Produktbeschreibung Version 2.1.x

Transkript

1 Produktbeschreibung Version 2.1.x Stephan Brack

2 2 1 Haftungsausschluss Die in diesem Handbuch gemachten Angaben können sich jederzeit ohne vorherige Ankündigung ändern und gelten als nicht rechtsverbindlich. Die beschriebene Software 8MAN wird von protected-networks.com im Rahmen einer Nutzungsvereinbarung zur Verfügung gestellt und darf nur in Übereinstimmung mit dieser Vereinbarung eingesetzt werden. Dieses Dokument darf ohne die vorherige schriftliche Erlaubnis von protected-networks.com weder ganz noch teilweise in irgendeiner Form reproduziert, übermittelt oder übersetzt werden, sei es elektronisch, mechanisch, manuell oder optisch. Dieses Dokument ist in einer Einheit zu denen auf der Website von protected-networks.com veröffentlichten rechtlichen Hinweisen AGB, EULA und der Datenschutzerklärung zu sehen. 2 Urheberrecht 8MAN ist eine geschützte Bezeichnung für ein Programm und die entsprechenden Dokumente, dessen Urheberrechte bei protected-networks.com GmbH liegen. Marken und geschäftliche Bezeichnungen sind auch ohne besondere Kennzeichnung Eigentum des jeweiligen Markeninhabers. protected-networks.com GmbH Alt-Moabit Berlin Tel.: +49 (30) Web: Hot-Line Support: susi.support@protected-networks.com Tel.-Support: +49 (30) Zu den üblichen Bürozeiten Veröffentlichung: August 2010

3 3 Inhalt 1 Haftungsausschluss Urheberrecht Einführung Versionshinweis Konfiguration User Management MAN Ansichten (Screens) Log-in Funktionen des Rahmens Obere Steuerleiste Linke Anwendungsleiste Untere Statuszeile Funktionen der Liste Inhalt der flachen Liste Filtern der flachen Liste Kontextmenüs in flachen Listen Spaltenfunktionen der flachen Liste Sortieren der flachen Liste Beschreibung der Icons MAN Startseite Dashboard Anzeigebereich AD Übersicht Anzeigebereich Verschachtelungstiefe Anzeigebereich Ergebnisse ActiveDirectory Ansicht Blick nach oben Struktur Ansicht des Active Directory Blick nach unten Kontextmenü Ändern von Gruppenmitgliedschaften Temporäre Berechtigungen und Gruppenmitgliedschaften Aufzeichnen aller Veränderungen: Das Logbuch Mehrfachauswahl Dateisystem Ansicht Darstellung der Baumstruktur und der Berechtigungen Anzeigen der veränderten Berechtigungen... 26

4 Möglichkeiten der Berechtigungseinträge Berechtigungen im Detail Freigabe bzw. Share Rechte anzeigen Grafische Berichte für ein Verzeichnis erstellen Verzeichnisse und Freigaben nochmals scannen Verzeichnisse anlegen und Verzeichnisrechte bearbeiten Anlegen von neuen Verzeichnissen Vergabe von Berechtigungen Konfiguration des Gruppenassistenten Verzeichnisrechte bearbeiten von der Startseite Funktionen der Ansicht Verzeichnisrechte Vergabe von Rechten Ändern von Rechten Sonstige Berechtigungen Ansicht bei eingeschaltetem Gruppenassistenten Änderungen anwenden Szenarien und Use cases Worauf hat ein Nutzer Berechtigungen? Bekannte Sicherheits-IDs Wer hat auf ein bestimmtes Verzeichnis Zugriff? Report: Wer hat auf ein Verzeichnisbaum oder einen Share Zugriff? Welche Gruppen gibt es im AD und wie hängen sie zusammen? Welche User sind in einer Gruppe? Einführung Das vorliegende Dokument beschreibt im Detail die verschiedenen Ansichten der 8MAN Client Software sowie dessen Anwendung für verschiedene use cases. Es soll dem Nutzer sowohl einen Überblick über die einzelnen Möglichkeiten bieten sowie anhand von konkreten Anwendungsfällen die Nutzungsweise aufzeigen. Im ersten Teil werden die Ansichten im Detail beschrieben und jede einzelne Funktion aufgeführt. Im zweiten Teil werden Anwendungsfälle bzw. use cases vorgestellt und wie man sie mit 8MAN lösen kann.

5 5 4 Versionshinweis Version 2.1 enthält zusätzliche Funktionalitäten: Administrieren Einstiegs-Scenario für Administrieren auf der ersten Seite Rescan Möglichkeit um die aktuellsten Daten auszulesen Temporäre Rechtevergabe und Gruppenzugehörigkeit Verzögertes Schreiben der Änderungen Suchen Suchen und finden von Verzeichnissen mit der isearch Funktionalität Anzeigen DataOwner Verzeichnis Reports erstellen Mehrfache Berechtigungen erkennen Share Rechte anzeigen Verzeichnisgröße anzeigen Darstellen ob Rechte vererbt wurden oder neu hinzugekommen sind Darstellen, woher ein Nutzer die Berechtigung hat

6 6 5 Konfiguration 5.1 User Management Generell kann ein Nutzermanagement in der Konfiguration aktiviert werden. Dazu müssen Nutzer in der Konfiguration eingetragen werden um 8MAN zu nutzen. Benutzer können zwei unterschiedliche Rollen haben: Admin und nicht Admin. Wer das Admin Häkchen hat, kann in 8MAN administrieren und sieht auch das User Interface dafür.

7 7 6 8MAN Ansichten (Screens) In diesem Kapitel werden sämtliche Screens dargestellt und die einzelnen Funktionen erklärt. 6.1 Log-in Nach starten der Applikation auf dem Client öffnet sich die Log-in Ansicht. Default ist die Anmeldung als angemeldeter Benutzer des Clients. Alternativ kann man sich mit anderen Anmeldeinformationen anmelden. Nach anklicken des Knopfes Erweiterte Optionen ist es möglich, die Sprache und den Ort des Servers sowie die Port Nummer zu definieren: Die Standard Port Nummer ist die

8 8 6.2 Funktionen des Rahmens Alle Seiten sind in einen einheitlichen Rahmen eingebettet: Obere Steuerleiste In der obersten Steuerleiste befinden sich folgende Funktionen: : Vor und Zurück. Zum Blättern in der Historie : Minimieren, Maximieren und Schließen der Anwendung : Zeigt die ausgewählte Domäne an, die analysiert wird. Über den Auswahlknopf kann eine andere gescannte Domäne ausgewählt werden. : Dieser Knopf erlaubt das Auswählen des Datenstandes zu einem gewünschten Zeitpunkt. Dieser gewählte Datenstand ist dann die Grundlage für weitere Analysen. Bei Bewegen der Maus über das (i) werden die dazugehörigen Scan-Stände des AD und der Fileserver angezeigt: : Das Suchfeld erlaubt die Suche nach Elementen im Active Directory sowie Verzeichnissen der eingebundenen Fileserver durch Eingabe über die Tastatur. Es wird eine Auswahl schon nach wenigen Zeichen angezeigt. Das gewünschte Element kann nun entweder über anklicken mit der Maus oder durch Auswählen mit den Cursor-Tasten und anschließender Eingabe-Taste aufrufen. Es öffnet sich

9 9 dann die Active Directory Ansicht (siehe Kapitel 6.7) bzw. in der Dateisystem Ansicht (siehe Kapitel 6.12) Linke Anwendungsleiste Die Anwendungsleiste befindet sich am linken Rand und kann über den Schalter ein- oder mit ausgeklappt werden, je nachdem wie viel Platz man für die anderen Funktionen freimachen möchte. Über einfaches Klicken kann man direkt zu der jeweiligen Ansicht wechseln Untere Statuszeile Die Fußzeile enthält Informationen, ob Verbindung zum Server besteht ( ). Über werden Statusmeldungen zu bezüglich der Serverscans angezeigt, klicken öffnet weitere Informationen. Des Weiteren wird dargestellt, welcher User bei welchem Server angemeldet ist ( ). Über besteht die Möglichkeit auf den Anmeldebildschirm zu gelangen und z.b. den angemeldeten Nutzer oder die Einstellungen zu ändern.

