💡 1. Theorie & Praxiskonzept
Greift ein Benutzer über das Netzwerk auf einen Windows-Fileserver zu, durchläuft er zwei Sicherheitsfilter: die Freigabeberechtigungen (Share Permissions) und die NTFS-Berechtigungen (ACLs). Die effektive Berechtigung ist immer die restriktivste Schnittmenge beider Systeme! Best Practice: Freigaberechte auf 'Jeder → Vollzugriff' setzen und die granulare Steuerung ausschließlich über NTFS und AGDLP abwickeln.
Die Share-Berechtigung ist das äußere Burgtor: Es lässt dich auf das Burggelände (z.B. Jeder darf hinein). Die NTFS-Berechtigung ist die Panzertür zur Schatzkammer im Burgkeller: Selbst wer im Burghof steht, kommt hier nur mit dem passenden Schlüssel (Domänenlokale Gruppe) hinein!
⚡ 2. Active Directory Cheat-Sheet
| Befehl / Konzept | Bedeutung & Funktion |
|---|---|
Freigabe vs. NTFS | Effektive Berechtigung = restriktivste Einstellung (z.B. Share Read + NTFS Full = Read!). |
Get-Acl -Path 'D:\Daten' | Format-List | Liest die aktuellen Sicherheitsdeskriptoren und Access Control Lists aus. |
Set-Acl -Path 'D:\Daten' -AclObject $acl | Schreibt modifizierte Zugriffssteuerungslisten zurück. |
icacls D:\Daten /grant "DL_Finanzen_RW":(OI)(CI)M /T | Vergibt mit icacls Modify-Rechte mit Ordner- (CI) und Datei-Vererbung (OI). |
⚠️ 3. Häufige Stolperfallen & Best Practices
Steht die Netzwerkfreigabe auf 'Lesen', kann kein Benutzer Dateien schreiben oder ändern – völlig egal, ob er in NTFS Vollzugriff besitzt!
Ein explizites Deny (Verweigern) in einer ACL überschreibt jedes Allow (Zulassen). Wird einer Gruppe 'Jeder' das Recht verweigert, sperrt sich selbst der Administrator aus!
🧠 Diagnostischer Selbst-Check
Überprüfe dein Verständnis zu Active Directory Architektur, FSMO, GPO und Sicherheit mit gezieltem Feedback: