Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Windows Fileserver - Zugriff von Rechner sperren unabhängig vom Benutzer

Mitglied: Der-Phil

Der-Phil (Level 2) - Jetzt verbinden

10.10.2011 um 15:05 Uhr, 5937 Aufrufe, 13 Kommentare

Hallo,

ich habe eine etwas eigenartige Anforderung:

Ist es möglich, einem User unterschiedliche Berechtigungen zu erteilen je nachdem von welchem Rechner aus er auf ein Share zugreifen will?

Hintergrund ist der:
Ein AD-User melde sich teilweise über einen Windows 2003 Terminalserver und teilweise von Windows 7 Clients aus an.
Vom Terminalserver aus soll er nicht auf ein "Gruppenlaufwerk" zugreifen können.

Wisst ihr, wie das machbar ist?

Phil
Mitglied: Coreknabe
10.10.2011 um 15:14 Uhr
Hi Phil,

Du könntest die Freigabe explizit für den Terminalserver sperren (Access denied). Als Objekttyp wählst Du in den NTFS-Berechtigungen "Computer".
Bitte warten ..
Mitglied: DerWoWusste
10.10.2011 um 15:17 Uhr
Moin.

Das kann nicht gehen. Der Zugriff wird über ACLs geregelt - da steht jedoch der Nutzer drin und nichts anderes.
Wollte man den Zugriff vom TS aus stoppen, dann musst Du Firewallregeln anwenden, würdest aber dann nur sagen können: "kein Zugriff vom TS aus auf den Fileserver via smb", aber könntest es nicht auf eine spezielle Freigabe (=Gruppenlaufwerk) beschränken und ebensowenig nutzergebunden.
Bitte warten ..
Mitglied: DerWoWusste
10.10.2011 um 15:18 Uhr
@Coreknabe: Nee. Das was Du damit sperrst, ist der Zugriff des Computerkontos, das hat nichts zu tun mit auf dem Rechner angemeldeten Benutzern.
Bitte warten ..
Mitglied: nikoatit
10.10.2011 um 15:21 Uhr
Moin,

mir fällt gerade nur ein, dass sie einen zweiten Account bekommen (z.B. Benutzername.RDP)
Danach erstellst einfach eine AD-Gruppe und packst die paar Personen (oder alle TS-User?) hinein.
Danach richtest du am Share die Gruppe über die Sicherheit entsprechend ein, dass der Zugriff expliziet verweigert wird.

Achja und beim "normalen" Account natürlich den TS-Logon verweigern.

Gruß
Bitte warten ..
Mitglied: St-Andreas
10.10.2011 um 20:26 Uhr
Hi,

mal be leicht besoffene Idee:

Loginscript checkt ob Anmeldecomputer Terminalserver ist
wenn ja wird der Benutzer in die Sicherheitsgruppe Terminalserverbenutzer gepackt
wenn nein wird der Benutzer aus der Sicherheitsgruppe Terminalserverbenutzer rausgeworfen

Freigabe entsprechend nicht gemappt wenn es ein Terminalserver ist

und die Freigabe hat eine Zugriffsverweigerung für die Gruppe Terminalserverbenutzer


Klingt erstmal komisch, hab ich auch noch nie probiert aber mir gefällt die Idee irgendwie....
Bitte warten ..
Mitglied: DerWoWusste
10.10.2011 um 21:12 Uhr
@andreas
Ein Anmeldeskript kann den Nutzer nicht in Domänengruppen setzen, wenn dieser nicht Domänenadmin ist. Und selbst wenn man es so machen könnte: vom anderen Rechner aus soll der Nutzer doch zugreifen können, dies wäre nicht mehr gegeben.
Bitte warten ..
Mitglied: St-Andreas
10.10.2011 um 21:22 Uhr
Kriegt man das nicht mit Delegierungen hin?
Und was die anderen Rechner betrifft: Ja, ist doch schon berücksichtigt in der "Wenn nein, dann aus der Gruppe rauswerfen"
Bitte warten ..
Mitglied: Logan000
11.10.2011 um 08:21 Uhr
Moin moin

Vom Terminalserver aus soll er nicht auf ein "Gruppenlaufwerk" zugreifen können.
Mich würde mal das "Wozu" interessieren. Was willst du mit dieser Anforderung überhaupt erreichen?

Denn wenn du zum User sagst: Ätschibätsch, kannst du nicht aum TS.
Dann sagt der User dir: Brauch ich nicht auf dem TS. Kann ich aufm Client. Selber Ätschibätsch!

Entweder darf der User ans Verzeichniss oder nicht.

Gruß L.
Bitte warten ..
Mitglied: Coreknabe
11.10.2011 um 10:22 Uhr
Wie richtig. Asche über mein Haupt für diesen idiotischen Schnellschuss.
Bitte warten ..
Mitglied: Coreknabe
11.10.2011 um 10:28 Uhr
Leider meldet sich der Phil nicht mehr. Ansonsten wäre es wirklich hilfreich, wie Logan schon anmerkte, einmal genau zu wissen, was da gesperrt werden soll, für wen und warum. OS auf Terminalserver?

Insofern können wir ja mal weiter spekulieren, ich habe da noch was a la "Von hinten durch die Brust ins Auge" gefunden:
http://www.howtogeek.com/howto/8035/how-to-restrict-access-to-drive-in- ...

Könnte funktionieren, wenn man das auf dem Terminalserver macht, hab's nicht probiert. Wahrscheinlich aber problematisch, weil dann ein ganzes Volume gesperrt ist.
Ansonsten dürfte der einfachste und schnellste Weg sein, über das Netzwerk ranzugehen (Firewallregel basteln mit den genannten Einschränkungen).
Oder sowas:
http://www.techsupportforum.com/forums/f8/solved-deny-share-folder-acce ...
Bitte warten ..
Mitglied: Der-Phil
11.10.2011 um 11:42 Uhr
Hallo,

ich bin schon noch da...