10 Funktionen der Liste Sämtliche flache Listen innerhalb der 8MAN Applikation können nach demselben Schema bedient werden. Mögliche Abweichungen werden in den einzelnen Kapiteln beschrieben Inhalt der flachen Liste Die flachen Listen zeigen den Inhalt von selektierten Elementen an, die an anderer Stelle in der Anwendung mit einem Klick auf die linke Maustaste ausgewählt wurden. Dieser Inhalt können Nutzer, Gruppen, Computer oder Kontakte sein. Sind Gruppen Mitglied des selektierten Elements, werden diese aufgelöst und die Mitglieder in die Liste aufgenommen. Diese Mitglieder sind dann nicht direkt in dem ausgewählten Element enthalten, sondern nur indirekt über Gruppenverschachtelung. Sie werden als indirekte Mitglieder bezeichnet und werden mit einem gekennzeichnet Filtern der flachen Liste Die Elemente in der flachen Liste können über das Eingabefeld gefiltert werden. Es werden dann nur die Elemente angezeigt, die dem Filterkriterium entsprechen. Es wird die Anzahl der herausgefilterten Elemente sowie die Gesamtzahl angezeigt. Durch Betätigen der Auswahlknöpfe kann die Auswahl schneller eingeschränkt, bzw. gefiltert werden. Mit folgender Einstellung wird beispielsweise nur nach Benutzer und Gruppen gesucht: Kontextmenüs in flachen Listen Zu jedem Listeneintrag kann ein Kontextmenü über die rechte Maustaste aufgerufen werden. Es können alle Einträge markiert und in die Zwischenablage kopiert werden und in anderen Anwendungen mit Strg-V oder über die Einfügen-Funktionen wieder eingefügt werden. Es besteht nun die Möglichkeit die flache Liste zu markieren, in die Zwischenablage zu kopieren oder für das gewählte Element die Berechtigungen anzuzeigen, bzw. im Active Directory darzustellen. Hierfür wird die Ansicht Dateisystem in Kapitel 6.12 bzw. die Ansicht Active Directory in Kapitel 6.7 angezeigt. Durch Halten der Strg-Taste und Auswählen mehrerer Elemente kann die Funktionalität für alle ausgewählten Elemente aufgerufen werden. Zum

11 11 Selektieren aller Elemente kann STRG+A oder der entsprechende Befehl im Kontext Menu verwendet werden. Dazu muss mindestens ein Eintrag in der flachen Liste selektiert sein. Weitere Punkte des Kontext Menüs sind für Gruppen die Änderung der Mitgliedschaften in Kapitel 6.8 bzw. das Öffnen des Logbuchs für das entsprechende Element in Kapitel Spaltenfunktionen der flachen Liste Die flache Liste enthält folgende Spalten: Die Spalte enthaltene Objekte gibt die Anzahl der Elemente einer Gruppe wieder, die über die Gruppe angesprochen werden. Für diesen Wert sind dies sowohl einzelne Konten, wie auch Gruppen. Für die Berechnung dieses Wertes werden alle Verschachtelungen aufgelöst. In der Spalte Tiefe ist die Verschachtelungstiefe der Gruppe angegeben. Das Symbol auf eine Rekursion in der Gruppenstruktur hin. weist Spalte wie oft enthalten gibt an, wie oft das Element in den verschachtelten Gruppen direkt und indirekt enthalten ist. Das Ausrufungszeichen vor dem Element weist darauf hin, dass das Element mehrfach enthalten ist. Die Breite aller Spalten kann individuell mit der Maus durch Anklicken und Halten der linken Maustaste variiert werden. Durch Doppelklicken auf die Spaltenbegrenzung erhält die Spalte automatisch ihre optimale Breite Sortieren der flachen Liste Durch einfaches oder mehrfaches Klicken auf eine Spaltenüberschrift kann der Inhalt der Liste auf- oder absteigend sortiert werden. Die Richtung wird durch ein nach unten bzw. nach oben gerichtetes Dreieck angezeigt.

12 Beschreibung der Icons Die Benutzer-Icons haben folgende Bedeutung: Icon Beschreibung Administrator Administrator (deaktiviert) Benutzer Benutzer (deaktiviert) Universelle Gruppe Lokale Gruppe Globale Gruppe (fremder) Benutzer aus anderer Domäne Computer Kontakt Monitor Ordner Gemeinsam benutzter Ordner Rechtevergabe Berechtigungseinträge wurden hinzugefügt Berechtigungseinträge wurden entfernt Berechtigungseinträge wurden geändert Unbekannter Typ, SID ist nicht mehr verfügbar. Auch: Scan konnte nicht durchgeführt werden Logbuch Funktion Zeigt an, ob über Verweigern vererbte Rechte entzogen werden Gruppe befindet sich in Rekursion Warnung! mehrfach enthaltenes Element bzw. reduzierte Vererbung gefunden Abweichende Berechtigungen gegenüber dem darüberliegenden Verzeichnis Abweichende Berechtigungen sowie reduzierte Vererbungsketten gegenüber dem darüberliegenden Verzeichnis gefunden Symbol für ein verändertes Recht bei der Berechtigungsvergabe Symbol für eine neue Berechtigung für einen Benutzer oder eine Gruppe bei der Brechtigungsvergabe

13 13 Vererbte Berechtigung Nicht vererbte Berechtigung Zur Anmeldeseite springen Serverlog Meldungen anzeigen Hinweis auf veränderte Berechtigung in darunterliegenden Verzeichnissen bzw. auf den gesuchten Nutzer in der Gruppe oder darin enthaltenen Gruppen Das ausgewählte Verzeichnis nochmals scannen (und alle darunterliegenden Verzeichnisse) 6.5 8MAN Startseite Nach dem Log-in und der Authentifizierung erscheint die Startseite. Über diese Seite ist es möglich, sowohl direkt zu den Anwendungen zu springen, über Suchen konkrete Objekte vorauszuwählen oder auch über Szenarien verschiedene Anwendungsfälle zu lösen. Im zentralen Suchfeld kann man die Auswahl durch Anklicken von Klassen einschränken oder erweitern: In dieser Einstellung z.b. berücksichtigt die Suche keine Kontakte und keine Computer. : Der Haken bei der Detailsuche erlaubt auch die Suche innerhalb der LDAP Eigenschaften. Der Bereich unterhalb des zentralen Suchfeldes listet die Szenarien auf:

