Musterlösung. zwei. Anhang

Transkript

1

2 Basiskurs 1 zu Kapitel Dokumentenmanagement mit GroupWise Stellen wir uns folgendes Szenario vor: Die Lehrerin Birgit Adler (Benutzername AdlerB) plant ein Klassenfest mit den ersten Klassen. Zur Planung entwirft sie eine Liste, die die teilnehmenden Schüler / Schülerinnen ergänzen sollen. Hierzu erstellt sie einen freigegebenen Ordner in GroupWise und hinterlegt dort die Excel Tabelle. Die Schüler / Schülerinnen der Klassen 1A und 1B erhalten die Berechtigung, dieses Dokument zu ändern, aber nicht zu löschen. Somit kann jeder Schüler / jede Schülerin in GroupWise die Änderungen vornehmen. Birgit Adler kann sich jederzeit über den Stand der Eintragungen informieren. In den folgenden Abbildungen ist dargestellt, wie Annette Gross das Dokument bearbeitet und wie die Lehrerin Birgit Adler die Eintragungen prüft. Abbildung A. Gross öffnet GroupWise. Von B. Adler ist eine Benachrichtigung über den freigegebenen Ordner eingetroffen

3 Abbildung Als Erstes muss der neue Ordner bei AG installiert werden. Dieses Fenster öffnet sich nach einem Doppelklick auf die Mitteilung. Abbildung Ordner wird installiert

4 Basiskurs Abbildung Ordner ist installiert das Dokument wird angezeigt Abbildung AG ergänzt das Dokument

5 Abbildung Nach der Ergänzung und dem Abspeichern muss das Dokument wieder freigegeben werden - dies geschieht durch Klick mit der rechten Maustaste auf das Icon des Dokuments. Abbildung Dokument ist ergänzt und zurückgestellt

6 Basiskurs Birgit Adler öffnet nach Tagen wieder GroupWise, um die Ergänzungen anzuschauen. Abbildung Bisher nur eine Eintragung - wohl eine Mahnung per fällig. 1.2 Up- und Download mit FTP Unter Up- bzw. Download versteht man das Herunterladen von Daten in Form von Dateien von einem Server bzw. das Übertragen auf das Speichermedium des Servers. Dies ist vor allem dann notwendig, wenn man sich nicht im gleichen LAN wie der Server befindet, weil dann ein normales Kopieren nicht möglich ist. Für diese Aktionen muss auf dem Server ein FTP-Server gestartet sein. Unter Windows steht das Programm FTP zur Verfügung. Wesentlich bedienerfreundlicher ist allerdings das Programm WSFTP. In den folgenden Abbildungen wird die Übertragung einer Datei auf die lokale Workstation dargestellt

7 Abbildung Nach dem Aufruf des Programms erhält man das Anmeldefenster. Dort sind der Zielserver (Host Name oder IP Adresse ), der Benutzername und das Passwort einzutragen. Abbildung Nach erfolgreicher Anmeldung wird im linken Fenster ein Verzeichnis des Zielservers dargestellt. In unserem Beispiel das Home- Verzeichnis des Admins

8 Basiskurs Abbildung Die zu übertragende Datei wird auf dem Server markiert. Abbildung Auf der Workstation wird das Zielverzeichnis, in das die Datei übertragen werden soll, eingestellt. Durch Klicken auf die Pfeiltaste wird die Übertragung ausgelöst. Abbildung In einer Log-Datei im Zielverzeichnis wird der Filetransfer festgehalten. Im Beispiel ist dokumentiert, dass am um 08:01 Uhr die Datei index.html übertragen wurde

9 Übung 1.2 Filetransfer 1. Melden Sie sich nicht am Netzwerk an bzw. melden Sie sich ab. Rufen Sie das lokal installierte Programm WSFTP auf. Melden Sie sich per WSFTP als Lehrer Specht beim GSERVER02 an. Übertragen Sie von Ihrer lokalen Workstation eine Datei in Ihr Home-Verzeichnis auf dem Server

10 Basiskurs 2 zu Kapitel Rechte im Filesystem und Informationen zur NDS Dateirechte Die Tatsache, dass sich mehrere Benutzer dieselbe physikalische Festplatte auf dem Server teilen, erfordert die Einschränkung der Tendenz eines Mehrbenutzersystems zum Chaos. Bestimmte Bereiche dieser Festplatte müssen vor dem Zugriff anderer Benutzer geschützt werden. Dies sei nochmals an einem Beispiel verdeutlicht: gemeinsam genutzter Server Schüler-Arbeitsstationen \\server\sys\data\schüler1\lösung.doc \\server\sys\data\schüler2\lösung.doc Schüler1 lesen verboten lesen erlaubt Schüler2 Lehrer-Arbeitsstation Bei einer Klassenarbeit sollen die Schüler / Schülerinnen ihre Lösungen in einem Verzeichnis \DATA\SCHÜLERXY auf dem Server im Volume SYS (\\SERVER\SYS) speichern. Dazu sind folgende Rechte notwendig: Der Schüler / die Schülerin 1 muss in seinem / ihren Verzeichnis \DATA\SCHÜLER1 die Rechte haben, Dateien anlegen und schreiben zu dürfen. Falls er / sie beim Abspeichern den falschen Dateinamen angegeben hat, muss er / sie die Datei gegebenenfalls umbenennen bzw. löschen dürfen. Der Schüler / die Schülerin 2 muss dasselbe in seinem / ihrem Verzeichnis \DATA\SCHÜLER2 ausführen können. Schüler / Schülerin 2 darf jedoch auf keinen Fall die abgelegten Dateien von Schüler / Schülerin 1 in \DATA\SCHÜLER1 lesen, da er / sie sonst dessen / deren Lösung übernehmen könnte. Dasselbe gilt für den Schüler / die Schülerin 1: Er / Sie darf kein Leserecht für die Dateien im Verzeichnis \DATA\SCHÜLER2 haben. Schließlich gibt es noch den Lehrer / die Lehrerin: Er / Sie muss zur Korrektur das Recht haben, in allen Verzeichnissen

