Modul 127 Server betreiben

Transkript

1 Modul 127 Server betreiben Unit 2: Zielsetzung: Configuration Management Berechtigungskonzepte. Der Schüler kennt die Unix und Windows Berechtigungskonzepte. Technische Berufsschule Zürich IT Seite 1

2 Zugriffsrechte bei UNIX UNIX/Linux kennt folgende drei Berechtigungen: Lesen Schreiben Ausführen (=READ) (=WRITE) (=EXECUTE) (=Ausführrechte für ein Programm oder Batchfile) auf Stufe Benutzer Gruppe Alle anderen (=Owner, Eigentümer der Datei/Verzeichnis) (=Group) (=Others) Hinweis: Ein Directory ist auch ein File. Leserechte auf einem Directory bedeutet, Man kann das Directory auflisten! Schreibrechte auf einem Verzeichnis heisst, man darf am Verzeichnis Änderungen vornehmen wie neues File/Verzeichnis erstellen, Umbenennen oder Löschen. Technische Berufsschule Zürich IT Seite 2

3 Zugriffsrechte bei Windows (Beschränkte Sicherheitseinstellungen) Lesen Schreiben Lesen, Ausführen Ordnerinhalt auflisten Ändern Vollzugriff Nur Leserechte. Dateiausführung & Verzeichnisdurchsuchung nicht erlaubt. Nur schreibender Zugriff. Dateiausführung & Verzeichnisdurchsuchung nicht erlaubt. Setzen von Datei/Verzeichnis-Attributen erlaubt. Nur Leserechte auf Berechtigungen von Dateien/Verzeichnissen. Objektänderungen (inkl. untergeordneten) nicht erlaubt. Leserecht für alle Attribute & Inhalte. Auf Verzeichnisse bezogen: Gleich wie "Lesen, Ausführen". Lesen/Durchsuchen von Verzeichnis & Unterverzeichnissen. Lesen von Objekt-Attributen. Änderungen & Löschen des Objekts Ändern der Berechtigungen & Besitzübernahme nicht erlaubt Kein Löschen von untergeordneten Objekten. Leserecht auf alle Objektoptionen. Alle Rechte auf Objekt und untergeordnetem Objekte. Lesen/Schreiben/Löschen/Modifizieren/Besitzübernahme. Technische Berufsschule Zürich IT Seite 3

4 Zugriffsrechte bei Windows (Erweiterte Sicherheitseinstellungen) Technische Berufsschule Zürich IT Seite 4

5 Standard-Permissions bei Windows und vordefinierte Gruppen Erklärung Lese-Berechtigung Windows Standard-Permissions R (READ) Die User erhalten die nötigen Berechtigungen, indem sie in die entsprechenden Gruppen eingeteilt werden Schreib-/Lese-Berechtigung C (CHANGE) Vollzugriff F (FULL) Vordefinierte Gruppen des Servers Administratoren Mitglieder können den Computer uneingeschränkt verwalten. Mitglied in dieser Gruppe ist der Administrator. Gehört die Arbeitsstation einer Domäne an, enthält diese Gruppe standardmässig die globale Gruppe Domänen-Admins als Mitglied. Benutzer Gewöhnliche Benutzer. Diese Gruppe enthält im Allgemeinen alle Benutzer der Workstation. Gehört die Arbeitsstation einer Domäne an, enthält diese Gruppe standardmässig die globale Gruppe Domänen-Benutzer als Mitglied. Gäste Alle Personen, die nicht über ein eigenes Benutzerkonto verfügen, erhalten Zugang zum System über ein Gast-Konto. Der Benutzer Gast ist das einzige Mitglied dieser Gruppe. Hauptbenutzer Replikations-Operatoren Sicherungs-Operatoren Druck-Operatoren Leistungsprotokoll- Benutzer Netzwerkkonfigurations- Operatoren Remotedesktopbenutzer Systemmonitor-Benutzer DHCP-Administratoren Hauptbenutzer haben dieselben Rechte wie Benutzer sowie einige zusätzliche Befugnisse, wie etwa das Ändern der Systemzeit. Mitglieder können Drucker und Verzeichnisse freigeben. Die Mitglieder verfügen über die Rechte um den Verzeichnisreplikationsdienst zu starten. Mitglieder können Dateien sichern und wiederherstellen. Die Mitglieder dieser Gruppe besitzen alle Berechtigungen, die für Datensicherungen und die Wiederherstellung von gesicherten Informationen von einem Band erforderlich sind. Mitglieder dieser Gruppe können Drucker in der Domäne verwalten. Mitglieder dieser Gruppe verfügen über Remotezugriff, um die Protokollierung von Leistungsindikatoren auf diesem Computer zu planen. Mitglieder dieser Gruppe verfügen über einige Administratorrechte zum Verwalten der Konfiguration von Netzwerkfunktionen. Mitglieder dieser Gruppe haben die Berechtigung, sich remote anzumelden. Mitglieder dieser Gruppe verfügen über Remotezugriff, um diesen Computer zu überwachen. Mitglieder, die Administratorrechte auf den DHCP-Dienst haben Technische Berufsschule Zürich IT Seite 5