14 14 Das Szenario Verzeichnisrechte bearbeiten ist in Kapitel beschrieben. Das Szenario Worauf hat ein Benutzer oder Gruppe Zugriff? ist in Kapitel 7.1 beschrieben. Das Szenario Report: Wer hat wo Zugriff? ist in Kapitel 7.3 beschrieben. Die Direktauswahl der Anwendung ist über die Anwendungsleiste möglich. Durch einfaches Klicken gelangt man direkt in die entsprechende Ansicht:

15 Dashboard Diese Ansicht erlaubt eine schnelle Übersicht über die Struktur und die Kennzahlen des Active Directory, der Gruppen und ihrer Strukturen. Sie erlaubt auch erste Auswertungen zu den vergebenen Berechtigungen Anzeigebereich AD Übersicht Der Listenbereich (linke Spalte) gibt eine Übersicht über die enthaltenen Elemente im Active Directory, sowie deren Anzahl: In dieser Liste können folgende Funktionen ausgeführt werden: Durch einfachen Rechtsklick in die Liste und Klicken auf wird die gesamte Liste ausgewählt. Diese kann dann mit STRG-C kopiert werden und anschließend mit STRG-V in andere Applikationen eingefügt werden.

16 16 Alle Sektionen der Liste können durch Klicken von eingeklappt oder durch ausgeklappt werden: Beispiel ausgeklappt: Beispiel eingeklappt: Wird auf einen Eintrag der Liste doppelt geklickt, öffnet sich die Anwendung Mehrfachauswahl mit der entsprechenden Liste und Details der Elemente. Siehe Kapitel 6.8. Die Liste kann mit dem Knopf weggeklappt, bzw. durch wieder hergeholt werden. Dies gilt ebenso für die rechten beiden Bereiche durch den Knopf Anzeigebereich Verschachtelungstiefe Dieser Bereich gibt die Anzahl der Gruppen an, die eine entsprechende Verschachtelungstiefe haben, bzw. sich in einer Rekursion befinden. Ein Doppelklicken auf den jeweiligen Balken öffnet die Anwendung Mehrfachauswahl mit der entsprechenden Liste und den Details. Durch einfaches Klicken auf rückt die Anzeige in den Fokus und die anderen Bereiche werden weggeklappt. Diese Bereiche können durch Klicken auf bzw. wieder vergrößert werden. Die Wände zwischen den Bereichen können durch Klicken und Halten mit der Maus verschoben werden Bedeutung der Verschachtelungstiefe Tiefe 1: Diese Gruppen enthalten nur User oder andere Accounts Tiefe 2: Diese Gruppen enthalten mindestens eine Gruppe der Tiefe 1 und optional zusätzlich User oder andere Accounts Tiefe n: : Diese Gruppen enthalten mindestens eine Gruppe der Tiefe n-1 und optional zusätzlich User oder andere Accounts

17 Anzeigebereich Ergebnisse Hier werden einige wichtige Informationen zum Active Directory zusammengefasst, sowie Übersichten gegeben zu den vergebenen Berechtigungen: Durch gelangt man in die Mehrfachauswahl, um sich entweder die leeren Gruppen oder die Gruppen in Schleifen im Detail anzeigen zu lassen. Bei den Auswertungen zu den Berechtigungen (Report) werden die entsprechenden Informationen als csv Datei abgespeichert Bedeutung von Rekursionen Alle Gruppen, die sich in ein und derselben Rekursion befinden, haben die gleichen Berechtigungen! Unabhängig davon, welcher Gruppe man eine Berechtigung gibt, werden durch die zyklische Struktur alle User/Accounts aller Gruppen der Rekursion berechtigt!

18 ActiveDirectory Ansicht Die ActiveDirectory Ansicht bietet die grafische Aufbereitung des Active Directory und seiner Strukturen und Details Blick nach oben In der linken Spalte wird unter eine flache Liste der Gruppen angezeigt, in der sich das selektierte Element befindet. Gruppen, in denen sich das selektierte Element indirekt befindet sind mit einem gekennzeichnet. Unter wird die Struktur nach oben als Baum dargestellt. Wird ein Eintrag in der Eltern-Liste oder im Baum doppelt angeklickt, wird dieser in den Fokus gesetzt und erscheint in der Struktur Ansicht (Graph) als größtes Icon: Struktur Ansicht des Active Directory Das ausgewählte Element ist rötlich umrandet. Die Zahl oberhalb definiert in wie vielen Gruppen sich das Element befindet. Das bzw. Zeichen daneben erlaubt das Ein- oder Ausklappen der darüber liegenden Gruppenstrukturen. Im Falle von fokussierten Gruppen deutet die Zahl darunter auf die Anzahl der Mitglieder der Gruppe hin. Auch hier lässt sich die Struktur über bzw. ein- oder ausklappen. Durch Bewegen der Maus auf die Bewegungspfeile und kann man durch den Graphen scrollen. Je näher sich die Maus an der Pfeilspitze befindet, umso höher ist die Scrollgeschwindigkeit. Grafik exportieren: Durch Drücken von werden. kann ein Grafikfile der AD Struktur gespeichert

19 19 Grafik expandieren: Durch Drücken von werden die umliegenden Bereiche weggeklappt und die AD Struktur expandiert. Durch Drücken von wieder aufgeklappt werden. können die jeweiligen Bereiche jederzeit Die Wände der jeweiligen Bereiche sind mit der Maus durch Drücken und Halten der linken Maustaste verschiebbar Blick nach unten In der rechten Spalte werden Informationen zum ausgewählten Element angezeigt. Hier gibt es mehrere Ansichten, die über und auf- bzw. zugeklappt werden können. : Hier werden Details zum ausgewählten Element angezeigt. : Für Gruppen wird hier eine flache Liste von Elementen angezeigt, die direkt in der Gruppe enthalten sind. Die flache Liste enthält ebenso Elemente, die über verschachtelte Gruppen angesprochen werden. Diese sind mit einem gekennzeichnet. Der String in Klammern bezeichnet den Log-in Namen des Benutzers. : Hier wird die Struktur unterhalb des ausgewählten Elements als Baumstruktur dargestellt. : In dieser Liste werden alle konfigurierten LDAP Details zu dem ausgewählten Objekt angezeigt. Diese Liste kann in einer späteren Version frei konfiguriert werden. Im folgenden Bild ist beispielhaft die flache Liste der Kinder einer Gruppe gezeigt Kontextmenü In dieser Ansicht gibt es folgende Kontextmenüs:

20 Diese führen unter anderem zur Logbuchfunktion, beschrieben in Kapitel 6.10 und zum Ändern von Gruppenmitgliedschaften beschreiben in Kapitel