11 \DATA\SCHÜLERXY Dateien lesen zu dürfen, d.h. er / sie benötigt zumindest Leserechte auf die Schülerverzeichnisse. An diesem Beispiel wird deutlich, dass es unterschiedliche Arten von Rechten geben muss, z.b. Lese-, Schreib-, Löschrechte diese Rechte für bestimmte Ressourcen vergeben werden (in diesem Falle für Verzeichnisse). unterschiedliche Benutzer an derselben Ressource unterschiedliche Rechte haben können. Demzufolge unterscheidet NetWare acht verschiedene Rechte, die für Verzeichnisse oder Dateien vergeben werden können. Diese sind in der folgenden Tabelle aufgelistet. Aus den vielen möglichen Rechtekombinationen sind eigentlich nur drei besonders gebräuchlich: Wenn ein Benutzer in einem Verzeichnis Dateien erstellen, verändern, umbenennen und löschen können soll, so benötigt er [-RWECMF-] -Rechte in diesem Verzeichnis. Das A-Recht sollte ihm nicht gegeben werden, damit er die Zugangsrechte zu diesem Verzeichnis nicht verändern kann, sich insbesondere selbst nicht den Zugang zu seinem Verzeichnis und den Dateien in dem Verzeichnis nehmen kann. Aus dem gleichen Grund erhält er nicht das S-Recht, da dieses Recht alle anderen Rechte beinhaltet. Wenn ein Benutzer in einem Verzeichnis vorhandene Programmdateien ausführen soll, so benötigt er die Rechtekombination [-R----F-]. Andere zusätzliche Rechte sollte er in diesem Verzeichnis nicht bekommen, damit er z.b. im Programmverzeichnis von MS-Word nicht unbeabsichtigte Änderungen (Dateien löschen oder überschreiben) vornehmen kann. Der Systemverwalter benötigt das [S ] Recht, um seine Aufgaben (z.b. Vergabe von Rechten) wahrnehmen zu können. Abkürzung Recht Bedeutung für Verzeichnisse [-R------] Read Recht Dateien in dem Verzeichnis können geöffnet und gelesen werden. [------F-] Filescan- Recht Erlaubt die Auflistung von Dateien und Unterverzeichnissen z.b. mit dem DIR-Befehl oder dem Explorer. Bedeutung für Dateien Datei kann z.b. mit Notepad geöffnet werden, wenn der Name der Datei bekannt ist. Auflistung der Datei im Explorer möglich, auch wenn dem Verzeichnis das F-Recht fehlt

12 Basiskurs [-R----F-] [--W-----] [----C---] [--W-C---] [---E----] [-----M--] Write- Recht Create- Recht Wenn ein Benutzer in einem Verzeichnis neue Dateien anlegen möchte, benötigt er die Rechtekombination aus Write- und Create- Rechten auf das Verzeichnis. Erase- Recht Modify- Recht Ein Benutzer muss die Kombination aus R+F- Rechten auf eine Programmdatei (*.com, *.exe, *.bat) besitzen, wenn er die Programmdateien ausführen möchte. In dem Verzeichnis vorhandene Dateien können z.b. mit Notepad verändert werden. Es ist nicht möglich, neue Dateien im Verzeichnis zu erstellen. Erlaubt das Anlegen von Verzeichnissen und Dateien in dem Verzeichnis. In die vorhandene Datei kann geschrieben werden (mit R+F kann die Datei zwar im Editor geöffnet werden, aber der Versuch, eine Änderung abzuspeichern, scheitert mit einer Fehlermeldung). Eine versehentlich gelöschte Datei kann wiederhergestellt werden. Erlaubt das Löschen des Verzeichnisses sowie eventueller Unterverzeichnisse und in dem Verzeichnis vorhandener Dateien. Erlaubt die Änderung des Verzeichnisnamens und das Umbenennen von Unterverzeichnissen und Dateien in dem Verzeichnis. Ebenso können die Attribute des Verzeichnisses verändert werden. Zur Funktion von Attributen siehe Abschnitt Erlaubt nur das Löschen der betreffenden Datei. Erlaubt das Umbenennen der Datei und die Veränderung ihrer Dateiattribute (Read only, Hidden, System etc.). Unabhängig davon funktioniert der Menüpunkt Datei - Speichern unter auch mit R+F+W+C

13 [ A] [S ] Access Control Supervisor -Recht Erlaubt dem Benutzer, die Rechte an einem Verzeichnis sowie an eventuellen Unterverzeichnissen und Dateien zu verändern. Beinhaltet alle oben aufgeführten Rechte. Sollte einem normalen Benutzer nie gewährt werden. Tabelle-1: Verzeichnis- und Datei-Rechte unter NetWare 5/6 Erlaubt die Veränderung der Rechte an der Datei. Dieses Recht sollte ein Administrator dem durchschnittlichen Benutzer nicht gewähren, da dieser sich dann unbedarft die Zugangsrechte zu seinen Dateien nehmen könnte. Dies würde zu der bei Administratoren beliebten Fehlermeldung Können Sie mal gucken, es geht nicht! führen. Beinhaltet alle oben aufgeführten Rechte. Sollte einem normalen Benutzer nie gewährt werden. Für das obige Beispiel der Klassenarbeit sind nun folgende Rechtekombinationen für die Schüler / Schülerinnen und den Lehrer / die Lehrerin erforderlich: Jeder Schüler / jede Schülerin bekommt auf sein / ihr Verzeichnis (und nur auf dieses) die Rechtekombination [-RWECMF-]. Eventuell kann man Schülern / Schülerinnen, die noch unerfahren im Umgang mit Win95 sind, das E-Recht nehmen, so dass sie durch versehentliches Klicken im Explorer ihre Datei nicht löschen können. Der Lehrer / die Lehrerin bekommt dieselbe Rechtekombination, jedoch im Gegensatz zu den Schülern / Schülerinnen auf alle Schülerverzeichnisse. Um versehentliches Löschen von Dateien seitens des Lehrers / der Lehrerin zu verhindern, würde auch die Rechtekombination [-R----F-] ausreichen. Die Rechte ermöglichen das Anzeigen und Lesen der Schülerdateien Verzeichnis- und Dateiattribute Zusätzlich zu Verzeichnis- und Dateirechten bietet NetWare die Möglichkeit, jedem Verzeichnis und jeder Datei sogenannte Attribute zuzuordnen

14 Basiskurs Attribute sind bestimmte Eigenschaften (z.b. Read only), mit denen Verzeichnisse und Dateien ausgestattet werden können (die Zuweisung von Attributen wird als FLAGGEN bezeichnet). Dabei besitzen die Attribute Vorrang gegenüber allen Zugriffsrechten, so dass sich auch ein Netzwerkadministrator mit dem S-Recht den Vorgaben der Attribute zu unterwerfen hat. Wie bei den Zugriffsrechten auf das Dateisystem sind Attribute sowohl für Verzeichnisse als auch für Dateien verfügbar. Normalerweise werden Attribute nur in Ausnahmefällen benötigt. Directory-Attribute Attribute, die einem Verzeichnis des NetWare-Dateisystems zugeteilt sind, werden als Directory Attributes bzw. Verzeichnisattribute bezeichnet. Verzeichnisattribute beziehen sich auf alle Dateien, die in einem gegebenen Verzeichnis enthalten sind. Die bei NetWare vorhandenen Verzeichnisattribute sind in untenstehender Tabelle aufgeführt. Standardmäßig wird ein Verzeichnis mit keinem Verzeichnisattribut versehen. Um ein bestimmtes Verzeichnisattribut zu aktivieren, muss dieses also manuell vergeben werden. Dies geschieht auf der Kommandozeile oder in einer Batch-Datei mit dem flag Kommando oder über das NDS- Verwaltungsprogramm ConsoleOne. Zu berücksichtigen ist, dass Verzeichnisattribute ausschließlich für die im betreffenden Verzeichnis enthaltenen Dateien Gültigkeit besitzen. Ist in einem Verzeichnis ein Unterverzeichnis enthalten, besitzt dieses ebenfalls standardmäßig kein einziges Verzeichnisattribut. Diese müssen dem Unterverzeichnis ebenfalls explizit zugewiesen werden. Abschließend ein Beispiel zur Wirkungsweise von Verzeichnisattributen: Selbst wenn ein Benutzer im aktuellen Verzeichnis über das effektive Zugriffsrecht ERASE bzw. LÖSCHEN verfügt und somit auch Unterverzeichnisse löschen kann, darf er ein Unterverzeichnis, welches das Verzeichnisattribut DELETE INHIBIT bzw. LÖSCHEN GESPERRT besitzt, nicht löschen. Verwenden Sie das Verzeichnisattribut IMMEDIATE COMPRESS bzw. SOFORT KOMPRIMIEREN nicht für Verzeichnisse, in denen sich Dateien befinden, auf die die einzelnen Benutzer häufig zugreifen (zum Beispiel für das Windows-Verzeichnis oder andere Programm-Verzeichnisse), da ansonsten durch ständige Dekomprimiervorgänge die Performance absinken kann. Dies gilt in besonderem Maße für die von NetWare selber verwalteten Verzeichnisse SYS:PUBLIC und SYS:SYSTEM (in SYS:SYSTEM befinden sich zudem viele der Systemdateien von NetWare, deren Komprimierung teilweise sogar zu Fehlern führen kann). Sinnvoll wäre dieses Verzeichnisattribut dagegen für die Verzeichnisse unterhalb von SYS:DOC, in denen üblicherweise die elektronische Dokumentation zu NetWare installiert werden kann (hier spielt es eine untergeordnete Rolle, dass Benutzer beim Abrufen eines Dokuments längere Ladezeiten in Kauf nehmen müssen, denn die Platzersparnis ist erheblich)