6 Beispiel Berechtigungsmatrix Gruppen Mitarbeiter (MA) Administratoren Geschäftsleitung (GL) Gruppe A (Gr. A) Gruppe B (Gr. B) Gruppe C (Gr. C) Mitglieder alle unten aufgeführten Personen (= alle, die in diesem Betrieb einen Account brauchen) admin, admin_ersatz, GL_1, GL_2, GL_3 Mitarbeiter_1, Mitarbeiter_5, Mitarbeiter_6 Mitarbeiter_2, Mitarbeiter_4, Mitarbeiter_7, Mitarbeiter_8, Mitarbeiter_10 Mitarbeiter_3, Mitarbeiter_9 Berechtigungen Pfad Beschreibung Admins GL Gr. A Gr. B Gr. C MA User \\Comp\Wartung Updates, etc. F \\Comp\Vorlagen Vorlagen F C R \\Comp\Transfer Austausch F C \\Comp\Verz_2\Subdir_1 Gruppendaten F R C \\Comp\Verz_2\Subdir_2 Gruppendaten F R C \\Comp\Verz_3\Subdir_1 Gruppendaten F R C \\Comp\Home F R \\Comp\Home\%username% Persönliches Verzeichnis F C Technische Berufsschule Zürich IT Seite 6

7 WIN-Konsolenbefehle für die Benutzerverwaltung net user net help user net user <Kontoname> net user <Kontoname> <Kennwort> net user <Kontoname> /add Z.B.: net user EK Pa$$w0rd /add /fullname:"emma Kunz" net user <Kontoname> /delete net user <Kontoname> /times:mo-sa,18-20;so,16-22 Zeigt alle Benutzerkonten an Zeigt die möglichen Parameter des Befehls Net User an Zeigt alle Einstellungen des Benutzerkontos an Ändert ohne Rückfrage das Kennwort des Kontos Erstellt ein neues Benutzerkonto namens <Kontoname> und fügt es in die Gruppe der Benutzer ein Erstellt ein neues Benutzerkonto EK, setzt das Passwort Pa$$w0rd und fügt den vollständigen Benutzernamen Emma Kunz hinzu Löscht das Konto <Kontoname> ohne jede Nachfrage Schränkt die erlaubten Anmeldezeiten ein. Tag(e) und Uhrzeit sind durch Komma, mehrere Anmeldezeiten durch Semikolon zu trennen,.«/timesall» hebt die Beschränkung wieder auf. Wer einmal angemeldet ist, kann das aber unbegrenzt bleiben. Technische Berufsschule Zürich IT Seite 7

8 WIN-Konsolenbefehle für die Benutzerverwaltung net localgroup net help localgroup net localgroup <Gruppenname> net localgroup <Gruppenname> /add net localgroup <Gruppenname> /delete net localgroup <Gruppenname> /add <Kontoname> Z.B. net localgroup Verkauf /add Simon Erika Heidi net localgroup <Gruppenname> /delete <Kontoname> net share sharename=drive:path [/GRANT:user,[READ CHANGE FULL]] z.b.: net share Daten=D:\ /GRANT:Mitarbeiter,FULL Zeigt alle vorhandenen Gruppen an Zeigt die möglichen Parameter des Befehls net localgroup an Zeigt alle Mitglieder der Gruppe <Gruppenname> Erstellt eine neue Gruppe namens <Gruppenname> Löscht eine Gruppe ohne Rückfrage Fügt das Konto <Kontoname> der Gruppe <Gruppenname> hinzu Entfernt das Konto <Kontoname> aus der Gruppe <Gruppenname> Erzeugt eine Freigabe im gewünschten Verzeichnis «drive:pfad» Freigabe für die Gruppe Mitarbeiter im Verzeichnis D:\ mit Recht Vollzugriff Technische Berufsschule Zürich IT Seite 8