21 Ändern von Gruppenmitgliedschaften Der Dialog zum Ändern von Gruppenzugehörigkeiten kann über das Kontextmenü aufgerufen werden, sobald man eine Gruppe ausgewählt hat. Dies kann aus den unterschiedlichsten Anwendungen heraus geschehen. Die folgende Ansicht erlaubt: - Neue Mitglieder/Gruppen suchen und hinzufügen. Die Auswahl erfolgt durch Drücken der Eingabetaste. - Soll doch nicht gelöscht werden, können die Änderungen rückgängig gemacht werden mit Durch einmaliges Anklicken eines Nutzers/Gruppe in der Gruppe, lässt sich ein Ablaufdatum einstellen: Dieser Dialog wird in Kapitel xxxx beschrieben. Beim Hinzufügen von neuen Mitgliedern wird auf doppelte Einträge und auf entstehende Rekursionen geprüft. 8MAN verhindert das Entstehen von Rekursionen und weist darauf mit einer Information hin:

22 22 Um Veränderungen umsetzen zu können, muss ein Kommentar in das entsprechende Feld eingetragen werden. Nur dann ist die Möglichkeit zu freigeschaltet. Sämtliche Kommentare finden sich in den entsprechenden Logbüchern zu den jeweiligen Nutzern und Gruppen wieder. Es besteht die Möglichkeit Text in das Kommentarfeld hineinzukopieren. 6.9 Temporäre Berechtigungen und Gruppenmitgliedschaften Für Berechtigungen und Gruppenmitgliedschaften kann ein Ablaufdatum gesetzt werden. Durch Klicken auf ein Datum wird automatisch dies als Enddatum angesetzt. Zu diesem Datum wird die Berechtigung gelöscht, ist an diesem Tag ab 0 Uhr also nicht mehr aktiv. Soll ein anderer Monat oder ein anderes Jahr ausgewählt werden, so ist dies mit Klicken auf den aktuellen Monat ( ) möglich. Ein weiteres Klicken zeigt die Jahresansicht. Ein Klicken auf das gewünschte Jahr bzw. den gewünschten Monat führt dann zur entsprechenden Auswahl. Bei Auswahl temporäre Einstellung zurückgenommen. wird die Die Berechtigung bzw. Gruppenmitgliedschaft auf Zeit wird sowohl im Logbuch der Gruppe, des Verzeichnisses als auch des Users dokumentiert.

23 Aufzeichnen aller Veränderungen: Das Logbuch Eine der wichtigsten Funktionen von 8MAN ist die Aufzeichnung der Veränderungen für Nutzer, Gruppen und Verzeichnisse. In dem Logbuch wird gespeichert wer wann welche Veränderung erhalten hat. Mit einem entsprechenden Eintrag wird auch deutlich, warum die Änderung durchgeführt wurde. Damit ist es möglich die vollständige Historie darzustellen. Das Logbuch ist als an das jeweilige Element angehangen. Es kann über ein Mouseover kurzzeitig aufgerufen werden, um die letzten Veränderungen zu sehen. Oder über das Kontextmenü zu dem jeweiligen Element geöffnet werden: Es besteht die Möglichkeit entweder alle Kommentare anzeigen zu lassen oder nur die eigenen. Es besteht ebenfalls die Möglichkeit einen neuen Kommentar von Hand zu erstellen, z.b. hat die Firma am x.y. verlassen. Es besteht die Möglichkeit Text in das Kommentarfeld hineinzukopieren.

24 Mehrfachauswahl Die Ansicht Mehrfachauswahl bietet mehrere Möglichkeiten zur Anzeige und zum Vergleich von AD Elementen. Sie bietet in der rechten Spalte die Einträge im Active Directory bzw. eine Auswahl davon. Diese Liste kann durch Angaben in der Filterzeile oberhalb der Tabelle weiter reduziert werden. Es werden dann nur die Elemente angezeigt, die dem Filterkriterium entsprechen. Es wird die Anzahl der herausgefilterten Elemente sowie die Gesamtzahl angezeigt. Durch Betätigen der Auswahlknöpfe kann die Auswahl schneller eingeschränkt bzw. gefiltert werden. Hier können nun eine oder mehrere Elemente durch halten der STRG-Taste und der linken Maustaste ausgewählt werden. In der rechten Spalte werden nun die Kinder der ausgewählten Gruppe(n) angezeigt. Diese flache Liste enthält alle Elemente der ausgewählten Elemente der linken Spalte. Sind Elemente in mehreren Gruppen enthalten, wird dies in der Kinderliste wie oft enthalten mit der entsprechenden Anzahl dargestellt. Ist ein Szenario aktiv ( ), so kann dies durch einen Klick auf das rote X gelöscht werden und alle Elemente des AD werden angezeigt. Ein Szenario wird aktiviert, wenn der Einsprung in die Mehrfachauswahl von einer anderen Ansicht aus geschieht, z.b. aus dem Dashboard.

25 Dateisystem Ansicht Dies ist die zentrale Ansicht von 8MAN für die Überwachung und Administration von Fileservern. Die Ansicht besteht aus mehreren Abschnitten, die schrittweise erklärt werden Darstellung der Baumstruktur und der Berechtigungen In dem Bereich des Screens, der sich bei allen aufgeklappten Ansichten links oben befindet, werden alle Fileserver angezeigt, sowie die zu untersuchenden Nutzer oder Gruppen. Zunächst ist die Baumstruktur eingeklappt, kann aber durch Klicken auf wieder reduziert werden. erweitert bzw. mit Die Hand unterhalb eines Verzeichnisses deutet auf eine Share Freigabe hin: Der Pfeil am linken Rand eines Verzeichnisses deutet auf eine Änderung der Berechtigungslage unterhalb im Verzeichnisbaum hin. Ist der Verzeichnisbaum aufgeklappt, um das letzte Verzeichnis mit veränderten Rechten zu sehen, dann verschwindet der Pfeil für das ursprüngliche Verzeichnis. Ein grünes Ausrufungszeichen deutet auf eine veränderte Berechtigungslage zum darüber liegenden Verzeichnis hin. Für jedes Verzeichnis wird das Datenvolumen innerhalb des Verzeichnisses und aller darunter liegenden Verzeichnissen angezeigt.

26 Anzeigen der veränderten Berechtigungen Es ist nun möglich, Details für die veränderten Berechtigungen unterhalb eines ausgewählten Verzeichnisses anzuzeigen. Dazu wird angeklickt: In dieser unteren Ansicht werden nun alle Verzeichnisse aufgelistet, die unterhalb eines ausgewählten Verzeichnisses abweichende Berechtigungen haben. In diesem Fall wurde der Pfad \\B-FILER01\fileserver\Engineering im oberen Fenster durch einen Klick ausgewählt. Im unteren Fenster werden nun alle Verzeichnisse aufgelistet, bei denen die Berechtigungslage unterschiedlich zum darüber liegenden Verzeichnis ist. Es wird angezeigt, ob für das jeweilige Verzeichnis die Vererbung ein oder ausgeschaltet ist, ob Berechtigungen gegenüber dem darüber liegenden Verzeichnis hinzugefügt oder weggenommen wurden und ob es sich im letzten Fall um eine unterbrochene/reduzierte Vererbungskette handelt. Über die Knöpfe können folgende Funktionen aufgerufen werden: öffnet den Explorer für das ausgewählte Verzeichnis. öffnet den Dialog Eigenschaften von Microsoft exportiert alle Pfade in ein.csv File bzw. öffnet es in Excel Des Weiteren existiert für jeden Pfad ein Kontextmenü in der folgenden Form: Hierüber kann man die Liste markieren und in die Zwischenablage kopieren, den Explorer für das Verzeichnis öffnen bzw. den Eigenschaftendialog aufrufen. Es besteht nun auch die Möglichkeit die Rechte zu bearbeiten oder das Logbuch zu öffnen.