15 Dateiattribute Als Dateiattribute bezeichnet Novell die Attribute, die einer Datei zugewiesen werden können. Auch DOS kennt Dateiattribute, und zwar READ ONLY, HIDDEN, SYSTEM und ARCHIVE BIT. Ihre Funktion entspricht vollständig den Dateiattributen von NetWare, jedoch bietet NetWare eine weitaus größere Dateiattribut-Vielfalt als DOS. Standardmäßig erhält jede Datei das Dateiattribut READ/WRITE bzw. LESEN/ SCHREIBEN, um einen normalen Zugriff zu ermöglichen. Noch ein paar Worte zu den Dateiattributen: Wenn eine Datei als SHAREABLE bzw. GEMEINSAM BENUTZBAR geflaggt ist, sollte sie unbedingt auch das Dateiattribut READ ONLY bzw. NUR LESEN besitzen, um ausschließlich Lesezugriffe zuzulassen. Andernfalls - also bei einer Kombination der beiden Dateiattribute SHAREABLE bzw. GEMEINSAM BENUTZBAR und READ WRITE bzw. LESEN / SCHREIBEN - kann es zu unkontrollierbaren und chaotischen Datenverlusten kommen! Wenn eine Datendatei (die Kundendatei zum Beispiel) von mehreren Benutzern zu ein und demselben Zeitpunkt verändert werden kann, sind auch mehrere Benutzer dazu in der Lage, zur selben Zeit ein und denselben Datensatz (beispielsweise einen Kunden) zu verändern, und zwar unkontrolliert! Mit den Dateiattributen SHAREABLE bzw. GEMEINSAM BENUTZBAR und READ ONLY bzw. NUR LESEN wird diese Möglichkeit ausgeschlossen. Oftmals werden die zu einem Programm gehörigen Dateien oder Konfigurationsdateien auf SHAREABLE bzw. GEMEINSAM BENUTZBAR und READ ONLY bzw. NUR LESEN gesetzt, um oder mehreren Benutzern zum selben Zeitpunkt den Aufruf des Programms zu ermöglichen. Datendateien sollten aber nicht als SHAREABLE bzw. GEMEINSAM BENUTZBAR geflaggt werden! Wenn ein Benutzer auf eine Datei das effektive Dateirecht WRITE bzw. SCHREIBEN besitzt, ist er dazu berechtigt, den Inhalt dieser Datei abzuändern. Der Versuch des Schreibzugriffes scheitert allerdings, wenn die Datei das Dateiattribut READ ONLY bzw. NUR LESEN besitzt, so dass eine Veränderung der Datei nicht möglich ist

16 Basiskurs Abkürzung Attribut Wirkung auf Verzeichnisse [H ] HIDDEN Verbirgt ein Verzeichnis, so dass es bei einer Inhaltsverzeichnis- Auflistung mit dem Befehl DIR nicht mehr erscheint. Ein Löschen oder Kopieren des Verzeichnisses ist ebenfalls nicht mehr möglich. Wirkung auf Dateien Versteckt eine Datei, so dass diese in einem Inhaltsverzeichnis etwa beim DIR-Befehl nicht mehr erscheint. Ein Kopieren oder Löschen dieser Datei ist damit nicht mehr möglich

17 [-Sy------] SYSTEM Weist ein Verzeichnis als System-Verzeichnis aus. Bei einer Inhaltsverzeichnis- Auflistung mit DIR wird ein solches Verzeichnis nicht mehr angezeigt. Darüber hinaus kann das Verzeichnis weder gelöscht noch kopiert werden. [--P-----] PURGE Bewirkt, dass in diesem Verzeichnis alle Dateien, die einmal gelöscht werden, keinesfalls wiederhergestellt werden können. Beim Löschen werden diese Dateien nicht logisch, sondern physikalisch und damit endgültig gelöscht - der zugehörige Speicherplatz wird komplett wieder freigegeben. [---DI ] [----RI----- ] DELETE INHIBIT RENAME INHIBIT Verhindert ein Löschen des Verzeichnisses. Verhindert eine Umbenennung des Verzeichnisses. Markiert die Datei als Systemdatei. Die Datei wird dann in einem Inhaltsverzeichnis beispielsweise mit DIR nicht mehr ausgewiesen und kann weder kopiert noch gelöscht werden. Hat zur Folge, dass eine Datei beim Löschen sofort auch physikalisch (also endgültig) gelöscht und der belegte Speicherplatz vollständig freigegeben wird. Eine Wiederherstellung dieser Datei ist daraufhin nicht mehr möglich (gelöschte Dateien können normalerweise wiederhergestellt werden). Verhindert das Löschen der Datei. Weist jeden Versuch einer Umbenennung der Datei ab

