Wie verteile ich einem User nur berechtiung auf einen Ordner - Windows Server 2012R2

[koderwaska]

Hallo zusammen,

ich habe folgendes Problemchen:
Server mit einem Freigegebenen Ordner, alle user haben zugriff drauf (das ist auch ok so). Jetzt kommt ein Mitarbeiter dazu der aber nicht auf alles zugriff haben soll. Er soll nur auf die Ordner Vertrieb zugreifen (lesen schreiben) können. Ich bekomme es einfach nicht hin dem User nur zugriff auf den Ordner Vertrieb zu geben. Wenn ich es probiere hat er entweder zugriff auf alles oder auf nichts....

Vererbung ist im Obersten Ordner "Test" aktiviert.
Was möchte ich? Ich will das der User nur auf die Ordner Vertrieb den (RW) zugriff hat. Wie löse ich das nun das ich ihm den Ordner "Test" freigebe und er dann aber darin nur "Projekte" sieht dort wiederum alle Ordner "projekt_a-d" und in diesen Ordnern dann nur den "Vertrieb" Ordner sehen/drin arbeiten kann aber den "Sonstige" Ordner nicht. Also so: Test -> Projekte -> Projekt_a -> Vertrieb das ist das einzige was er sehen darf. Alles andere ausser die "Vertrieb" Ordner und "die Ordner auf dem weg dahin" darf er nicht sehen.

Ich freue mich schon auf eure Tips/Hilfen.
Danke!

 

[Conqi]

Schritt 1 ist natürlich, den Server zu aktualisieren, weil 2012 R2 aus dem Support raus ist.

Mal vom Zustand "er sieht alles" ausgehend: Hast du auf den Sonstige-Ordner dann nur eine Gruppe berechtigt, in der der User nicht ist, aber er kommt trotzdem an den Inhalt?

 

[T3Kila]

Der User benötigt auf jeden der übergeordneten Order, die er sehen darf das Recht "Lesen" auf "nur diesen Ordner". Und zwar nicht vererbt.
Sobald hier Vererbung mit dabei ist sieht er die untergeordneten Ordner eben auch, weil dann "Lesen" auf jeden dieser Ordner greift, der die Berechtigung erbt.
Auf die jeweiligen "Vertriebs" Ordner die Berechtigung, die er bekommen soll.

Normalerweise macht man das trotzdem mit Gruppen, nicht direkt mit Usern, mal so als Anhaltspunkt

 

[redjack1000]

Alles andere ausser die "Vertrieb" Ordner und "die Ordner auf dem weg dahin" darf er nicht sehen.

Deaktiviere Vererbung und/oder und spezielle Berechtigungen.

CU
redjack

 

[koderwaska]

Vielen dank für eure Hilfe!
Ich habe jetzt schonmal ein verständnis dafür was ich tun soll.
Habe jetzt vmtl auch verstanden warum davor alles zu sehen war - der oberste Ordner vererbt die Gruppen Domänen-Benutzer und Benutzer, kein wunder sieht jeder alles.

Wie löse ich das jetzt am besten... Ich habe mal deinen ratschlag angenommen @t3killa und habe mal eine Gruppe "Vertrieb" erstellt.
Welche Gruppen sollte ich noch erstellen und ersetzen?

Danke und Grüße!

 

[T3Kila]

Diese Gruppe kannst Du die korrekten Berechtigungen (ggf. mit Vererbung) auf einen Vertriebsordner geben. Und einen Test-User nur dieser Gruppe hinzufügen.
Dann die Ordnerstruktur nach oben arbeiten. Jeweils nur "dieser Ordner" und "Lesen".

Unter Umständen macht es Sinn für jede Ebene eine neue Gruppe anzulegen, je nachdem wie granular man das haben möchte. Dann muss die Gruppe, die Zugriff auf den unteren Ordner hat Mitglied der Gruppe des übergeordneten Ordners sein.
Evtl. soll ja jemand in Zukunft nur auf ein Projekt Zugriff haben. Wenn es dann schon eine Gruppe dafür gibt...

Vielleicht hätte ich ein Bild malen sollen

 

[koderwaska]

cool jetzt habe ich sogar was neues gelernt - wusste nicht das ich bei der Berechtigung "dieser Ordner" einstellen kann.
Ist das so korrekt?:

 

[redjack1000]

Ist das so korrekt?:

Funktioniert es so, wie du es dir vorstellst?

CU
redjack

 

[koderwaska]

nein mein test user in der "Vertrieb" Gruppe sieht immernoch alles

 

[redjack1000]

Dann ist es nicht korrekt.

CU
redjack

 

[h00bi]

Eine andere Variante wäre:
Nur auf die Vertriebsordner Berechtigungen setzen.
Dann eine separate Freigabe für diesen User erstellern und dort "junctions" auf die Vertriebsordner setzen.
Braucht dann nochmal etwas mehr Pflege als erste Konstrukt, aber er hat wirklich NUR auf diese Ordner Zugriff.

 

[T3Kila]

Ist der Test User noch in einer anderen Gruppe?

Was sind die geschwärzten Einstellungen?
Wenn da noch irgendwo allgemeine Gruppen wie "Benutzer" stehen ist es komplizierter.

Wie ist die Freigabe eingestellt?

 

[Evil E-Lex]

Ich würde die Verzeichnisstruktur überdenken. Wenn das in der Verzeichnisstrukur aus dem Startpost umgesetzt werden soll, macht man sich selbst das Leben schwer. Man will nicht ständig manuell an irgendwelchen Berechtigungen rumfummeln, nur weil ein neues Projekt hinzukommt. Stattdessen einfach eine Freigabe Vertrieb erstellen und dann dort Unterordner Projekt A, Projekt B, Projekt C, usw.