27 27 Es besteht die Möglichkeit, sich durch Anklicken des Details Knopfes Details anzeigen zu lassen: nähere Der Bereich teilt sich nun und die veränderten Berechtigungen werden im Detail für das ausgewählte Verzeichnis angezeigt Möglichkeiten der Berechtigungseinträge Im folgenden werden mögliche Beispiele für Berechtigungseinträge gezeigt. Die Anzeige informiert darüber, aus welchem übergeordneten Verzeichnis (hier \\b-filer\e$) sich die Rechte ins aktuell ausgewählte Verzeichnis (hier \\bfiler\e$\pn) geändert haben. Die Details der Berechtigungen haben im Einzelnen folgende Bedeutungen: Wurde von einem User ein Verzeichnis unabhängig vom darüber liegenden Verzeichnis erstellt und erhielt dieses neue Verzeichnis unabhängige Rechte, dann existiert dafür keine Vererbung, d.h. die Vererbung ist aus. Sofern ein Verzeichnis seine Berechtigungen abhängig zum darüber liegenden Verzeichnis erhalten hat (wie in unserem Beispiel), ist die Vererbung an. Liegt eine Vererbung mit teilweise modifizierter Berechtigungslage also eine reduzierte Vererbung vor, wird dies auch im Detailfenster durch angezeigt. Das aktuelle Verzeichnis kann folgende in Abhängigkeit zum darüber liegenden Verzeichnis besitzen: gleich (=), erweitert (+), vermindert (-) oder auch erweitert und vermindert (+/-). Zur näheren Erläuterung sind nachfolgend mehrere Fälle beschrieben. Durch die Rechtevergabe für ein Verzeichnis bekommt der User/die Gruppe bestimmte Berechtigungen zugewiesen. Davon unabhängig kann jede Berechtigung zusätzlich verweigert werden. Das Häkchen Verweigern ist immer vorrangig. Trotz eines zugelassenen Zugriffsrechts verfügt der User durch das aktivierte Verweigern dennoch nicht über die Berechtigung für die entsprechende Aktion.

28 28 Die Tabelle in der Detailansicht zeigt detailliert, für welche User, Gruppen bzw. Computer sich welche Zugriffe verändert haben und wie diese geänderten Zugriffsberechtigungen aktuell aussehen. Bedeutung der Tabellen-Spalten: = Vollzugriff, = Ändern, = Lesen, = Schreiben, = Spezial (Sonderrechte) Für jeden Eintrag wird mit dargestellt, ob das Recht für dieses Verzeichnis, alle untergeordneten Verzeichnisse oder die enthaltenen Dateien gilt. Fall 1: Wurden Berechtigungen erweitert (+), so wird dies in den Details angezeigt durch. User Christian Zander hat mit Hinzufügen der Rechte auf Vollzugriff zugleich auch alle anderen Rechte erhalten: Fall 2: Im Falle, dass Berechtigungen vermindert (-) wurden, zeigt sich dies durch. Hier wurden für User sa-tfs sowie für Gruppe pn-entwicklung Rechte auf Zugriff Ä, L und S entzogen. Für User Admin Daniel wurden ehemals vergebene Leserechte entfernt: Fall 3: Sofern sich bereits existierende Berechtigungen in einem Verzeichnis geändert haben, wird dies dargestellt durch. In der Tabelle wird in den Spalten rechts neben dem Pfeil die neue Berechtigungslage im Vergleich zur alten (links neben dem Pfeil) angezeigt:

29 29 Fall 4: Weiterhin existiert die Möglichkeit, dass für ein und das selbe Verzeichnis Berechtigungen erweitert und gleichzeitig andere Berechtigungen vermindert (+/-) bzw. geändert wurden. Entsprechend wird für jede Art der Berechtigungsänderung eine separate Tabelle mit der aktuellen Berechtigungssituation gezeigt: Berechtigungen im Detail Eine weitere Möglichkeit ist, die Berechtigungen für das Verzeichnis im Detail anzuzeigen. Bei Auswahl des letzten Punktes im Kontextmenü oder bei Klicken auf Spalte mit einer oberen und unteren Ansicht: öffnet sich eine rechte

30 30 Im rechten oberen Bereich sind die Berechtigungsarten aufgelistet, die zu dem ausgewählten Verzeichnis existieren. Durch Aufklappen der Baumstruktur zeigt sich, durch welche Gruppen die Mitarbeiter die jeweilige Berechtigung bekommen haben oder ob Sie direkt administriert wurden: Durch ein wird angezeigt, dass das Recht nicht vererbt wurde. Ein wiederum weist auf ein vererbtes Recht hin. Durch Auswählen einer Berechtigung im rechten oberen Feld wird im rechten unteren Feld eine flache Liste der berechtigten Personen angezeigt, aufgelöst über alle Gruppenverschachtelungen. Diese Liste kann bearbeitet werden wie die Kinderliste in den vorangegangenen Kapiteln. Sollte ein Nutzer Berechtigungen über mehrere Pfade erhalten, wird dies in der Liste rechts unten durch ein und die entsprechende Zahl in der Spalte wie oft berechtigt angezeigt. Über welche Pfade der Nutzer die Rechte hat kann durch Anklicken des Nutzers sichtbar gemacht werden:

31 31 Es ist außerdem möglich, über das Kontextmenü (Klick auf rechte Maustaste) einen Benutzer oder eine Gruppe aus der rechten Spalte auszuwählen, um die entsprechenden Berechtigungen im linken Feld anzuzeigen. Rechts oben wird außerdem angezeigt, ob für das Verzeichnis die Vererbung eingeschaltet ist und wer der Besitzer ist. Über den Schalter kann einstellt werden, ob man alle Rechte sehen möchte oder nur die, die nicht vererbt wurden Freigabe bzw. Share Rechte anzeigen Ist das ausgewählte Verzeichnis eine Freigabe (Share), gibt es die Möglichkeit über entweder Freigabe oder NTFS Rechte anzuzeigen. Anzeige der NTFS Rechte

32 32 Anzeige der Freigabe Rechte Die Funktionen zur Anzeige der berechtigten Nutzer sind dann für beide Funktionen identisch Grafische Berichte für ein Verzeichnis erstellen Es ist möglich die Berechtigungssituation für ein Verzeichnis in einem grafischen Ausdruck bereitzustellen. Dies kann sinnvoll sein, wenn man Abteilungsleiter oder Dateneigentümern eine Einblick in die Berechtigungen gewähren möchte, bzw. ihn die Berechtigungssituation abzeichnen oder kommentieren lassen möchte. Hierzu wählt man aus, ob man den Bericht mit Gruppenstruktur oder ohne Gruppenstruktur (flache Liste) erzeugen möchte. Ein Klicken auf erzeugt dann den entsprechenden Bericht mit Hinweis auf die Scan-Zeit:

33 33 Ist für eine Freigabe die Ansicht der Freigaberechte gewählt, dann wird der Bericht für die Freigaberechte erstellt Verzeichnisse und Freigaben nochmals scannen Sollen aktuelle Änderungen außerhalb von 8MAN seit dem letzten Scan übernommen werden, gibt es über das Kontextmenü die Möglichkeit ein Verzeichnis und alle darunter liegenden Verzeichnisse neu zu scannen:. Diese Scandaten werden dann in den neuesten Scan in der SQL Datenbank übernommen Verzeichnisse anlegen und Verzeichnisrechte bearbeiten Im Verzeichnisbaum ist es möglich über das Kontextmenü unterhalb eines Verzeichnisses weitere Verzeichnisse anzulegen (Kapitel 6.13) oder die Verzeichnisrechte für das gewählte Verzeichnis zu ändern (Kapitel 6.14).

