Vererbung - Was sie unbedingt verstehen müssen

Wenn Sie schon die Seite Adminkonzept gelesen haben, dann wissen Sie, wie wichtig Berechtigungen in einer Systemumgebung sind. Zwar haben die Mitglieder der Gruppe "Domänen Administratoren" sehr weit reichende Berechtigungen, wenn auch nicht alle, aber wer will schon die ganze Zeit als Administrator angemeldet sein. Die Aufgabenstellung ist aber etwas umfangreicher:

Die meisten Administratoren vergeben dabei häufig Berechtigungen ohne genauer über die Hintergründe Bescheid zu wissen und die Feinheiten zu beachten.

SACL, DACL, ACE - war ist das ?

Windows speichert zu fast jeden Objekt auch entsprechende Berechtigungen ab und da gibt es weit mehr als nur eine Sache, die berechtigt werden kann. Daher die wichtigsten Begriffe

Jedes Objekt hat zusätzlich noch einen Owner, der immer die Rechte ändern kann, selbst wenn er selbst keine sonstigen Berechtigungen hat.

Vererbung und "Scope"

Nun wäre es ja zu einfach, wenn Sie an einem Objekt einfach die SID samt gewünschten Berechtigungen in die DACL hinzufügen und schon hat der Benutzer den gewünschten Zugriff. Aber da kommt die Vererbung mit ins Spiel. Es wäre doch sehr unbequem, wenn Sie auf jedem Objekt, d.h. jedem Ordner,  jedem Unterordner und jeder Datei darin die Berechtigungen immer wieder neu setzen müssten.

Daher kennt Windows die Funktion der "Vererbung" und dazu die Möglichkeit eben diese auch wieder zu blockieren. Was viele nicht wissen ist, dass der Begriff "zweimal" angewendet werden kann.

Diese Option ist meistens eingeschaltet und meine Empfehlung lautet auch, diese nicht abzuschalten, da Programme sehr oft auf der Wurzel z.B.: Rechte addieren und diese dann darunter nicht mehr greifen würden. Das ist z.B.: bei der Exchange Konfiguration der Fall.

Praktische Regeln für Berechtigungen

Aus meiner Sicht sollten Sie folgende drei Grundregeln kennen:

Change Management
Auch wenn es aufwändig ist, sollten sie jede Veränderung von Berechtigungen genau mit Datum und Zeit dokumentieren. Sie erleichtern sich später die Fehlersuche, Kontrolle und Anpassungen.

Probleme/Bug in der Vererbung

Bei der Vererbung müssen Sie unterscheiden, ob die Vererbung durch das Betriebssystem errechnet bzw. gesetzt wird oder eine Anwendungssoftware rekursiv durch die Unterobjekte läuft und die ACLs setzt. Ich habe keine genaueren Details aber glaube folgendes feststellen zu können.

Diese Details sind wichtig, wenn bei der Veränderung der Berechtigungen etwas "schief" geht. Wenn eine Software selbst rekursiv durch den Baum laufen und Rechte anpassen muss, dann kann dabei ja z.B.: die Netwerkverbindung abbrechen. Das Ergebnis ist dann eine "teilweise" Vererbung, die fast nicht mehr zu finden ist. (Frage Transaktionsorientierung)

Weiterhin kann es ja sein, dass Sie über andere Wege Berechtigungen ändern. So können Sie zwar mit dem Windows Explorer die Berechtigungen ändern, die dieser auch schön brav auf alle Unterordner verschiebt, aber Sie können ja auch per CACLS, XCACLS die Rechte verändern. Und diese Programme "kennen" nicht unbedingt die Art der Vererbung. So könnten Sie quasi ein "Recht" setzen oder entfernen ohne dass die Unterordner entsprechend der Vererbung bearbeitet werden.

Dass dem So ist, kann ich auf meinem eigenen Notebook nachweisen. Auf einem Unterordner ist mein Name als "vererbt" eingetragen (und kann daher nicht gelöscht werden) obwohl im Ordner darüber keine Berechtigung mehr enthalten ist.

Hier sehen Sie die Berechtigungen auf "C:\TEMP" und die Berechtigungen auf C:\

Auf C:\TEMP hat mein Benutzer Vollzugriff aber nur auf diesen Ordner, was aber einem nicht näher bezeichneten "übergeordneten Objekt" vererbt wird. Schaut man sich dann aber C:\ als die nächst höhere Struktur an, dann ist da das Konto "Carius, Frank" gar nicht mehr zu sehen.

NTFS Berechtigungen und Mountpoints

Windows kann Partitionen problemlos als Verzeichnis in anderen Dateisystemen einbinden. So genannte Mountpoints erlauben es, die Grenzen der Buchstaben von A: bis Z: zu überspringen. Dabei wird aber gerne übersehen, dass dies auch Auswirklungen auf Berechtigungen hat. Ein MountPoint besteht aus einem Verzeichnis, welches natürlich eine ACL hat. Aber andererseits verweist dieses Verzeichnis auch auf ein Volume, welches ebenfalls Berechtigungen hat. Dies kann man im Explorer gut sehen, da Mountpoints eine weite Eigenschaftskarte aufweisen:

Man kann erkennen, dass das Verzeichnis "Backup" in der Baumstruktur ein Mountpoint darstellt. Schaut man sich die Eigenschaften an, bekommt man aber die Berechtigungen des Verzeichnisses, was aber nicht als Basis für die weiteren Verzeichnisse und Dateien auf dem Backup-Volume dienst. Auf der Karteikarte "Allgemein" ist aber ein neuer Button verfügbar der dann direkt zu den Berechtigungen des eingebundenen Dateisystems führt. Die dort vergebenen Berechtigungen werden für die weitere Vererbung genutzt.

Weitere Links

Keywords:Adminkonzept Administrator Rechte Vererbung