicht erklären kann und deshalb eure Unterstützung benötige.
Freigaben auf Mac-Systemen funktioniert ja eigentlich immer und man kann diese als kinderleicht betrachten.
Wenn ich diese früher benutzt habe, hatte ich auch nie Schwierigkeiten damit.

Das Phänomen zeigt sich in folgender Gestalt und es ist kein Spaß, das ist wirklich so!

Ich habe zwei Macs, auf beiden läuft Mojave als Betriebssystem.
Auf Client A gibt es den User "LOKAL", der ein Admin ist.
Außerdem den User "TEST", der als Standard-User angelegt ist.
Der freigegebene Ordner enthält die folgende Rechte:
- "LOKAL" mit "Lesen & Schreiben"
- "Jeder" mit "Keine Rechte"

Der Client B hat ebenfalls den User "TEST", der auch als Standard angelegt ist.

Client B verbindet sich über smb//10.10.50.10 mit Client A.
Gibt man eine falsche User-/Kennwort-Kombination ein, wird das abgelehnt.
Verbinde ich mich mit TEST, dann sehe ich den freigegeben Order und habe alle Rechte, die auch der User "LOKAL" auf Client A besitzt.
Das ist kein Scherz, das ist so!.

Das habe ich jetzt mehrfach reproduziert. Auch mit unterschiedlichen Usern.
Gebe ich dem User LOKAL nur Leserechte, hat das auch der angemeldete User.
Entferne ich den Admin-Account, hat der User keinen Zugriff mehr.
Das ist auch dann so, wenn der User "TEST" mit Leserechten ausgestattet ist, er darf trotzdem Schreiben, solange der Admin-Account auch dort in der Freigabe enthalten ist.

Beide Clients befinden sich im selben VLAN-Netz.

Dummerweise ist es manchmal so, dass es dann wieder augenscheinlich so funktioniert wie man es erwarten würde und urplötzlich wieder nicht.
Ich verzweifele hier im Moment

PS: Ich verstehe auch nicht, warum ich unter der Anzeige "Informationen" den Benutzer als "Laden ..." angezeigt bekomme -> siehe Screenshot.
bildschirmfoto 2019-04-06 um 09.58.40

Content-Key: 437824

Url: https://administrator.de/contentid/437824

Printed on: April 20, 2024 at 02:04 o'clock

Mitglied: 139374
139374 Apr 06, 2019 at 08:02:49 (UTC)
Goto Top
Gibt es auf Client B einen Account mit dem selben Namen und Kennwort wie auf Client A?
Member: xn5qK2
xn5qK2 Apr 06, 2019 updated at 08:34:13 (UTC)
Goto Top
Ja, wobei der auf Client B nicht angemeldet ist und auch nicht als erstes angemeldet war.
Die Vermutung hatte ich auch schon, da der LOAKL auf Client B natürlich auch Admin ist.
Mitglied: 139374
139374 Apr 06, 2019 updated at 08:45:23 (UTC)
Goto Top
Zitat von @xn5qK2:

Die Vermutung hatte ich auch schon, da der LOAKL auf Client B natürlich auch Admin ist.
Das ist aber normal, und der muss auch nicht angemeldet sein, der MAC versucht hier im Hintergrund automatisch die höchsten Rechte für den Ordner zu bekommen und da er fündig wird hast du das geschilderte Verhalten.

Btw. MAC zu MAC warum SMB??
Member: xn5qK2
xn5qK2 Apr 06, 2019 at 08:43:03 (UTC)
Goto Top
Okay, das teste ich jetzt einmal
Member: xn5qK2
xn5qK2 Apr 06, 2019 at 08:53:45 (UTC)
Goto Top
Das ist leider nicht die Lösung.
Auf Client B gibt es jetzt einen "admin" und einen "test".
Nach Neustart mit "test" eingeloggt und an Client A über smb angemeldet.

Es bleibt dabei, Client A gibt dem angemeldeten User Lese & Schreibrechte.
Das sehe ich auch daran, dass ich mir auf Client B die Rechte über "Teilen & Zugriffsrechte" anzeigen lasse.
Da steht "test (ich)" mit "Lesen & Schreiben".

Und es spielt keine Rolle ob "test" auf Client A in der Freigabe steht oder nicht. Es werden immer die Rechte des Admins "Lokal" herangezogen.
Mitglied: 139374
139374 Apr 06, 2019 updated at 09:01:09 (UTC)
Goto Top
Nö, kann ich hier nicht nachstellen. Zeig doch mal die detaillierten Freigabeeinstellungen.
Es sollte kein gleichbenannter Admin auf beiden Kisten existieren. Bitte den echten Usernamen in der Shell vergleichen !
Member: xn5qK2
xn5qK2 Apr 06, 2019 at 09:03:37 (UTC)
Goto Top
Btw. MAC zu MAC warum SMB??

