Unverschlüsseltes Volume inkls. ACLs übertragen

    Hallo,

    aktuell verwenden wir zwei NAS des Typs TS-853U-RP, beide identisch mit einem 21 TB, Raid 5 und statisch konfigurierten Volume1. Bei beiden NAS wurden nur 4 von ihren maximal 8 Bays mit HDDs bestückt (Sprich 4 Bays sind in Reserve). Verwendet wird das "produktive" NAS täglich von ca 150 Mitarbeitern. Die Daten vom "produktiven" NAS werden jede Nacht auf das zweite "Backup" NAS via Sicherungs- manager (Rsync) synchronisiert. Zudem sind bei beiden NASs die ACLs Berechtigungen konfiguriert sowie die Benutzer 1 zu 1 ex- und importiert worden.


    Im Rahmen unsere Security-Wartungen fiel uns jedoch auf, dass das Volume1 vom "produktiven" NAS bei der damaligen Einrichtung nicht verschlüsselt wurde. Das stellt für uns ein großes Problem dar, welches wir nun lösen müssen.


    Folgendes haben wir bereits versucht:

    • Wir haben, vorläufig zum testen nur auf dem Backup NAS, ein Volume2 mit 4 HDDs neu erstellt und test weise Daten dort hinüber kopiert. Leider wurden dabei die ACLs nicht korrekt übernommen, bzw. wurden dort nur kryptische Benutzer IDs und keine "Benutzernamen" angezeigt - Dies stellt für uns ebenfalls ein Problem dar.
    • Wir haben bisher keine Möglichkeit gefunden, nachdem wir die Daten auf das Volume 2 kopiert und Volume 1 gesperrt haben, die Benutzer auf die Daten des "nun aktiven" Volume 2 zugreifen zu lassen. Gibt es hier eine Lösung?

    Im optimalen Falle würden wir gerne 4 weitere HDDs (In dem Fall die gleich großen vom Backup NAS) in das produktive NAS einsetzen wollen und sämtliche Daten des aktiven Volume 1 inkls. aller Berechtigungen von allen Nutzern, auf das neu erstellte und verschlüsselte Volume 2 übertragen wollen. Das Volume 1 würden wir im Anschluss auflösen wollen.


    Wie können wir vorgehen um das Problem zu lösen?

    Einmal editiert, zuletzt von Beliarsfire ()

    Also aus der Theorie heraus fallen mir 2 Möglichkeiten ein, habe diese aber bisher nicht praktisch erprobt:


    1.) Lokaler Synchronisationsauftrag mit Hybrid Backup

    Damit kann man Ordner lokal spiegeln, unter den "Erweiterten Einstellungen" kann man dann auch die ACL replizieren lassen. Inwieweit das funktioniert, keine Ahnung.


    2.) von einem Windows Rechner aus per "robocopy"

    Code
    robocopy /MIR <Quelle> <Ziel>


    spiegelt ebenfalls komplette Verzeichnisse. Die Option "/SEC" sollte auch Sicherheitsattribute kopieren. "/COPYALL" kopiert vmtl. auch ev. enthaltene NTFS Streams mit. Inwieweit das von allen SMB Versionen unterstützt wird, weiß ich allerdings nicht. Bzw. wie das beim hin und herkopieren zwischen Shares und lokalen NTFS Dateien gehandhabt wird.

    Leider funktionieren beide Optionen nicht wie gewünscht. Es werden zwar alle ACLs übertragen, jedoch werden nur IDs und nicht alle anderen, notwendigen, Benutzerdaten übertragen. Die IDs reichen zudem nicht aus, die eigentlich dahinterliegenden Nutzer auf die gewünschten Verzeichnisse zugreifen zu lassen.


    Hat jemand noch eine Idee, wie wir die ACLs mit genauer User Zuordnung übertragen können? Ich vermute fast, das durch frühere Versuche intern im Backup QNAP bereits die "eigentlichen" IDs geblockt wurden und daher die neu importieren Benutzer andere erhalten haben.