18 Basiskurs [-----IC----] IMMEDIATE COMPRESS [------DC--] DON'T COMPRESS [----DM---] DON'T MIGRATE Normalerweise werden Dateien auf einem Volume erst dann komprimiert, wenn für eine frei am NetWare-Server festzulegende Anzahl von Tagen keine Zugriffe mehr darauf stattgefunden haben. Ist das Attribut gesetzt, hat dies zur Folge, dass die in dem Verzeichnis enthaltenen Dateien so bald wie möglich komprimiert werden und so Speicherplatz auf dem zugehörigen Volume gespart wird. Der gesamte Vorgang geschieht intern: Wird auf die Datei zugegriffen, sorgt NetWare automatisch für eine Dekomprimierung und gibt die entpackte Datei zurück. Daher gehen Zugriffe auf komprimierte Dateien auch etwas langsamer vonstatten - die Komprimierung benötigt ein wenig Zeit (eine Beeinträchtigung ist allerdings praktisch kaum spürbar). Die Anwendung dieses Verzeichnisattributs ist nur dann möglich, wenn die Funktion der Datenkomprimierung bei der Installation von NetWare auf dem NetWare-Server für das Volume aktiviert wurde. Verhindert, dass Dateien in dem betreffenden Verzeichnis komprimiert werden, auch wenn die Komprimierungsfunktion für das zugehörige Volume bei der Installation von NetWare auf dem NetWare-Server aktiviert worden ist. So können auch keinerlei Performance- Beeinträchtigungen durch Komprimierungsbzw. Dekomprimierungsvorgänge entstehen. Verhindert, dass die in dem Verzeichnis enthaltenen Dateien auf einen anderen trangigen Datenträger wie beispielsweise ein optisches Laufwerk ausgelagert werden. Dieses Verzeichnisattribut ist nur dann gültig, wenn die Funktion der Migration für das zugehörige Volume eingeschaltet ist

19 [------SH--] SHAREABLE [----RO----] READ ONLY Für Verzeichnisse nicht vorhanden. Für Verzeichnisse nicht vorhanden. Gestattet mehreren Benutzern den gleichzeitigen Zugriff auf die Datei. Nicht netzwerkfähige Programme können auf diese Weise in die Lage versetzt werden, ihre Daten mehreren Benutzern gleichzeitig zugänglich zu machen. Dabei sollten gleichzeitige Schreibzugriffe mit Hilfe des Dateiattributs READ ONLY bzw. NUR LESEN unterbunden werden! Besitzt eine Datei dieses Dateiattribut nicht, ist sie auch nicht gemeinsam benutzbar, sondern kann immer nur von einem einzigen User geöffnet werden (Ausnahme: Programme, die Dateien netzwerkfähig öffnen können). Gestattet auf eine Datei ausschließlich Zugriffe lesender Art. Jeder Versuch, in eine Datei mit dem Dateiattribut READ ONLY bzw. NUR LESEN zu schreiben, wird mit einem Fehler abgewiesen. Da die Attribute gegenüber den Dateirechten Vorrang haben, kann selbst der Administrator mit dem [S ] -Recht die Datei nicht verändern. Dies könnte sinnvoll sein, um besonders wichtige Dateien vor dem versehentlichen Löschen durch den Administrator zu schützen

20 Basiskurs [------RW-] READ WRITE [ A ] ARCHIVE NEEDED [ T-] TRANSACTIONAL Für Verzeichnisse nicht vorhanden. Für Verzeichnisse nicht vorhanden. Für Verzeichnisse nicht vorhanden. Das Pseudo-Dateiattribut READ WRITE ist zwar nicht explizit als Dateiattribut vorhanden, entspricht aber der normalen Zugriffsart, die unter der Voraussetzung, dass das RW-Recht gegeben ist, sowohl Lese- als auch Schreibzugriffe auf die Datei ermöglicht. Zeigt die inhaltliche Veränderung einer Datei an und wird vom Betriebssystem auf der Arbeitsstation automatisch immer dann gesetzt, wenn eine Datei inhaltlich verändert wurde. Datensicherungsprogramme entfernen dieses Dateiattribut normalerweise bei jeder gesicherten Datei. So kann später leicht festgestellt werden, ob eine Datei seit der letzten Sicherung (bzw. Aufhebung dieses Dateiattributs) unverändert geblieben oder aber ihr Inhalt im Anschluss an die Sicherung geändert worden ist und die Datei somit erneut gesichert werden muss. Bei vielen Workstation- Betriebssystemen wird dieses Dateiattribut als Archiv-Bit bezeichnet. Ermöglicht, dass die Bearbeitung dieser Datei vom TTS (Transaction Tracking System) überwacht werden kann. Nur Dateien, die das Dateiattribut TRANSACTIONAL bzw. TRANSAKTION besitzen, können vom TTS berücksichtigt werden!

21 [ X] EXECUTE ONLY Für Verzeichnisse nicht vorhanden. Tabelle-2: Verzeichnis- und Dateiattribute unter NetWare 5/6 Nur für Programmdateien (*.COM, *.EXE). Eine Programmdatei mit diesem Dateiattribut kann dann lediglich noch zur Ausführung gestartet werden. Jeder Versuch, diese Datei zu kopieren, wird von NetWare abgewiesen, so dass die Programmdatei zwar vor unberechtigtem Kopieren absolut sicher geschützt ist, aber auch bei einer Datensicherung nicht mehr berücksichtigt wird! Achtung: Im Gegensatz zu allen anderen Dateiattributen kann EXECUTE ONLY nicht wieder aufgehoben werden! Vielmehr muss die Datei dazu gelöscht und anschließend wieder neu eingespielt werden. Beim Aufruf eines mit diesem Dateiattribut geflaggten Programms unter Windows 95 oder Windows NT kann es zu Problemen kommen. Setzen Sie dieses Dateiattribut am besten nur für DOS-basierte Applikationen ein. Außerdem kennt NetWare drei Status-Attribute, die den Status von komprimierten bzw. ausgelagerten Dateien betreffen. Sie werden von NetWare bei Bedarf selber vergeben, eine manuelle Zuweisung durch einen Benutzer ist nicht möglich. Im Einzelnen handelt es sich dabei um: FILE COMPRESSED bzw. DATEI KOMPRIMIERT (abgekürzt CO): Zeigt an, dass die Datei in komprimiertem Format auf dem Volume abgelegt ist. CAN'T COMPRESS bzw. KOMPRIMIERUNG NICHT MÖGLICH (abgekürzt CC): Weist darauf hin, dass die Datei nicht komprimiert worden ist, da hiermit nur eine unwesentliche Speicherplatzersparnis verbunden wäre. FILE MIGRATED bzw. DATEI UMGELAGERT (abgekürzt M): Bedeutet, dass die Datei auf einen trangigen Datenträger (optisches Laufwerk, Streamer etc.) ausgelagert worden ist. Die eigentliche Datei befindet sich daher nicht mehr auf dem