Ich habe vier VLANs, alle Clients arbeiten mit SSDs und dem neuen Betriebssystem APFS.
Das funktioniert nicht mit dem afp Protokoll.

Aber den Denkanstoß ist gut. Ich kann die SSD mal zum Testen mit HFS+ versehen und eine neue Freigabe mit afp versuchen
Member: Pjordorf
Pjordorf Apr 06, 2019 at 10:43:34 (UTC)
Goto Top
Hallo,

Zitat von @xn5qK2:
SSDs und dem neuen Betriebssystem APFS.
APFS ist ein Dateisystem Only. Es wird von einem Betriebssystem genutzt.
https://www.golem.de/news/apfs-in-high-sierra-10-13-im-test-apple-hat-di ...

Das funktioniert nicht mit dem afp Protokoll.
Auch Apple baut manchmal sachen die unausgefreift sind.

Gruß,
Peter
Member: xn5qK2
xn5qK2 Apr 06, 2019 at 11:23:23 (UTC)
Goto Top
Och, sehe gerade hatte Betriebssystem geschrieben, ist natürlich quatsch.
Frage mich gerade wie dein Beitrag bei meinem Problem hilft face-smile
Member: xn5qK2
xn5qK2 Apr 07, 2019 at 06:05:48 (UTC)
Goto Top
Das Problem ist immer noch nicht gelöst.

Ich habe diverse Umgebungen durchgespielt. Ich bin mir zu 99% sicher, das die externe SSD der Grund ist, warum es nicht funktioniert.

Solange die Daten auf dem internen Speichermedium des Macs direkt liegen, klappt die Dateifreigabe 100%ig.
Kopiere ich den Ordner, benenne diesen um, lege ihn dann auf die externe SSD und binde sie in die Dateifreigabe ein, werden die Rechte des Admins herangezogen.

Kann mir dazu ein Experte sagen, warum das so ist?

Bei der externen SSD handelt es sich um eine Samsung Portable SSD T5 mit 500GB, falls das wichtig ist.
Mitglied: 139374
139374 Apr 07, 2019 updated at 07:22:11 (UTC)
Goto Top
Sorry kann ich hier nicht nachvollziehen, irgendwas machst du bei deinen Experimenten falsch, leider zu wenig Infos zu den Details die ich oben schon mal angefragt habe, aber von dir diesbezüglich nichts gekommen ist.
Mehr Input mehr Output!
Member: xn5qK2
xn5qK2 Apr 07, 2019 at 09:44:22 (UTC)
Goto Top
Ich mache hier meiner Meinung nach keinen Fehler, denn die These mit den gleichen Accounts greift nicht, denn ich kann mein Problem z. B. auch mit der App FileBrowser aus dem AppStore zu 100% reproduzieren. Auch von dort kann ich mittels Samba mich mit einem Mac verbinden. Und das iPad hat u.a. keinerlei User, die ich mittels shell überprüfen müsste.


Meine Aussage hat weiterhin Bestand:
"Befindet sich der freigegebene Order auf einer externen Festplatte und diesem Ordner wurde auch ein Admin hinzugefügt, werden immer die Rechte des Admins herangezogen!!!"

Ich habe das jetzt mit zig Macbooks und iMacs kreuz & quer getestet. Es ist so, wie ich es schildere.
Jetzt könnte man sagen, dann vergebe keinem Admin die Rechte auf den Ordner.
Ja, das wäre ein Workaround, aber dann kann ich Hazel etc. nicht mehr anwenden, der hat Datei-Operationen für die Admin-Rechte notwendig sind.

Ich habe sogar auf einer externen SSD ein High Sierra installiert. Selbes Ergebnis. Ich habe drei unterschiedliche externe HDD & SSD versucht. Es führt immer zum selben Ergebnis.

Und ja, ich finde auch nichts vergleichbares im Netz.
Und ja man könnte meinen, ich erzähl hier ###e oder habe nicht alle Tassen im Schrank.
Ist aber nicht so. Ich kann das Problem mit jeder File-App, mit jedem Mac-System ... reproduzieren.
Es ist immer dasselbe Ergebnis. Ich arbeite mit einer Checkliste.

Erst arbeite ich die Checkliste mit einem Ordner direkt auf dem Mac-System durch, danach wiederhole ich die Checkliste mit einer externe SSD. Dabei bekommt jeder Ordnername den Namen "Ordner", gefolgt von einer fortlaufenden einmaligen Nummer.
Beim ersten Versuch, wenn der Ordner auf dem System direkt liegt, klappt alles wie erwartet, beim zweiten Durchgang nicht.