34 Anlegen von neuen Verzeichnissen Diese Funktion kann über das Kontextmenü in der Baumansicht in der Anwendung Dateisystem aufgerufen werden. Alternativ kann über den Button in der rechten oberen Ecke in der Ansicht Verzeichnisrechte diese Funktion aufgerufen werden. Das Verzeichnis wird dann unterhalb des aktuell ausgewählten Verzeichnisses angelegt. Nach Eingabe des Dateinamens muss auch hier wieder ein Kommentar eingegeben werde. Erst dann kann das Verzeichnis erstellt werden. Es werden die Berechtigungen des darüber liegenden Verzeichnisses geerbt Vergabe von Berechtigungen Diese Ansicht kann sowohl von der Startseite, von der Menüleiste links oder über das Kontextmenü aus der Dateisystemansicht aufgerufen werden. Die Vergabe von Berechtigungen kann nun entweder als direkter Eintrag in die ACL vorgenommen werden. Allerdings empfiehlt Microsoft, Berechtigungen nur über spezielle Rechte-Gruppen zu vergeben. Diese Gruppen sollen nur für die Berechtigung an einer speziellen Ressource zuständig sein.

35 35 Die Aufgabe, Rechtegruppen zu erstellen und zu verwalten übernimmt 8MAN. Die entsprechenden Einstellungen sind über das Konfigurationsprogramm möglich. Siehe nächstes Kapitel. Hinweis: Sollen Berechtigungen für ein Verzeichnis temporär vergeben werden, so ist dies nur bei eingeschaltetem Gruppenassistenten möglich. Siehe hierzu auch Kapitel 6.9 (temporäre Berechtigungsvergabe) und Kapitel (Gruppenassistent) Konfiguration des Gruppenassistenten Die Konfiguration der Administrationsfunktionalität geschieht über das Programm 8MAN Config und hier die Gruppenassistent-Konfiguration: Über die folgende Ansicht werden die entsprechenden Einstellungen konfiguriert: Zusammenstellen des Gruppennamens Um eine entsprechende Standardisierung bei der Berechtigungsvergabe umzusetzen bietet 8MAN an, lokale und globale Berechtigungsgruppen anzulegen. Damit werden Direktberechtigungen vermieden und eine einheitliche Vergabestruktur aufgesetzt. Es ist damit auch nicht notwendig, eigene Gruppenstrukturen für Berechtigungen aufzusetzen. Es wird standardmäßig empfohlen nur lokale Gruppen anzulegen. 8MAN bietet für diese Berechtigungsgruppen eine Namensgebung an, die über das Programm 8MAN Config individuell gestaltet werden kann.

36 36 In dem obersten Bereich wird die Grobstruktur des Gruppennamens definiert. Über die Auswahl der Formate kann man den Gruppennamen zusammenstellen. Jede Information (Präfix, Gruppenkennung, Pfad und Zugriffsrecht) kann nur einmal verwendet werden. Wird es an einer anderen Stelle eingeschaltet, wird es an der vorherigen Stelle automatisch entfernt. Es kann hier auch die generelle Verwendung des Gruppenassistenten ein oder ausgeschaltet werden. Ist der Gruppenassistent aktiviert kann man noch auswählen ob nur lokale Gruppen oder lokale und globale Berechtigungsgruppen im AD angelegt werden:. Es besteht die Möglichkeit die Berechtigungsänderungen zu Verzögern. Dies dient dazu, dass bei Anlegen von Ressourcengruppen die Nutzer sich nicht neu anmelden müssen. Würde die Änderung sofort umgesetzt wäre dies notwendig, auch wenn sich die Berechtigungssituation nicht geändert hat. In den folgenden Bereichen können nun weitere Details zu den Namen festgelegt werden. Hier können für den Gruppennamen die Kürzel für die verschiedenen Gruppenarten sowie das Trennzeichen festgelegt werden. Der Präfix kann ein freier Text sein, oder ein Pfad aus der OU mit einer zu wählenden Anzahl von Verzeichnissen:. Hier besteht die Möglichkeit die ersten oder letzten Verzeichnisse auszuwählen. Hier können die Vorgaben für den Pfad gemacht werden, der im Gruppennamen auftaucht. Der Pfad ist wichtig, um bei einem Verschieben oder Umbenennen die frühere Herkunft ggf. einfach wiederherstellen zu können. Die Anzahl und welche Verzeichnisse gewählt werden, oder ob der komplette Pfad, ab Server oder ab Freigabe angegeben wird kann eingestellt werden.

37 37 Hier wird festgelegt welche Gruppen angelegt werden. Soll auch eine Listgruppe angelegt werden muss Ordnerinhalt anzeigen angeklickt werden. Ein Suffix muss zusätzlich angegeben werden, um die Gruppen einfach zu unterscheiden Ausschließen von Usern und Gruppen vom Berechtigungsänderungen In der Schwarzen List können die User und Gruppen festgelegt werden, deren Berechtigung durch 8MAN nicht verändert werden sollen Status und Freigeben der Konfiguration Die abschließende Analyse zeigt an, ob es zu Fehlern in der Konfiguration kam. Um die Einstellungen zu aktivieren muss diese mit aktiviert werden Verzeichnisrechte bearbeiten von der Startseite Durch das Icon auf der Startseite kann man direkt in die Bearbeitung der Rechte für ein Verzeichnis einsteigen:

38 38 Über die Suche kann man das gewünschte Verzeichnis finden. Im Kommentarfeld kann schon die Begründung für die Rechteänderung eingetragen, bzw. hineinkopiert werden (z.b. Ticket Nummer). Über den grünen Pfeil springt man dann in die Bearbeiten Ansicht (Kapitel ) Funktionen der Ansicht Verzeichnisrechte Generell besteht auch hier die Möglichkeit das Verzeichnis auszuwählen, das administriert werden soll:. Es besteht die Möglichkeit ein neues Verzeichnis anlegen zu lassen: Um das neue Verzeichnis zu erstellen ist auch immer ein Kommentar notwendig. Erst dann wird die Funktion aktiviert Vergabe von Rechten Innerhalb von 8MAN, über die Verzeichnisrechteansicht können Nutzern Rechte an Verzeichnissen vergeben werden. Diese Nutzer können in der Ablage gesucht werden, bzw. Texte können über werden: hineinkopiert

39 39 In diesem Beispiel wurde der Text einer vollständig über die Zwischenablage eingefügt. Die Nutzer und Gruppen, die gleich über das AD aufgelöst werden können werden entsprechend grün markiert. Gibt es mehrere Einträge, so kann man sie mit aufklappen und auswählen. Werden Namen nicht erkannt, kann man sie nachträglich korrigieren:. Man kann auch durch das Auswahlfeld zusätzliche User oder Gruppen suchen. Auch über die Suche im Rahmen können Nutzer und Gruppen in die Ablage hinzugefügt werden: Nun ist es möglich die Nutzer und Gruppen in den entsprechenden Rechtebereich zu verschieben (Drag & Drop): Die neuen Einträge werden mit einem grünen Kreuz gekennzeichnet Ändern von Rechten Per Drag & Drop ist es nun auch möglich Rechte zu verändern. Das vorhergehende Recht wird durch den durchgestrichenen User/Gruppenname deutlich gemacht, im neuen Recht wird das Symbol ergänzt.