22 Basiskurs betreffenden Volume. Ihr Eintrag im Inhaltsverzeichnis bleibt allerdings mit diesem Status erhalten Erläuterungen zu den Objekten im NDS-Baum Der NDS-Verzeichnisbaum besteht aus verschiedenen Kategorien von Objekten: Wurzelobjekt ([Root]) Das Wurzelobjekt ([Root]) wird bereits bei der Installation von NetWare angelegt. Dieses Objekt steht auf oberster Ebene des NDS-Verzeichnisbaums und bildet damit seine Wurzel. Unterhalb von [Root] sind alle Objekte angeordnet, die zu einem bestimmten NDS-Verzeichnisbaum gehören. Jeder NDS-Verzeichnisbaum besitzt genau ein Stammobjekt [Root], das weder umbenannt noch gelöscht werden kann. Container- bzw. Behälterobjekte Als weiteres Element kennt NetWare die sogenannten Containerbzw. Behälterobjekte. Behälterobjekte dienen zur logischen Strukturierung des NDS-Verzeichnisbaums und können - ähnlich wie ein Directory des Dateisystems weitere Dateien und Directories beinhalten kann - weitere Objekte (z.b. Schüler / Schülerinnen als Benutzerobjekte) oder weitere Containerobjekte beinhalten. In einem NDS-Verzeichnisbaum können folgende Behälterobjekte vorhanden sein: 1. Das Objekt Country bzw. Land ist vorhanden, um auch NDS- Verzeichnisbäume aufbauen zu können, die ein weltweit verteiltes Firmennetzwerk mit Dependencen in verschiedenen Ländern repräsentieren. Sein Gebrauch ist jedoch nicht zwingend - in den meisten NDS-Verzeichnisbäumen wird die Objektklasse "Country bzw. Land nicht verwendet. Behälterobjekte der Klasse Country können ausschließlich unterhalb des Stammobjekts [Root] erstellt werden. Im Gegensatz zu anderen Objektklassen darf der Name dieses Objekts nicht mehr als Zeichen umfassen. Diese lehnen sich an die stelligen Landesabkürzungen an, die von der ISO definiert wurden (z.b. DE für Deutschland oder AU für Australien etc.) 2. Das Objekt Organization bzw. Organisation (O) stellt eine der wichtigsten Objektklassen dar - strukturiert es doch die unterhalb des Stammobjekts [Root] im Netzwerk vorhandenen Ressourcen. Bei Netzwerken kleinerer und mittlerer Größe wird dieses Objekt meistens nach der Firma benannt. In der finden Sie der besseren

23 Strukturierung wegen drei Organisationen (DIENSTE, UNTERRICHT und WORKSTATIONS) vor. Diese Organisations-Behälterobjekte sind vollkommen ausreichend, weitere werden nicht benötigt. Erstreckt sich das Netzwerk über mehrere z.b. im selben Gebäudekomplex untergebrachte Schulen, kann dies unterhalb der Organisation UNTERRICHT abgebildet werden. Im Zuge der Installation von NetWare und den Novell Directory Services wird bereits standardmäßig ein Organisations-Behälterobjekt (DIENSTE) erstellt, um die Anmeldung des Netzwerkadministrators Admin am NDS-Verzeichnisbaum zu ermöglichen. Sie sollten dort bereits den passenden Namen (also z.b. Schulkürzel) angeben. 3. Unterhalb eines Organisations-Behälterobjekts dienen Behälterobjekte der Klasse Organizational Unit (OU) bzw. organisatorische Einheit dazu, eine feinere Untergliederung und Strukturierung des NDS- Verzeichnisbaums vorzunehmen. Dementsprechend kann eine OU (organisatorische Einheit) für eine Abteilung, eine Projektgruppe oder eine Benutzergruppe z.b. die Gruppe der Lehrer / Lehrerinnen oder die Gruppe der Schüler / Schülerinnen stehen. Innerhalb einer OU (organisatorischen Einheit) sollte man Benutzerobjekte zusammenfassen, die gleiche Rechte auf zum Beispiel das Dateisystem benötigen. Man braucht dann nur der OU die Rechte auf bestimmte Verzeichnisse zu geben. Über die weiter unten beschriebene Vererbung erhalten dann auch z.b. alle 300 Schüler / Schülerinnen, die innerhalb der OU zusammengefasst sind, die vergebenen Rechte. Leaf- bzw. Blattobjekte Objekte, die im NDS-Verzeichnisbaum unterhalb eines Behälters zu finden sind, werden als Leaf objects bzw. Blattobjekte bezeichnet. Während die Strukturierung des NDS- Verzeichnisbaums über die oben beschriebenen Behälterobjekte vorgenommen wird, stehen Blattobjekte für eine in das Netzwerk eingebundene Ressource - zum Beispiel Benutzer, Gruppen, NetWare-Server oder Computer. Wie der Name bereits zum Ausdruck bringt, befindet sich ein Blattobjekt an einem der Enden des NDS-Verzeichnisbaums - wie auch in freier Natur ein Blatt das Ende eines Baumgs darstellt. Aufgrund dessen kann ein Blattobjekt - im Unterschied zu Behälterobjekten - auch keine anderen Objekte mehr beinhalten. Die Blattobjekte sind mit den Dateien des Verzeichnisbaumes beim DOS-Dateisystem zu vergleichen. NetWare kennt zahlreiche Blattobjekte: 1. BENUTZER: User bzw. Benutzer repräsentieren die tatsächlichen Anwender des Netzwerks. Jeder Benutzer der auf die Ressourcen des Netzwerks zugreifen soll, muss daher als entsprechendes Blattobjekt im

24 Basiskurs NDS-Verzeichnisbaum eingetragen sein. Einem Benutzer innerhalb eines NDS-Verzeichnisbaums fällt eine ganz besondere Bedeutung zu: dem Benutzer Admin. Dieser Benutzer wird automatisch im Rahmen der Installation der Novell Directory Services - sprich der Erstellung des NDS-Verzeichnisbaums - im ersten Organisations-Behälterobjekt auf dem NetWare-Server eingerichtet. Admin wird von NetWare mit einem allumfassenden Zugriffsrecht (Objekt- + Eigenschafts-Recht =[S----]) auf das Stammobjekt [Root] versehen. Da sich Zugriffsrechte auf ein Objekt standardmäßig auf alle darunter liegenden Objekte bzw. Objektebenen vererben, stellt der Admin den Benutzer dar, der standardmäßig [S]-Rechte auf die gesamte NDS hat und andere Benutzer im gesamten NDS-Verzeichnisbaum erstellen und verwalten kann. Darüber hinaus kann zudem der Benutzer Admin umbenannt oder sogar gelöscht werden. Hinweis: Löschen Sie niemals den Benutzer Admin, ohne einen anderen Benutzer mit denselben Berechtigungen auf derselben Ebene im NDS-Verzeichnisbaum eingerichtet zu haben! Andernfalls verlieren Sie jede Chance, den gesamten NDS-Verzeichnisbaum zentral zu verwalten. Wenn Sie den Benutzer Admin - möglicherweise versehentlich - gelöscht und zuvor keinen anderen Benutzer auf derselben Ebene mit denselben vollständigen Administrations-Berechtigungen ausgestattet haben, müssen Sie sich direkt an Novell wenden. Eine Möglichkeit, Admin selber wiederherzustellen, gibt es nicht! Achtung: Es wird bei der Installation automatisch ein Bindery -Benutzer Supervisor angelegt für Programme, die noch nicht die NDS unterstützen. Dieser erhält bei der Installation das gleiche Passwort wie der Benutzer Admin. Wenn Sie das Admin-Kennwort ändern, sollten Sie auch das Kennwort für den Supervisor ändern. 2. GRUPPE: Verfügen mehrere Benutzer über dieselben Anforderungen für den NDS-Verzeichnisbaum oder das NetWare-Dateisystem im Hinblick auf erforderliche Berechtigungen (müssen also mehrere Benutzer mit denselben Anwendungsprogrammen oder Ressourcen arbeiten), erlaubt NetWare dafür die Erstellung einer geeigneten Group bzw. Gruppe. Benutzer, die einer Gruppe angehören, werden als Member bzw. Mitglied dieser Gruppe bezeichnet. Da ein Benutzer in mehreren Gruppen als Mitglied geführt werden kann, lässt sich eine flexible Handhabung auch einer großen Anzahl von Benutzern erreichen. Es bietet sich an, Gruppen immer dann einzusetzen, wenn eine bestimmte Maßnahme nicht nur einen, sondern gleich mehrere Benutzer betreffen soll. Somit ist es sinnvoll, Benutzer in geeigneten Gruppen zusammenzufassen. Immer wenn eine Gruppe angesprochen wird, sind davon automatisch auch alle als Mitglieder geführten Benutzer betroffen. Die Funktion einer Gruppe kann jedoch ebenso gut von einer OU (organisatorischen Einheit) übernommen werden (allerdings gibt es eine Ausnahme: die Verwendung von Gruppenpolicies innerhalb des Programms poledit unter Win95, um einheitliche und nicht vorkonfigurierbare Systemeinstellungen zu erhalten, setzt die Zusammenfassung von Benutzern in Gruppen voraus). Im Interesse einer möglichst