Checkliste. 1. Rundgang

1. Ordner anlegen und Namen überschreiben. z. B. Ordner 22, 23, 24 ....
2. Ordner in Systemeinstellungen -> Freigaben importieren
3. User "Jeder" auf "Keine Rechte"
4. User "Staff" -> entfernen
5. Admin-User mit "Lesen & Schreiben" stehenlassen
6. Von einem anderen Client: Finder -> Gehe zu -> Mit Server verbinden -> smb:10.10.150.15
7. Login "test" mit "test
8. Zu aktivierende Volumes erscheinen zur Auswahl, Ordner 22, 23, 24 .... darf nicht angezeigt werden -> Ergebnis: wird nicht angezeigt, richtig so
9. Abbrechen
10. Zur Freigabe User "test" mit "Nur Lesen" hinzufügen
11. Wiederholung: Finder -> Gehe zu -> Mit Server verbinden -> smb:
10.10.150.15
12. Login "test" mit "test
13. Zu aktivierende Volumes erscheinen zur Auswahl, Ordner 22, 23, 24 .... MUSS jetzt angezeigt werden -> Ergebnis: wird jetzt angezeigt, richtig so
14. Abbrechen

Diese Checkliste wiederhole ich danach mit einem neu angelegten Ordner auf meiner externen SSD. Schritt 8 hat jetzt aber zum Ergebnis, dass ich den Ordner angezeigt bekomme. lösche ich dann den Admin in der Freigabe und wiederhole, wird er mir nicht mehr angezeigt.

Ist das für dich ausreichend beschrieben?
Oder welche Informationen fehlen dir noch?
Member: xn5qK2
xn5qK2 Apr 07, 2019 at 10:21:00 (UTC)
Goto Top
PS: Ich habe gerade zum Test einen neuen Ordner auf der externen SSD angelegt, aber NICHT als Administrator, sondern als Standard-User.
Dann funktioniert es.

Und was bedeutet das jetzt?
Ich kann ja nicht immer gewährleisten, mit einem Standard-User angemeldet zu sein, wenn ich in meiner Datenstruktur neue Ordner anlege.
Das kann nicht der normale Zustand sein.
Mitglied: 139374
139374 Apr 07, 2019 updated at 10:31:36 (UTC)
Goto Top
Tja erzählen kannst du uns viel hier zählen aber Fakten und Configs Schwarz auf Weiß. Lass dir die Berechtigungen(ACLs) auf einer Konsole anzeigen dann siehst du auch richtig was Sache ist. Zusätzlich die SMB-Config in Klartext.
Traue nie einer aufgepropften GUI.

P.s. Man arbeitet niemals direkt als Admin. Sondern eleviert immer nur den jeweiligen Prozess wenn es wirklich nötig ist!! Grundregel Nr. 1, sollte man eigentlich kennen.
Member: xn5qK2
xn5qK2 Apr 07, 2019 at 10:42:13 (UTC)
Goto Top
Ich möchte dich bitten sachlich zu bleiben. Du trägst nicht zur Lösung bei. Wenn du nur Punkte fürs Schreiben sammeln möchtest, möchte ich dich ganz nett bitten, dass in einem anderen Thread zu tun. Ich danke für dein Verständnis.
Member: Pjordorf
Pjordorf Apr 07, 2019 updated at 13:25:21 (UTC)
Goto Top
Mitglied: 139374
139374 Apr 07, 2019 updated at 14:14:13 (UTC)
Goto Top
Zitat von @xn5qK2:

Ich möchte dich bitten sachlich zu bleiben. Du trägst nicht zur Lösung bei. Wenn du nur Punkte fürs Schreiben sammeln möchtest, möchte ich dich ganz nett bitten, dass in einem anderen Thread zu tun. Ich danke für dein Verständnis.
Was soll man dazu sagen, Kopfschüttel. Du willst Hilfe und wenn du hier keine Fakten lieferst wie Screenshots und detaillierte ACLs aus der Konsole kann man dir nicht helfen, so ist das nun mal.
Für Admins zählen nunmal Fakten mehr als BlaBla, und die hast du uns noch immer nicht geliefert.
Wie soll man konkret helfen wenn essentielle Dinge fehlen bitte??! Denn hier geht es wie gesagt einwandfrei und wenn wir nicht wissen wie deine ACLs aussehen was soll man da bitte machen...
Sachlicher geht's nicht!

Mal wieder ein typischer Freitagsthread bei dem unsere Fragen nicht beantwortet werden und nur um den heißen Brei herum geredet wird. Da helfe ich lieber anderen die wirklich Hilfe brauchen.