9 WIN-Konsolenbefehle für die Benutzerverwaltung cacls <Datei- oder Ordnername /P <Kontoname>:<Zugriff> Z.B.: cacls D:\Kunden /P Verkauf:C Administratoren:F cacls /E cacls <Ordnername> /T cacls <Datei- oder Ordnername> /R <Kontoname> Ersetzt oder erstellt Berechtigungen für das angegebene Konto: N Kein R Lesen C Ändern (= Schreiben/Lesen) F Vollzugriff Bearbeitet die ACL, statt sie zu ersetzen; Zusatzoption Vererbt die Berechtigungen der ACL an untergeordnete Objekte Hebt die Zugriffsrechte des angegebenen Kontos auf cacls-beispiele: cacls <Verzeichnis> cacls c:\daten Zeigt die Rechte von Verz. c:\daten cacls c:\daten <user>:r cacls c:\daten /P emma:r Setzt für Benutzerin Emma den Ordner auf READ ONLY cacls c:\daten <user>:c cacls c:\daten /P emma:c Setzt für Benutzerin Emma den Ordner auf CHANGE (inkl. R) cacls c:\daten <user>:f cacls c:\daten /P emma:f Setzt für Benutzerin Emma den Ordner auf FULL (inkl. R und C) Technische Berufsschule Zürich IT Seite 9

10 Beispiel für eine Batch-Datei mit Variablen set LW=d set MYFILE=%LW%:%USERNAME%.txt set DATADIR=D:\Daten\Verwaltung echo > % MYFILE % net share >> % MYFILE % net use >> % MYFILE % dir %DATADIR% /s /b >> % MYFILE % cacls %DATADIR% /T /C >> % MYFILE % Erklärungen: set LW=d bedeutet: Die Variable LW wird mit dem Buchstaben d gefüllt. set MYFILE =%LW%:.. bedeutet: Die Variable MYFILE setzt sich zusammen mit dem Variableninhalt LW und dem, was nachher folgt. net share >> % MYFILE % bedeutet: Der Output des Befehls net share in die Datei mit dem Namen MYFILE umlenken (Redirect) %USERNAME% ist eine Variable, die zur Laufzeit ausgewertet wird. Sie steht für den Namen des eingeloggten Benutzers. Mit diesem Skript wird auf D:\ eine Datei mit dem «Benutzernamen.txt» erstellt. Technische Berufsschule Zürich IT Seite 10

11 Vorgehen bei der Umsetzung Zusammentragen der gewünschten Anforderungen. Erstellen des Berechtigungskonzepts (Berechtigungsmatrix). Erstellen der Benutzerkontos. Erstellen der Gruppenkontos. Zuweisen der Benutzer zur Gruppe. Vordefinierte Verzeichnisstruktur erstellen. Zugriffsberechtigungen zuweisen. Die Zugriffsrechte werden pro Gruppe und nicht pro User erteilt! Ausnahme: Vorteil: Home-Verzeichnis und Spezialfälle Aufwandminimierung beim Erstellen eines neuen Benutzers. Durch Hinzufügen zu der/den für ihn relevanten Gruppe(n) erhält er sofort alle benötigten Rechte. Durch Ausschliessen aus einer Gruppe verliert er sofort die entsprechenden Rechte. Interaktivität versus Stapelverarbeitung Verträgt sich schlecht! Man stelle sich vor, der am Abend gestartete Batchjob wartet schon nach 5 Minuten auf eine Eingabe des Benutzers. cacls ist so ein Fall! Die Änderung muss dort mit Ja beantwortet werden. So kann man dies umgehen: Man nimmt dem Befehl die Antwort sozusagen vorweg echo j cacls Beim " " handelt es sich um eine sogenannte Pipe und man erhält ihn mit AltGr + 7. (Unicode 007C) Achtung: Zwischen Pipe und cacls kein Abstand, sonst funktioniert es nicht! Technische Berufsschule Zürich IT Seite 11