25 übersichtlichen NDS-Baumstruktur werden in diesem Kurs statt Gruppen OUs verwendet. 3. PROFIL: Ein Profil besitzt von seiner Funktion her eine gewisse Ähnlichkeit mit dem Objekt Gruppe, hat aber einen etwas anders gelagerten Schwerpunkt: Einem Profil können - ganz ähnlich zur Gruppe - bestimmte Berechtigungen auf das NetWare-Dateisystem gegeben werden. Über das Profil kann bestimmten Benutzern außerdem ein zusätzliches Login-Skript zugewiesen werden. 4. SERVER: Ein mit NetWare arbeitender Server wird innerhalb des NDS- Verzeichnisbaums als NetWare-Server geführt. Server, die mit NetWare als Netzwerkbetriebssystem arbeiten, werden bei der Installation automatisch dem angegebenen NDS-Verzeichnisbaum als Blattobjekt NetWare-Server zugeordnet. Auf dieses Objekt wird von einigen anderen Objektklassen zugegriffen, um etwa die genaue Position eines Volumes oder eines Verzeichnisses im NetWare-Dateisystem zu finden. Darüber hinaus können mit Hilfe dieses Blattobjekts der Status eines NetWare-Servers sowie seine logische interne IPX- Netzwerkadresse in Erfahrung gebracht oder sein Fehlerprotokoll eingesehen werden. Ferner lassen sich einige Eigenschaften dieser Objektklasse, wie zum Beispiel der Standort zu informatorischen Zwecken selber festlegen, um auch in größeren Netzwerken mit vielen NetWare-Servern einen bestimmten NetWare-Server schnell lokalisieren zu können. 5. DATENTRÄGER: Jedes in einem NetWare-Server bei dessen Installation angelegte Volume wird als Volume bzw. Datenträger im NDS- Verzeichnisbaum repräsentiert. Der Name eines Blattobjekts dieser Klasse innerhalb des NDS-Verzeichnisbaums wird dabei automatisch anhand der Kombination aus dem Namen des NetWare-Servers, einem Unterstrich sowie dem Namen des physikalischen Volumes (wie bei der Installation vergeben) gebildet. Trägt der NetWare-Server also den Namen Server, würde das zugehörige Volume-Blattobjekt für das Volume SYS: den Namen Server_SYS besitzen und das Volume DATA: entsprechend Server_DATA. Im Gegensatz zu allen anderen Objektklassen der NDS stellt Volume das einzige Objekt dar, das einen direkten Zugang zum NetWare- Dateisystem eines NetWare-Servers bietet. Das heißt, dass über dieses Blattobjekt mit dem NDS-Verwaltungsprogramm ConsoleOne auch Verzeichnisse und Dateien sowie zugehörige Informationen eingesehen und bearbeitet werden können. Ferner sind Angaben über ein Volume, wie zum Beispiel den belegten und noch freien Speicherplatz, die Größe von gelöschten Dateien und das Maß der Dateikompression einsehbar. Über diese Volume-Objekte kann auch der Speicherplatz eines Benutzers beschränkt werden

26 Basiskurs 6. VERZEICHNIS-ZUORDNUNG: Das Blattobjekt. Verzeichniszuordnung (directory map) referenziert ein Verzeichnis, das sich auf einem Volume innerhalb des NetWare-Dateisystems befindet. Bei einer Verzeichniszuordnung handelt es sich also um die Beschreibung für ein bestimmtes Verzeichnis im NetWare-Dateisystem. Der geschickte Einsatz dieses Blattobjekts kann wesentliche Vorteile bringen: So ist es beispielsweise möglich, einem tief verschachtelten Verzeichnis innerhalb des NetWare-Dateisystems mit Hilfe des Blattobjekts Verzeichniszuordnung eine kurze Beschreibung zuzuweisen, die sich dann später anstatt des langen Verzeichnispfades verwenden lässt. Außerdem kann diese Objektklasse beim Wechsel auf eine neue Version oder ein anderes Programm recht nützlich sein: Normalerweise sind etwa beim Umstieg von Winword 6.0 auf Winword 95 im Login-Skript alle Zuweisungen für das zugehörige Programmverzeichnis zu ändern. Bei Verwendung des Blattobjekts Verzeichniszuordnung hingegen können alle Zuweisungen im Login-Skript von vornherein für die Verzeichniszuordnung aufgestellt werden. Beim Umstieg auf eine andere Version oder ein anderes Programm ist dann lediglich dieses Blattobjekt an das geänderte Verzeichnis im NetWare-Dateisystem anzupassen, während in den einzelnen Login-Skripts keinerlei Änderungen erforderlich werden. 7. NDPS-DRUCKER: Das Blattobjekt Printer bzw. Drucker beschreibt ein Ausgabegerät, das in das Netzwerk eingebunden ist und von mehreren Benutzern genutzt werden kann. Zum besseren Verständnis spricht man mitunter auch von einem Network Printer bzw. Netzwerkdrucker. 8. RECHNER: Die Arbeitsstation, an der ein Benutzer arbeitet, kann als Blattobjekt der Klasse Computer in den NDS-Verzeichnisbaum eingetragen werden. Sie stellen z.b. die Grundlage für Druckerzuweisungen und Inventarisierungen dar. 9. VORLAGE: Das Blattobjekt Template bzw. Schablone ist eine Vorlage, die bei der Einrichtung neuer Benutzer verwendet wird, um den Benutzern bestimmte Eigenschaften schon bei der Erstellung automatisch zuzuordnen (z.b. das Verzeichnis, in dem das Home- Verzeichnis des Benutzers liegen soll oder die Möglichkeit, das eigene Passwort zu ändern). Rechte auf das Dateisystem (bis auf die Rechte am Home-Verzeichnis) oder die NDS sollten nie über Templates an einzelne Benutzer vergeben werden, da diese Rechte bei der Erzeugung des Benutzers in der NDS dem Benutzerobjekt direkt zugeordnet werden und nicht z.b. der übergeordneten OU (organisatorischen Einheit). Werden Änderungen der Rechte auf das Dateisystem nötig, müssen diese