Hintergrund ist hier der Datenschutz.

Ich habe häufiger User, die sich an verschiedenen Rechnern/Terminalservern anmelden können und müssen, die sich in verschieden abgeschotteten Bereichen befinden. Dadurch gibt es z.B. Rechner, an denen USB-Sticks angeschlossen werden können. An diesen Rechnern darf der User nicht an Kundendaten kommen, um sie darauf kopieren zu können.

Grüße
Phil
Bitte warten ..
Mitglied: DerWoWusste
11.10.2011 um 12:44 Uhr
Phil, nimm doch mal Stellung zu den Vorschlägen. Du lässt uns hängen.
Bitte warten ..
Mitglied: Der-Phil
11.10.2011 um 13:24 Uhr
Hallo,

tut mir Leid, dass ich so knapp war...

Die Idee mit dem zweiten Usernamen ist o.k., aber nicht so wirklich schön, weil es auch mehr als zwei Computer betreffen kann und dann schnell unübersichtlich wird.

Die anderen Punkte habt ihr ja leider schon gekippt. Das Verschieben in eine andere Gruppe geht technisch nicht.

@andreas#S
Was meinst Du mit Delegierungen?

Dann bleibt nur noch die Möglichkeit, das Ganze auf Firewallebene zu machen. Dazu müsste ich dann aber die Volumes auf verschiedene Server legen, was möglich, aber derzeit recht aufwändig ist. Das sehe ich aber noch als die beste Option.

@Coreknabe:
http://www.howtogeek.com/howto/8035/how-to-restrict-access-to-drive-in- ... --> Funktioniert leider nur bei lokalen Ordnern, aber nicht bei Shares.


Danke auf jeden Fall für euere Ansätze!

Phil
Bitte warten ..
Ähnliche Inhalte
Windows 10
Windows 10 Task Zugriff verweigert
Frage von MarabuntaWindows 10

Hallo, ich will Truecrypt über die Aufgabenplanung start, dazu hatte ich einen Task der die Truecrypt.exe aufruft. Seit kurzem ...

Windows Server

Windows 2012 Server - Dateifreigabe - Zugriff

gelöst Frage von FuryStageWindows Server7 Kommentare

Hallo zusammen, ich habe momentan einen Windows 2012 Server im Einsatz, und habe dort eine Freigabe laufen für "Jeden". ...

Verschlüsselung & Zertifikate

Windows Fileserver - Zugriff auf Geräteebene

Frage von Seether80Verschlüsselung & Zertifikate4 Kommentare

Hallo werte Administratoren, ich suche im Kundenauftrag nach einer Möglichkeit eine Netzwerkfrigabe (Windowsfileserver) den Zugriff geräteabhängig zu machen. Folgender ...

Windows 7

Windows 7 Datenbankserver kein Zugriff

gelöst Frage von Pidarass86Windows 76 Kommentare

Hallo Es geht um ein kleines Firmennetzwerk bestehen aus 5 Computern mit dem Betriebssystem Windows 7 und G-DATA Internet ...

Neue Wissensbeiträge
Windows Server

Zähe Update-Installation auf Windows Server 2016

Information von kgborn vor 21 StundenWindows Server4 Kommentare

Mir sind in der Vergangenheit immer wieder Beschwerden von Admins unter die Augen gekommen, die sich über die doch ...

Humor (lol)
Turnschuhe per Firmware lahmlegen
Information von Henere vor 23 StundenHumor (lol)5 Kommentare

Und was kommt demnächst ? Bekomme ich kein Klopapier mehr, weil der Spender einem DDOS unterliegt ? :-) Ich ...

Sicherheit

Sicherheitsrisiko in WinRAR und Co. durch Schwachstelle in UNACEV2.DLL

Information von kgborn vor 1 TagSicherheit

In der seit 2005 nicht mehr aktualisierten Bibliothek UNACEV2.DLL gibt es eine Path-Traversal-Schwachstelle. Diese ermöglicht es, bei ACE-Archiven Dateien ...

Internet

CDU Propaganda: Urheberschutz im Internet - Ende des digitalen Wild-West

Information von Frank vor 2 TagenInternet4 Kommentare

Hallo Administratoren, aus einem Kommentar heraus habe ich folgenden Beiträge von Herr Sven Schulze und Axel Voss (beide CDU ...

Heiß diskutierte Inhalte
Hardware
Frage an Kenner von 5,25 Zoll Laufwerken
Frage von DerWoWussteHardware53 Kommentare

Moin Kollegen. Hier wird gerade im Archiv gewühlt und 5,25 Zoll Disketten ("2S/HD", 96TPI) sollen eingelesen werden. Ich habe ...

Windows Tools
Dateiname Automatisch auf PDF Klartext oder als Barcode abdrucken
Frage von spongebob24Windows Tools29 Kommentare

Hallo Zusammen, habe eine tolle Anforderung bekommen. Ich sollte auf mehrere PDF Dateien Automatisch einen Stempel anbringen lassen. Toll ...

Internet
SDSL oder ADSL - Preis-Leistungs-Verhältnis
Frage von ZeppelinInternet22 Kommentare

Wehrte Community, der Unterschied dieser beiden Techniken ist recht einfach erklärt. Das S, steht für Synchron (Gleich) und das ...

Microsoft Office
MicroSoft und seine Lizenzen
Frage von ZeppelinMicrosoft Office18 Kommentare

Wehrte Community, ich wende mich an die Community weil MicroSoft dazu keine Stellung nehmen möchte. Ich öffne mein Web-Browser ...