Probleme bei der Einrichtung von Gruppenrechten für verschachtelte Ordner

    Hallo QNAP Community,


    lange hab ich mich informiert und nun für das QNAP TS-451D2 entschieden.

    Ich stehe nun bei der Einrichtung der lokalen Benutzergruppen vor einem großen Problem. So wie ich das bisher verstehe wäre es ein enormer aufwand und extrem unübersichtlich, deshalb hoffe ich, dass ich das bisher falsch verstanden habe und ihr mir eine Lösung empfehlen könnt.

    Um es auf ein examplarisches Maß herunter zu brechen:

    Es gibt zwei Windows 10 Computer im Netzwerk mit jeweils einem Benutzer A und B, die das NAS als externes Netzlaufwerk einbinden sollen. Hierbei wird nur SMB3 verwendet. Der Nutzer A ist Eigentümer der Ordnerstruktur (siehe beispielBild1.png) und möchte nun den Ordner SubSubOrdner2 für den Nutzer B freigeben, sodass dieser den Ordner in seinem Netzlaufwerk wiederfinden kann.

    beispielBild1.PNG

    Was ich bisher herausgefunden habe, um die reine Freigabe zu Realisieren muss ich Nutzer B RW-Rechte für den Freigabeordner sowie für den SubOrdner1 und SubSubOrdner2 geben. Gleichzeitig muss ich Nutzer B für alle anderen Ordner auf Zugriff verweigern setzen. Das geht in dem kleinen Beispiel wo ich nur noch SubSubOrdner1 und SubOrdner2 habe, jedoch wird das absolut unpraktikabel wenn die Ordnerstruktur anwächst auf 100 Ordner oder mehr. Zudem habe ich hier das Problem, dass Nutzer B im Windows Netzlaufwerk alle 100 Ordner sehen kann aber erstmal nicht weiss, auf welche er Zugreifen darf und auf welche nicht.

    Einen zweiten Ansatz den ich gefunden hatte war, in der FileStation den SubSubOrdner2 "An NAS-Nutzer" zu "Teilen", dann sieht Nutzer B den SubSubOrdner2 ohne alle anderen Ordner ohne Rechte zu sehen, jedoch ist der Ordner nicht im eingebundenen Netzlaufwerk sichtbar, sondern nur in der FileStation unter "Mit mir geteilt". Auch hier stehe ich vor dem Problem, dass Nutzer B die Ordnerstruktur dazu nicht sehen kann. Wenn für Nutzer B also 10 Ordner mit gleichem Namen freigegeben werden, die in unterschiedlich benannten Parent Strukturen liegen, so hat Nutzer B keine Ahnung welcher Ordner wohin gehört.


    Mein Ziel wäre eigentlich, dass ich es schaffe einen einzelnen SubOrdner für einen Nutzer freizugeben und dieser dadurch den kompletten Pfad sehen kann, jedoch keine Verzeichnisse, auf die er keinen Zugriff bekommen hat. Sowas funktioniert sogar bei der "einfachen" FRITZ!Box...


    Auf meinem NAS arbeite ich mit Gruppenberechtigungen, ich dachte es hilft beim Verstehen der Problematik, wenn ich es hier auf "Nutzer" vereinfache.



    Wenn euch in der Beschreibung wichtige Punkte oder Infos fehlen, gerne nochmal nachfragen.

    Ich hoffe sehr ihr könnt mir helfen und hier eine Lösung zu finden. Ich würde wirklich gerne bei dem Produkt bleiben und die anderen Vorzüge von QNAP nutzen. Jedoch wäre das Rechte Management tatsächlich ein KO Kriterium, sodass ich das Produkt zurückgeben müsste.


    Vielen Dank im Voraus und beste Grüße,

    ET

    Moin und Glückwunsch zu dem neuen Gerät!


    Sofern es möglich ist, würde ich versuchen die Ablagestruktur derart zu überdenken, dass es keine Überschneidungen der Rechte in Subordnern gibt.

    Also quasi einfach durch die Freigabeordner regeln wer Zugriff darauf hat.

    Zitat von etiennebarthelmess

    Was ich bisher herausgefunden habe, um die reine Freigabe zu Realisieren muss ich (...)

    Die Vergabe von Rechten für Subordner kann mittels den erweiterten Freigabeberechtigungen realisiert werden (Freigabeverwaltung > Erweiterte Berechtigungen). Damit kannst Du dem User B RW Rechte für SubOrdner 2 einräumen ohne weitere Rechte/ Beschränkungen vergeben zu müssen.

    Dies bleibt dann aber weiterhin im QNAP geregelt.

    Alternativ (!) kannst Du auch die Windows ACL verwenden (an gleicher Stelle zu aktivieren), damit die Berechtigungen "komfortabel" aus Windows heraus geregelt werden können.

    Zitat von etiennebarthelmess

    dass Nutzer B im Windows Netzlaufwerk alle 100 Ordner sehen kann aber erstmal nicht weiss, auf welche er Zugreifen darf

    Das wiederum wird in den Eigenschaften einer Freigabe geregelt, dort kannst Du ABSE / ABE aktivieren, um Ordner und Dateien auszublenden, auf die der entsprechende User keine Rechte hat.

    Hallo tiermutter und danke für die schnelle Antwort.

    Zitat von tiermutter

    Sofern es möglich ist, würde ich versuchen die Ablagestruktur derart zu überdenken, dass es keine Überschneidungen der Rechte in Subordnern gibt.

    Also quasi einfach durch die Freigabeordner regeln wer Zugriff darauf hat.

