ACL: Löschen von Ordnerstruktur verweigern - aber wie?

Hallo zusammen,

ich sammle gerade meine ersten Erfahrungen im Bezug auf ACLs (Vista UE) und
bin bei folgendem "Problem" am Verzweifeln:

Beispiel:

+ "Basisordner"
+-- "Unterordner" (vom Basisordner)

Ich möchte, dass ein bestimmter User den Basisordner und zugehörigen
Unterordner nicht löschen darf, ansonsten aber vollen Zugriff auf diese zwei
Ordner erhält. Dieser User soll zudem Vollzugriff auf alle Ordner und Dateien
erhalten, welche unter dem Unterordner gespeichert sind.

Nach meinem Verständnis sollten folgende Einstellungen für den
entsprechenden User in der ACL des Basisordners ausreichend sein, sofern
diese Zuweisungen die Berechtigungen aller Unterordner und Dateien ersetzen:

+ Zulassen ; User ; Vollzugriff ; nicht geerbt ; Diesen Ordner, Unterordner
und Dateien
+ Verweigern ; User ; Löschen ; nicht geerbt ; Diesen Ordner und Unterordner
; mit der aktivierten Option "Apply these permissions to objects and/or
containers within this container only"

Wenn ich mir nun die effektiven Berechtigungen des Users zu den beiden
Ordnern ansehe, so sind diese bei beiden Ordnern identisch - Löschen ist
verweigert, die restlichen Berechtigungen sind zugelassen.
Wenn ich jetzt versuche, den Basisordner zu löschen, dann bekomme ich wie
erwartet eine entsprechende Meldung "Zugriff verweigert". So sollte es auch
mit dem Unterordner sein, doch den kann ich problemlos löschen.

Wie stelle ich also sicher, dass sowohl der Basisordner als auch der
Unterordner von einem User nicht gelöscht werden darf, dieser aber
Vollzugriff auf alle Dateien und Ordner erhält, welche im Unterordner
gespeichert sind?

Ich habe diesen Effekt auch unter Win 2003 Server SP1 nachstellen können.
Anscheinend habe ich hier irgendwo einen Denkfehler drin. Hilfe und Tipps
sind willkommen!!!

Danke und viele Grüße,
tschultze

tschultze schrieb:
> Hallo zusammen,
...
> Ich möchte, dass ein bestimmter User den Basisordner und zugehörigen
> Unterordner nicht löschen darf, ansonsten aber vollen Zugriff auf diese zwei
> Ordner erhält. Dieser User soll zudem Vollzugriff auf alle Ordner und Dateien
> erhalten, welche unter dem Unterordner gespeichert sind.
...
> + Zulassen ; User ; Vollzugriff ; nicht geerbt ; Diesen Ordner, Unterordner
> und Dateien
> + Verweigern ; User ; Löschen ; nicht geerbt ; Diesen Ordner und Unterordner
> ; mit der aktivierten Option "Apply these permissions to objects and/or
> containers within this container only"
...
>
> Danke und viele Grüße,
> tschultze
Ich würde es nicht so machen, denn:

- Wenn Du einem Benutzer Vollzugriff gibst, hat er auch die Berechtigung
"Besitz übernehmen" und kann sich damit jederzeit verweigerte
Berechtigungen wiederbeschaffen.

- Wenn Du das Löschen von Dateien verweigerst, wird z.B. Word nie mehr
temporäre Dateien löschen können, was zu Ärger führt.

- Verweigern ist immer eine ungeliebte, administrative Notbremse. Schau
mal, wie weit Du mit unterschiedlichen Ordner- und Dateiberechtigungen
auf Basis von "Ändern" kommst.


Beste Grüße,
Oliver

tschultze wrote:
> Ich möchte, dass ein bestimmter User den Basisordner und zugehörigen
> Unterordner nicht löschen darf, ansonsten aber vollen Zugriff auf diese
> zwei Ordner erhält. Dieser User soll zudem Vollzugriff auf alle Ordner
> und Dateien erhalten, welche unter dem Unterordner gespeichert sind.

Vollzugriff ist die falsche Berechtigung, da Vollzugriff
auch das Recht beinhaltet, den Besitz zu übernehmen
und Rechte selbst vergeben zu können.

Vermutlich reicht Dir Ändern völlig.

> + Zulassen ; User ; Vollzugriff ; nicht geerbt ; Diesen Ordner,
> Unterordner und Dateien

Damit darf er alles mit dem Ordner und den Unterordnern.
Das willst Du ja gerade nicht.

> Ich habe diesen Effekt auch unter Win 2003 Server SP1 nachstellen können.
> Anscheinend habe ich hier irgendwo einen Denkfehler drin. Hilfe und Tipps
> sind willkommen!!!

Ein explizites Allow siegt über ein vererbtes Deny:

Subordinate Explicit Grant Overrides Inherited Denial
http://support.microsoft.com/default...;en-us;q233419

Gib ihm doch nur Lesen/Ausführen auf den Basisordner und den Unterordner
und dann Ändern auf Dateien und Unterordner der Unterordner.

Viele Grüße!
--
..aniel Melanchthon:.
http://blogs.technet.com/dmelanchthon
This posting is provided "AS IS" with no warranties, and confers no rights.

Koinzidenz begründet keine Korrelation und ist kein Beweis für Kausalität!

Danke für die Tipps, dann war ich wohl völlig falsch davor.

Viele Grüße,
tschultze

Danke für die Tipps, dann war ich wohl völlig falsch davor.

Viele Grüße,
tschultze