40 40 Es ist möglich alle Rechte zu entziehen, indem man die Gruppe oder den User durch Drag & Drop in die Ablage zieht: gemacht werden. Der Vorgang kann jederzeit durch zurückziehen wieder rückgängig Sonstige Berechtigungen Alle Berechtigungen, die nicht den eingestellten (8MAN Config) Standardberechtigungen entsprechen werden unter Sonstige Berechtigungen aufgeführt. Es wird im Detail angezeigt worin diese Berechtigungen bestehen und für welche Ordner und Dateien sie gelten. Durch ein Mouseover werden auch die Details zu den grünen Haken erklärt. Diese User und Gruppen können nun durch Drag & Drop in eine der Standardberechtigungen verschoben werden. Ein Rückgängigmachen ist allerdings in diesem Fall nur möglich, wenn mit alle Änderungen verworfen werden Ansicht bei eingeschaltetem Gruppenassistenten In der Rechteansicht werden die Berechtigungen entsprechend der Einstellung dargestellt. Im oberen Bereich werden die jeweiligen ACL Einträge angezeigt. Wird der Gruppenassistent verwendet und sind für ein Verzeichnis spezielle Rechtegruppen eingerichtet, so werden die Mitglieder im unteren Bereich des jeweiligen Rechts angezeigt: Eine Administration ist nun in allen Feldern möglich. Ist der Gruppenassistent eingeschaltet, so werden Mitglieder und Gruppen, die in die oberen Felder gezogen werden den lokalen Rechtegruppen zugewiesen, werden also nicht direkt berechtigt. Sollen Rechte temporär für ein Verzeichnis für ein Verzeichnis vergeben werden, so sollte man die Nutzer in den unteren Bereich einfügen. Dann kann auch das Ablaufdatum eingerichtet werden:

41 41 Sind für ein Verzeichnis noch keine speziellen Gruppen angelegt worden, so sind diese in einem ersten Durchlauf mit den Nutzern zu generieren. Die Nutzer können dann in einem zweiten Durchlauf temporär berechtigt werden Änderungen anwenden Über kann man nun alle gemachten Änderungen umsetzen: Gruppenassistent - Optionen Nur wenn in der 8MAN Konfiguration der Gruppenassistent aktiviert wurde, wird der Bereich Gruppenassistent Optionen hier angezeigt, ansonsten ist der Bereich ausgeblendet. Falls der Gruppenassistent aktiviert ist, können Sie ihn hier noch einmal explizit deaktivieren. Weiterhin können Sie festlegen, ob er nur auf die geänderten Rechte oder alle Rechte (Aufräumen) angewandt werden soll. Die Namensvorgabe für die AD Gruppen kann bei Bedarf nochmals angepasst werden. Grundsätzlich werden die Anmeldeinformationen des konfigurierten Scans verwendet, wenn diese nicht ausreichen, werden sie an dieser Stelle noch abgefragt.

42 42 Nach einem Klick auf berechnet der 8MAN Server die notwendigen Änderungen. Abhängig von den Einstellungen und den Berechnungen des 8MAN Servers werden die geplanten Änderungen dann angezeigt. Zum einen als vereinfachte Ansicht, in der nur die effektiven Änderungen angezeigt werden: Zum anderen also detaillierte Ansicht, in der alle Änderungen aufgeschlüsselt werden: Falls seit dem aktuellsten Scan bereits auf dem Filesystem Berechtigungsänderungen vorgenommen wurden, muss ein Rescan vom 8MAN Server durchgeführt werden. Wenn also obige Meldung angezeigt wird, muss dieser Scan durchgeführt werden, indem Sie auf die Schaltfläche Starte Scan drücken. Der Änderungen anwenden - Dialog muß dann geschlossen und erneut geöffnet werden, nachdem der Scan abgeschlossen ist, um die Berechtigungsänderungen umzusetzen. Der Kommentar wird nach den Änderungen als Logbucheintrag sowohl am Benutzer als auch am Verzeichnis angezeigt. Nachdem die Änderungen vom 8MAN Server durchgeführt wurden erscheint folgende Anzeige.

43 Der 8MAN Server liest dann noch einmal die geänderten Verzeichnisse und Active Directory Einträge auf dem Fileserver und aus dem Active Directory. Sobald diese Scans durchgeführt sind, werden auch die Daten auf den verschiedenen Screens aktualisiert. 43

44 44 7 Szenarien und Use cases Im folgenden Kapitel werden exemplarisch verschiedene Szenarien und Usecases beschrieben, die die Arbeitsweise mit 8MAN verdeutlichen. Diese Szenarien sind nur als Beispiele zu sehen. Es gibt sicher noch viele weitere abhängig vom individuellen Anwendungsfall des Nutzers. 7.1 Worauf hat ein Nutzer Berechtigungen? Der einfachste Einstieg geht über das Szenario der Startseite. Die Startseite erreicht man von jeder Seite der Applikation über die linke Spalte mit den Anwendungen durch Klicken auf den Knopf Startseite. Durch Anklicken von <hinzufügen> bei Benutzer/Gruppen oder Fileserver können nun ein oder auch mehrere Elemente ausgewählt werden. Es öffnet sich hierfür eine Liste, aus der die entsprechenden Elemente ausgewählt werden können. In unserem Beispielfall filtern wir aus der Liste mit dem Filter und der Eingabe von su Susi Support heraus und bestätigen die Auswahl mit einem Doppelklick mit der linken Maustaste: Durch Klicken auf Susi Support im Szenario Feld kann der Benutzer auch wieder entfernt werden. Da wir alle Server durchsuchen wollen, zu denen Susi Support Berechtigungen hat, wählen wir keinen Fileserver aus. Damit werden automatisch alle konfigurierten Fileserver durchsucht. Wir klicken jetzt auf den Ausführen Knopf, um uns die Berechtigungen von Susi Support auf allen Fileservern anzuschauen.