    Die Ordnerstruktur macht anders leider nur bedingt Sinn. Z.B. gibt es einen Hauptknoten mit dem Namen Bilder, der als Bibliothek fungiert. Darunter gibt es nun für jeden Tag, an dem Bilder entstanden sind einen neuen Ordner. Nun will ich als Eigentümer der Bilder mich nicht auf hunderten Freigabeordnern berechtigen, sondern ich berechtige mich für den Hauptknoten Bilder. Aber nun gebe ich jemandem aus meinem Heimnetz genau einen der Ordner frei, weil da evtl. auch Bilder von demjenigen drin sind. Und jetzt wäre es natürlich wünschenswert, dass derjenige nicht alle hunderte Ordner sieht sondern nur den einen (oder die paar) die ich freigegeben habe.

    Zitat von tiermutter

    erweiterten Freigabeberechtigungen realisiert werden (Freigabeverwaltung > Erweiterte Berechtigungen).

    Du meinst vermutlich Erweiterte Berechtigungen > Erweiterte Odrnerzugriffsrechte aktivieren ?

    Zitat von tiermutter

    Damit kannst Du dem User B RW Rechte für SubOrdner 2 einräumen ohne weitere Rechte/ Beschränkungen vergeben zu müssen.

    Und hier habe ich meine Probleme... ich habe das mal an einem simplen Beispiel getestet. Ich habe einen neuen Freigabeordner erstellt, hier ist (default) nur der Admin bzw. die Admingruppe eingetragen. Unterhalb dieses Ordners habe ich einen Folder "Sub" angelegt und (durch die erweiterten Zugriffsrechte) meiner Benutzergruppe lesen und schreiben erlaubt. Wenn ich nun im Wondows Explorer meine IP vom NAS eingebe sehe ich alle Freigabeordner, soweit so normal, aber ich komme nicht in den neuen Freigabeordner rein. Auch nicht wenn ich direkt den Pfad eingebe \\meine.IP.0.1\neuerOrdner\Sub
    Übersehe ich hier etwas? Was mache ich falsch?

    Zitat von tiermutter

    Das wiederum wird in den Eigenschaften einer Freigabe geregelt, dort kannst Du ABSE / ABE aktivieren, um Ordner und Dateien auszublenden, auf die der entsprechende User keine Rechte hat.

    Super Hinweis! Danke dir!!!

    Zitat von etiennebarthelmess

    Und jetzt wäre es natürlich wünschenswert, dass derjenige nicht alle hunderte Ordner sieht sondern nur den einen (oder die paar) die ich freigegeben habe.

    Absolut verständlich. Ich sage ja auch nicht, dass es immer so einfach möglich ist :)

    Zitat von etiennebarthelmess

    Du meinst vermutlich Erweiterte Berechtigungen > Erweiterte Odrnerzugriffsrechte aktivieren ?

    Genau. Meine Systeme sind auf Englisch, daher muss ich immer recht frei übersetzen wie es in der deutschen GUI heißen könnte ;)

    Zitat von etiennebarthelmess

    Wenn ich nun im Wondows Explorer meine IP vom NAS eingebe sehe ich alle Freigabeordner, soweit so normal, aber ich komme nicht in den neuen Freigabeordner rein. Auch nicht wenn ich direkt den Pfad eingebe \\meine.IP.0.1\neuerOrdner\Sub

    Ich würde behaupten dass das so alles richtig ist. Ist aber schon eine Weile her, dass ich die erweiterten Berechtigungen verwendet habe. Spätestens mit der direkten Eingabe des Pfads hätte das mMn funktionieren müssen. Hier könnte ein Screenshot helfen...

    Es kommt auch schonmal vor, dass die Berechtigungen nicht korrekt übernommen werden, vor allem wenn viel geändert wird. Die Änderungen müssen natürlich auch auf Subordner und Dateien angewendet werden (separate Option, per default gesetzt) und alle existierenden Berechtigungen überschreiben (nicht per default gesetzt). Letzteres hat mir schon öfter geholfen, wenn die Änderungen nicht sofort/ korrekt übernommen wurden.

    Wie verhält sich das denn mit den Rechtegruppen? Ich kann ja in der Gruppe everyone sein und in der Gruppe group1. Wenn ich für einen Folder nun sage, everyone - kein Zugriff und group1 - RW Zugriff. Gibt es eine Möglichkeit, dass hier der group1 Zugriff gewinnt? Ansonsten müsste ich die Gruppen ja so schneiden, dass ich keine Überlappung habe: eine Gruppe everyoneWithoutGroup1... das wird dann aber hässlich.

    Zitat von etiennebarthelmess

    Ich kann ja in der Gruppe everyone sein und in der Gruppe group1.

    Jeder User ist IMMER in der Gruppe "everyone".

    Hat die Gruppe "everyone" keinen Zugriff, "group1" aber schon, so wird dem User der Zugriff auch gewährt.

    Wie es sich verhält, wenn ein User in mehreren Gruppen mit unterschiedlichen Berechtigungen befindet weiß ich nicht.

    Guten Abend zusammen,


    nochmals vielen Dank für die Rückmeldungen.

    Ich habe das Ganze nun mit erweiterten Freigabeeinstellungen und dem Windows ACL eingerichtet. Bisher sieht das alles ganz gut aus.


    (ich weiss nicht ob oder wie ich den Beitrag hier als gelöst merkieren kann...)

    Zitat von etiennebarthelmess

    Ich habe das Ganze nun mit erweiterten Freigabeeinstellungen und dem Windows ACL eingerichtet.

    Ich habe von TrueFazer mal gelesen, dass beide Optionen gleichzeitig irgendwann Probleme verursachen. Soll wohl auch in den Docs beschrieben sein, dass man das vermeiden soll.