27 Änderungen bei jedem Benutzer einzeln vorgenommen werden und nicht nur einmal in der OU zentral für alle. 10.ANWENDUNG: In Verbindung mit dem NetWare Application Manager (kurz NAM) kann ein Netzwerkadministrator im NDS-Verzeichnisbaum Blattobjekte der Klasse Application bzw. Anwendung erstellen. Ein solches Blattobjekt repräsentiert dann ein Programm, das auf einem Volume eines NetWare-Server abgelegt ist und von den Benutzern ausgeführt werden kann. Ein Netzwerkadministrator kann dabei umfangreiche Zuordnungen treffen, die bei, vor oder nach der Ausführung des damit verbundenen Programms auf einer Workstation Gültigkeit erlangen. Komplementär dazu versieht auf den Workstations der NetWare Application Launcher bzw. NetWare-Anwendungsstarter (kurz NAL) seinen Dienst. Dieser zeigt dem Benutzer alle Blattobjekte der Klasse Application an, die ein Netzwerkadministrator im NDS- Verzeichnisbaum definiert und für den betreffenden Benutzer freigegeben hat Objektrechte oder Wer darf Eintragungen in der NDS vornehmen Bisher wurden Rechte und Attribute vertieft, die sich ausschließlich auf das Dateisystem auf der Serverfestplatte beziehen. Deren Notwendigkeit ergibt sich aus der Tatsache, dass sich mehrere Benutzer dieselbe Festplatte teilen. Um nicht jede Datei für jeden Benutzer mit Rechten versehen zu müssen, vererben sich die Rechte von der Wurzel des Dateibaums aus nach unten. Diese automatische Rechtevererbung kann durch einen Vererbungsfilter unterbrochen werden. Die Rechte werden den Benutzern mit dem NDS-Verwaltungsprogramm ConsoleOne vergeben. Da die Benutzer und die ihnen gewährten Objektrechte in die NDS- Netzwerkdatenbank eingetragen werden, stellt sich natürlich die Frage, wer diese Eintragungen denn vornehmen oder verändern darf. Die Antwort lautet wieder: Jeder, der das Recht dazu hat. Das Recht, Eintragungen in der NDS vorzunehmen oder zu verändern unterscheidet sich prinzipiell von den Zugriffsrechten auf das Dateisystem. Daher spricht man bei den Rechten, die sich auf die Manipulation der Netzwerkdatenbank beziehen, von Objektrechten. Nun kann man genau wie beim Dateisystem verschiedene Rechte unterscheiden, die ein Trustee (ein Berechtigter ) an anderen Objekten haben kann. So muss z. B. der Netzwerkadministrator in der Lage sein, Objekte (also z. B. Benutzer oder aber auch einen alten Drucker, der durch ein neues Modell ersetzt wurde) aus der Datenbank zu löschen. Das dazu erforderliche Recht heißt Delete. Ebenso muss er neue Eintragungen erstellen können (etwa neue Benutzer-Objekte für neue Schüler / Schülerinnen am Anfang des Schuljahres). Das dazu notwendige Recht ist das Create-Recht. Ebenso können

28 Basiskurs bestehende Objekte umbenannt werden, das dazu notwendige Recht ist das Rename-Recht. Außerdem muss festgelegt werden, welche Benutzer sich welche Objekte in der Datenbank auflisten lassen können, also welche Benutzer sozusagen ein Leserecht für die Datenbank haben. Dieses Leserecht heißt in der Novell-Terminologie allerdings Browse-Recht, um es klar vom Read-Recht des Dateisystems abzuheben (to browse = blättern). Alle Rechte zusammen sind schließlich in dem Supervisor- Objektrecht enthalten. In folgender Tabelle sind alle Objektrechte noch einmal zusammengefasst. [-B---] BROWSE-Recht [--C--] CREATE-Recht [---D-] DELETE-Recht [----R] RENAME-Recht [S----] SUPERVISOR- Recht Tabelle-3: Objektrechte Das BROWSE-Recht gestattet es dem Trustee (also dem Berechtigten eines Objektes) dieses Objekt in der Datenbank überhaupt aufgelistet zu bekommen. Es ist vergleichbar mit dem Filescan-Recht für Verzeichnisse. Besitzt ein Trustee dieses Recht nicht, ist das Objekt für ihn nicht sichtbar. Das CREATE-Recht erlaubt die Erstellung von neuen Objekten innerhalb eines Behälterobjektes. Es kann nur für Behälterobjekte (s. u.) vergeben werden. Besitzt ein Trustee das DELETE-Recht an einem Objekt in der NDS, so kann er dieses Objekt aus der Datenbank löschen. Das RENAME-Recht erlaubt einem Trustee die Veränderung des Namens eines Objektes, also dessen Umbenennung in der Datenbank. Umfasst alle Zugriffsberechtigungen auf das jeweilige Objekt und entspricht der Kombination der anderen vier Objektrechte Eigenschaftsrechte oder Wer darf Objekteigenschaften manipulieren Die oben vorgestellten Objektrechte berechtigen nur zur Manipulation eines NDS-Datenbankeintrags als Ganzes, d.h. mit den entsprechenden Rechten kann ein Trustee ein Objekt z.b. erzeugen oder löschen. Ist das Objekt aber einmal erzeugt, stellt sich die Frage, welche Objekteigenschaften ein Trustee verändern darf. Die Eigenschaften eines Benutzerobjektes sind z.b. Vor- und Nachname des Benutzers, seine - Adresse, der Inhalt seines Login-Skripts usw. Die Eigenschaften eines Druckers sind z.b. die ihm zugeordnete Druckerqueue und sein Name. In der Datenbankterminologie sind Objekteigenschaften der Inhalt der

29 einzelnen Datenfelder eines Datensatzes, während das Objekt den ganzen Datensatz repräsentiert. In der NDS werden nun zusätzlich zu den Objektrechten, die das Erzeugen und Verändern von Datensätzen erlauben, Eigenschaftsrechte (Property Rights) eingeführt. Diese regeln, wer auf welche Objekteigenschaften Zugriff hat, d.h. also wer welche Datenfelder eines Datensatzes (z.b. die E- Mail-Adresse eines Benutzers oder den Inhalt seines Login-Skripts) verändern darf. NetWare unterscheidet insgesamt fünf Eigenschaftsrechte: [-C---] COMPARE-Recht Ermöglicht es einem Trustee, den Wert der Eigenschaft eines Objekts mit einem wählbaren Wert zu vergleichen, ohne dabei den Wert der Eigenschaft einsehen zu können. [--R--] READ-Recht Versetzt den Trustee in die Lage, den Wert der Eigenschaft einzusehen. READ bzw. LESEN beinhaltet automatisch das Eigenschaftsrecht COMPARE. [---W-] WRITE-Recht Der Trustee kann den Wert der Eigenschaft verändern oder löschen. Bei Eigenschaften wie beispielsweise der Telefonnummer für ein Benutzerobjekt, die mehr als einen Wert besitzen dürfen, kann der Trustee zudem einen neuen Wert hinzufügen. WRITE bzw. SCHREIBEN schließt automatisch das Eigenschaftsrecht ADD OR DELETE SELF bzw. EIGENEN NAMEN hinzufügen mit ein. [----A] ADD OR DELETE SELF Ermöglicht es einem Trustee, sich selbst, also seinen eigenen NDS-Objektnamen, als Wert einer Eigenschaft hinzuzufügen oder aus dieser zu löschen. Sinnvoll ist dieses Eigenschaftsrecht vor allem bei Eigenschaften, die mehr als einen Wert besitzen können. Dies wäre zum Beispiel bei der Liste von Trustees eines Directories der Fall. [S----] SUPERVISOR Der Trustee hat die vollständige Kontrolle über die Eigenschaften des Objekts (eine diesbezügliche Einschränkung ist über den Inherited Rights Filter möglich, siehe unten). Das Eigenschaftsrecht entspricht der Kombination der anderen vier Eigenschaftsrechte. Tabelle-4: Eigenschaftsrechte Wie die Objektrechte werden auch die Eigenschaftsrechte häufig abgekürzt dargestellt. Verfügt ein Trustee über ein bestimmtes Eigenschaftsrecht nicht, wird dieses durch ein Leerzeichen an der entsprechenden Stelle ausgewiesen. [SCRWA] umfasst alle fünf Eigenschaftsrechte, [-CR--] nur COMPARE bzw. VERGLEICHEN und READ bzw. LESEN

