2008R2 ABE ak Zugriffsbasierte Aufzaehlung

[Janero]

Hi,

habe mal mit ein paar freigaben unter 2008R2 rumgespielt und wolte eigentlich ABE also "Access Based Enumeration" oder auf deutsch "Zugriffsbasierte Aufzaehlung" nutzen. doch irgendwie scheint das Ganze nicht so sinnvoll zu funktionieren wie ich mir das vorgestellt habe.

Also,

es ist nicht möglich zwei shares zu erstellen für Beispielsweise zwei Nutzer Share1 und Share2 so das wenn man als nutzer auf den Server zugreift nur das share sieht das für einen freigegeben ist.

also Nutzer1 sieht nur shares1. Statt dessen sieht man immer share1 und share2 und auf eines kann man dann eben nicht zugreifen.
geht das nicht anders?

Wenn ich jetzt aber ein share anlege und freigebe für die Gruppe der beiden Nutzer z.B. und in diesem share dann 2 Ordner erzeuge und dann nur einem der Nutzer jeweils NTFS rechte geben. Dann ja dann wird immer der andere Ordner ausgeblendet. Warum geht das nur auf der 2. Ebene und nicht schon auf der ersten?

share > UserX
share > UserY

 

[0711]

Weil abe auf ntfs rechten basiert und nicht auf freigaberechte, hierfür gibt es keine entsprechende technik.

es ist auch unsinnig für jeden user eine eigene freigabe zu machen, zu viel aufwand und zudem kaum zentralisiert zu verteilen als lw o.ä.

 

[Janero]

ja ich weiss das ABE auf Basis von NTFS funktioniert aber wieso es erst auf der 2. Ebene Anwendung findet weiss ich nicht.

ob nun user oder Gruppe ist eigentlich egal. ich verstehe nur nicht wieso alle user die auf einen Rechner zugreifen immer alle dort freigegbenen shares sehen können müssen.
ABE muss im endeffekt ohnehin seperat eingestellt werden (in Abhängigkeit von der Situation)


und noch mehr wundert es mich warum man sowas nicht längst mal einstellen kann.

 

[ara1]

ob nun user oder Gruppe ist eigentlich egal. ich verstehe nur nicht wieso alle user die auf einen Rechner zugreifen immer alle dort freigegbenen shares sehen können müssen.

weil es halt eigentlich wayne ist ob sie die sehen oder nicht? Normal browst eh kein User im LAN, die bekommen ihre Netzlaufwerke zugewiesen und fertig.
Wenn du unbedingt willst kannst sie ja noch per $ am Ende des Sharenamens vor normalen Windows Explorer Nutzern verstecken.

 

[Janero]

nein egal ist es nicht. Es gibt soetwas wie ein Geheimnisprinzip das heißt jeder sieht nur das was er sehen soll. Auch ist es mir egal ob der gewöhnliche DAU nicht durchs Netzwerk browsed.
das mit dem $ funktioniert auch nur bei Windows Systemen. Gib es also eine saubere Administrationsmöglichkeit bei dem jeder User/Gruppe nur das sieht was sie auch betrifft oder ist das nicht möglich?

 

[ara1]

Es gibt soetwas wie ein Geheimnisprinzip das heißt jeder sieht nur das was er sehen soll.

Dem ist ja auch so, durch Freigabe + NTFS Rechte. Und irgendwelche "Geheimnisse" in Freigabenamen zu packen wird man sich wohl noch verkneifen können, oder?
Anyway, du kennst jetzt die Möglichkeiten, Microsoft wird sie nicht dir zu Liebe erweitern/ändern, mach was draus.

 

[Janero]

Dem ist ja auch so, durch Freigabe + NTFS Rechte. Und irgendwelche "Geheimnisse" in Freigabenamen zu packen wird man sich wohl noch verkneifen können, oder?
Anyway, du kennst jetzt die Möglichkeiten, Microsoft wird sie nicht dir zu Liebe erweitern/ändern, mach was draus.

nein dem ist eben nicht so. Wenn jemand sehen kann welche Freigaben es auf einem Server/Rechner gibt obwohl er für diese garkeine Rechte hat so ist dies eine Verletzung des Geheimnissprinzips.
Also warum sieht man als Gruppe/User Freigaben die garnicht für einen bestimmt sind?

 

[ara1]

höchstwahrscheinlich weil zu dem Zeitpunkt an dem die Shares aufgelistet werden noch garkeine Authentifizierung stattgefunden hat.
Aber wie gesagt, ist müßig darüber zu diskutieren, es ist wie es ist, richte dich danach. Ein Freigabename darf eben kein Geheimnis enthalten.

 

[Janero]

natürlich gibt es zu diesem zeitpunkt schon eine Authentifizierung sonst hättest du garkeinen zugriff auf den Remote Rechner ... nur wieso dann Freigaben für andere Gruppen und User angezeigt werden ist mir ein rätsel das ist so dermaßen dumm

 

[ara1]

natürlich gibt es zu diesem zeitpunkt schon eine Authentifizierung sonst hättest du garkeinen zugriff auf den Remote Rechner

achja? Dann leg doch mal auf nem Rechner lokal einen User an den es weder auf dem Server noch in der Domäne gibt und schau mal was du siehst

 

[Janero]

nix sieht man dann weil du keinen Zugang hast ... was für eine bescheuerte Frage...

 

[ara1]

jop, stimmt, grad probiert. War auch nur so ne Theorie WARUM es so sein könnte wie es ist.

 

[Janero]

naja wäre ja noch schöner wenn man als user ohne zugang sehen könnte was auf einem Rechner geshared wird. schlimm genug das user sehen können was noch für andere geshared wird

 

[0711]

ja ich weiss das ABE auf Basis von NTFS funktioniert aber wieso es erst auf der 2. Ebene Anwendung findet weiss ich nicht.

weil das was du als erste ebene bezeichnest eine freigabe ist und hier für die sichtbarkeit keine ntfs rechte verantwortlich sind.

nein egal ist es nicht. Es gibt soetwas wie ein Geheimnisprinzip das heißt jeder sieht nur das was er sehen soll.

für solche fälle gibt es die empfehlung nichtssagende freigabenamen zu wählen. Darunter kannst du ja dann treiben was du willst, warum man sowas auf freigabeebene nicht macht? Weil kaum jemand für jeden schmuh ne eigene freigabe anlegt und es damit nur für sehr sehr wenige interessant wäre.