    EDIT: In der Tat erhalten die importieren Nutzer beim Backup NAS andere User IDs. Ich werde nun schauen, wie ich diese aus dem "Produktiven" NAS händisch importieren kann.

    Einmal editiert, zuletzt von Beliarsfire ()

    Zitat von Beliarsfire

    EDIT: In der Tat erhalten die importieren Nutzer beim Backup NAS andere User IDs. Ich werde nun schauen, wie ich diese aus dem "Produktiven" NAS händisch importieren kann.

    Hmm, ich hätte ja gedacht, dass die Nutzer in einem ActiveDirectory o.ä. Verzeichnis hinterlegt sind. Bei 150 Leuten muss man dass doch ohnehin zentralisieren. Oder wie habt Ihr das gehandhabt ? Wenn das NAS dann in der Domäne angemeldet ist würde ich davon ausgehen, dass alle ACLs natürlich die SIDs aus dem Directory kriegen. Und natürlich auch mitkopiert werden. Hatte das Problem aber wie gesagt bisher so noch nicht. Wenn man die Benutzer auf jedem NAS quasi manuell neu anlegt wird höchstwahrscheinlich intern automatisch ein neuer security identifier erzeugt. Schon um bspw. Probleme beim umbenennen von Nutzernamen/Gruppennamen etc. zu vermeiden.

    Leider sind wir, aufgrund von "Startup" Anleihen sowie bisher mangelnder Manpower in den letzten 4 Jahre noch im Prozess alles via einer Active Diretory (Wie werden statt Windows Lösungen Samba4 verwenden) umzustellen, bzw. diese zu installieren.


    Ich habe nun einen möglichen Lösungsweg gefunden und werde diese in den nächsten Wochen nochmal teilen, so dass auch andere "Startups" eventuell davon profitieren können. ;)

    Zitat von Beliarsfire

    Leider sind wir, aufgrund von "Startup" Anleihen sowie bisher mangelnder Manpower in den letzten 4 Jahre noch im Prozess alles via einer Active Diretory (Wie werden statt Windows Lösungen Samba4 verwenden) umzustellen, bzw. diese zu installieren.


    Hmmm, schwer vorstellbar dass irgendeine Firma ohne zentrale Benutzerverwaltung anfängt, aber wenn es ein holterdipolter Wachstum ist kommt das sicherlich auch vor. Gegen Samba4 ist ja nichts einzuwenden, auch Samba3 hätte Euch sicherlich schon reichlich Probleme erspart...aber hinterher ist man bekanntermassen immer schlauer ;)

    Sagen wir es mal so, die Entscheidung zu diesen "Einsparungen" lagen bei der Geschäftsführung. Wir haben wenigstens in diesen Monat einen 4 Admin als Vollzeit Unterstützung erhalten. Dennoch wird es auch mit eben diesen bei mittlerweile über 220 Angestellten problematisch werden. Deshalb teilen wir uns gerade im Team auf und gehen Security Relevante Themen aktiv an.


    Immerhin hat es bisher so lange ausgereicht, das unser Startup für über 100 Millionen aufgekauft wurde - Wenigstens das Geld ist seit dem nicht mehr der Große Knackpunkt. ;)

    Zitat von Beliarsfire

    Immerhin hat es bisher so lange ausgereicht, das unser Startup für über 100 Millionen aufgekauft wurde - Wenigstens das Geld ist seit dem nicht mehr der Große Knackpunkt. ;)

    Man staunt doch immer wieder, wo und warum gespart wird...Wobei ich auch da sagen würde, das ist schon vorher eine Milchmädchenrechnung gewesen aber na gut, bei 100 Millionen würde ich hinterher auch nicht mehr nachfragen. Da kann man nur hoffen, dass Ihr nichts zu sicherheitsrelevantes macht.