45 45 Es öffnet sich die Anwendung Dateisystem: Hier können wir jetzt durch Aufklappen der Baumstruktur unterhalb von Susi Support sämtliche Verzeichnisse sehen, auf die die Mitarbeiterin Zugriff hat. Möchte man nun zum Beispiel wissen, welchen Zugriff Susi auf das Vorlagen Verzeichnis hat und woher sie ihn bekommt: durch Klicken auf öffnet sich die rechte Spalte und gibt die Rechtesituation für das Verzeichnis wieder. Der grüne Pfeil weist auf den gesuchten Nutzer hin. Details können durch Aufklappen des Baumes dargestellt werden, z.b. über welche Gruppe Susi Support den Zugriff bekommt. Durch Anklicken einer Berechtigungsart im oberen Feld zeigt der untere Bereich in einer flachen Liste alle Nutzer an, die die gleiche Berechtigung auf die gewählte Ressource haben. Durch das Kontextmenü kann Susi Support nun auch im Active Directory angezeigt werden und ihre Gruppenzugehörigkeiten dargestellt werden:

46 Bekannte Sicherheits-IDs Auf der Startseite können mit dem Szenario Wer hat worauf Zugriff neben den gescannten AD Gruppen und Nutzern auch bekannte SIDs ausgewählt werden (Beispiel: Jeder, Authentifizierte Benutzer, Ersteller-Besitzer etc). Bekannte SIDs werden durch das farbige Benutzersymbol dargestellt. Sollte eine bekannte SID als Objekt (Benutzer oder Gruppe) im Active Directory vorliegen, wird die bisherige Art der Darstellung verwendet (siehe Richtlinien-Ersteller-Besitzer). Bekannte SIDs sind lokalisiert und werden je nach ausgewählter Sprache benannt ( Jeder vs. Everyone ). Die Funktion Zeige Berechtigungen von Bekannter SID lässt sich auch über das Kontextmenü in der Dateisystemansicht aufrufen, wenn diese z.b. als berechtigte SIDs angegeben werden. 7.2 Wer hat auf ein bestimmtes Verzeichnis Zugriff? Möchte man wissen, wer auf ein bestimmtes Verzeichnis Zugriff hat, klickt man in der Anwendungsleiste auf den Knopf Dateisystem. Hier werden nun alle konfigurierten Fileserver

47 47 angezeigt, entweder in Shareansicht oder NTFS Ansicht. Durch Aufklappen der Baumstruktur kann man das gewünschte Verzeichnis auswählen: Wir möchten zum Beispiel wissen, wer im Adminverzeichnis Zugriff auf den Bereich Programme\PC-Kaufmann hat. Dazu klappen wir mit die rechte Spalte mit den Details zur Berechtigung auf. Es wird hier nur eine Art von Zugriffsrechten angezeigt: Möchte man nun wissen, wer Vollzugriff hat, wählt man mit einem Klick auf die linke Maustaste die Berechtigungsart aus und erhält im unteren Bereich die flache Liste mit den entsprechend berechtigten Nutzern. Hier ist ein Beispiel für die Berechtigung Vollzugriff gezeigt: Die Liste kann nun markiert, kopiert und in anderen Applikationen weiterverarbeitet werden. Es ist auch möglich, über ein Kontextmenü einen der Nutzer zu fokussieren und sich dessen Berechtigungen in den Fileservern anzeigen zu lassen. 7.3 Report: Wer hat auf ein Verzeichnisbaum oder einen Share Zugriff? Manchmal kommt es vor, dass man die aktuelle Berechtigungssituation auf einen Share oder in einem Verzeichnisbaum dokumentieren oder überprüfen möchte. Zum Beispiel möchte man einem Dateneigentümer die Zugriffsrechte zu seinen Daten darstellen und ihn zu einer Kommentierung auffordern. Dazu kann man auf der Startseite das Scenario Report auswählen:

48 48 Jedem Report kann man einen Titel und Kommentar frei zuweisen. Der Titel wird im Namen der zu speichernden Datei wiederverwendet. Die Anzahl der Verzeichnisebenen kann gewählt werden, von unendlich abwärts. Es kann ausserdem gewählt werden, ob nur darunterliegende Verzeichnisse mit geänderten Berechtigungen angezeigt werden und ob Gruppen in den Spalten gleich zu Nutzern aufgelöst werden. Über den Schalter kann man bestimmen, ob in der zu erzeugenden Tabelle die Gruppen/User oder die Berechtigungsarten berichtet wird. Beispiel: Der Dateneigentümer des Verzeichnisses Vorlagen möchte einen Report über die Veränderungen unterhalb, nach Nutzern aufgeschlüsselt: Das ausgewählte Verzeichnis wird über das Kontext Menü hinzugefügt. Der Bericht wird nun erstellt und der Zeitpunkt der Fertigstellung angezeigt: Dauert die Erstellung eines Reports länger, kann man durch betätigen des Schalters: einen weiteren Report starten. Nach Fertigstellung, kann der Report nun entweder abgespeichert oder durch einen neuen Report ersetzt werden:

49 49 Befindet sich Microsoft Excel in der Umgebung, wird dieses nach der Speicherung mit dem Report gestartet und der Report geöffnet. 7.4 Welche Gruppen gibt es im AD und wie hängen sie zusammen? Über das AD Dashboard, das man über das Anwendungsmenü von jeder Seite aus aufrufen kann, erhält man eine Liste mit den verschiedenen Gruppentypen im Active Directory: Möchte man zum Beispiel die Verteilergruppen analysieren, kann man durch Doppelklick auf die Verteilergruppe zur Mehrfachauswahl wechseln und sich alle Details zu den entsprechenden Gruppen anzeigen lassen: Möchte man wissen, ob es Überschneidungen der Gruppenmitglieder gibt, kann man nun die beiden Gruppen selektieren mit Halten der Strg-Taste und einem Klick jeweils mit der linken Maustaste. Es wird hier sehr einfach ersichtlich, dass der User René Vierkorn in beiden Gruppen enthalten ist. Die verschiedenen Listen können nun wieder über das Kontextmenü markiert und kopiert werden und mit anderen Anwendungen weiterverarbeitet werden. 7.5 Welche User sind in einer Gruppe? Immer wieder stellt sich nicht nur die Frage, welche User einer Gruppe zugeordnet sind, sondern auch, welche User durch eine Gruppe angesprochen werden und zwar über die entsprechenden Gruppenverschachtelung hinweg. Die gesuchte Gruppe findet sich am einfachsten über das zentrale Suchfeld auf der Startseite. Man kann hier die Suche auf Gruppen konzentrieren, um die Auswahl von vorneherein einzuschränken:

50 50 Durch Eingeben der ersten Buchstaben wird eine Liste von möglichen Gruppen angezeigt: Hierbei werden alle Gruppen angezeigt, die die Buchstabenfolge enthalten. Man kann nun mit den Cursor-Tasten und der Eingabe-Taste die gewünschte Gruppe auswählen oder direkt mit der Maus anklicken. Es öffnet sich dann die Struktur Ansicht des Active Directory: Die Gruppe wird als selektiertes Element in den Mittelpunkt gerückt. Sowohl ihre Kinder wie auch ihre möglichen Eltern werden angezeigt oder können aufgeklappt werden. Für Details zu den Kindern bzw. den Eltern kann über die gesamte Struktur aufgeklappt werden: Die jeweiligen Details können nun in der linken und rechten Spalte analysiert werden bzw. in anderen Anwendungen weiter verarbeitet werden.