30 Basiskurs Standardmäßig verfügt ein Benutzer über das Eigenschaftsrecht READ bzw. LESEN für alle Eigenschaften seines eigenen Benutzer- Blattobjekts und damit auch COMPARE bzw. VERGLEICHEN. Ferner besitzt ein Benutzer die Eigenschaftsrechte READ bzw. LESEN und WRITE bzw. SCHREIBEN für seine eigenen Eigenschaften Login-Skript bzw. Anmeldeskript und Print Job Configuration (Druckauftrags-Konfiguration). Dadurch ist ein Benutzer in der Lage, die Werte aller seiner Eigenschaften einzusehen und sein Benutzer Login-Skript sowie seine persönliche Druckauftrags-Konfiguration abzuändern. Wird einem Trustee das Objektrecht SUPERVISOR für ein Objekt erteilt, erhält dieser Trustee automatisch auch das Eigenschaftsrecht SUPERVISOR für All Properties bzw. Alle Eigenschaften. Damit ein Benutzer als Netzwerkadministrator Objekte und deren Eigenschaften tatsächlich verwalten kann, sollte er über das Zugriffsrecht SUPERVISOR sowohl für die Objekte in einem Behälter als auch für alle ihre Eigenschaften verfügen Nach der Server-Installation vorhandene Rechte in der NDS Um überhaupt mit den Novell Directory Services arbeiten zu können, werden einige Zuweisungen von Zugriffsrechten auf den NDS- Verzeichnisbaum bereits bei der Installation eingerichtet, die im Folgenden beschrieben werden. Trustee Admin [Public] Zugriffsrecht auf den NDS-Verzeichnisbaum Objektrecht SUPERVISOR [S] auf das Stammobjekt [Root] des NDS-Verzeichnisbaums Objektrecht BROWSE [B] auf das Wurzelobjekt [Root] des NDS-Verzeichnisbaums Admin erhält mit der Zuweisung des Objektrechts SUPERVISOR auf das Wurzelobjekt [Root] die Berechtigung, den gesamten NDS-Verzeichnisbaum zu verwalten. Diese Berechtigung vererbt sich auf alle unter [Root] liegenden Ebenen bzw. die darin vorhandenen Objekte und Eigenschaften, kann aber durch einen Inherited Rights Filter mit fehlendem SUPERVISOR-Objektrecht oder der expliziten Rechtezuweisung zu einem Objekt (die ja die Vererbung auch unterbricht) eingeschränkt werden. Insbesondere erhält Admin auch das Eigenschaftsrecht SUPERVISOR für alle Eigenschaften des Server-Objekts - mit der Folge, dass er ebenfalls über das Zugriffsrecht SUPERVISOR für das NetWare-Dateisystem dieses NetWare-Servers verfügt. Dies ist die einzige Ausnahme, bei der NDS-Rechte auf Rechte am Dateisystem übergehen!

31 Für alle anderen Benutzerobjekte müssen Dateirechte auf gewünschte Verzeichnisse explizit vergeben werden! Dies gilt auch für die im NDS-Verzeichnisbaum verzeichneten Blattobjekte der Klasse Volume: Objektrechte auf ein Volume (bis auf das Objektrecht SUPERVISOR) vererben sich nicht auf das NetWare-Dateisystem! Hierfür müssen explizit Verzeichnis- bzw. Dateirechte, also Zugriffsrechte auf das NetWare-Dateisystem, vergeben werden. Anmerkungen zum [S]-Recht auf ein Serverobjekt: Besitzt irgendein Objekt, wie beispielsweise der Netzwerkadministrator (direkt oder indirekt durch Vererbung) das Objektrecht SUPERVISOR auf einen NetWare-Server, sind damit auch SUPERVISOR-Berechtigungen für das NetWare-Dateisystem dieses NetWare-Servers, sprich die in diesem installierten Volumes, verbunden. Da auch im NetWare-Dateisystem Zugriffsrechte an die Unterverzeichnisse weitergegeben werden, besitzt der Trustee auch im gesamten NetWare-Dateisystem volle Berechtigungen (eventuell eingeschränkt durch den Inherited Rights Filter von Verzeichnissen oder Dateien). Exkurs (für Theoretiker): Um die Verbindung etwa eines Netzwerkadministrators zum NetWare-Dateisystem aufzuheben und stattdessen einen reinen Netzwerkadministrator für die NDS zu erzeugen, müssen diesem die Objektrechte BROWSE, CREATE bzw. ERSTELLEN, DELETE bzw. LÖSCHEN und RENAME bzw. UMBENENNEN sowie die Eigenschaftsrechte COMPARE bzw. VERGLEICHEN, READ bzw. LESEN, WRITE bzw. SCHREIBEN und ADD OR DELETE SELF bzw. EIGENEN NAMEN HINZUFÜGEN explizit für den betreffenden NetWare-Server zugeteilt werden. Dadurch wird die Vererbung des Objektrechts SUPERVISOR auf das Objekt NetWare-Server und seine Eigenschaften aufgehoben. Die angegebenen NDS-Zugriffsrechte versetzen den Netzwerkadministrator aber in die Lage, den NetWare-Server an sich noch zu verwalten. Die Zuweisung des Objektrechts BROWSE für das Wurzelobjekt [Root] an den virtuellen Trustee [Public] ermöglicht es allen Benutzern, alle im gesamten NDS-Verzeichnisbaum vorhandenen Objekte zu sehen. Automatische Rechte eines neu angelegten Benutzers Damit ein neu angelegter Benutzer sich selbst überhaupt sehen und zur Anmeldung am Netzwerk auf sein eigenes Objekt zugreifen kann, bekommt er automatisch das Objektrecht BROWSE und das Eigenschaftsrecht READ für sein persönliches Benutzerobjekt zugeteilt, d.h. er kann sich selbst und alle seine Eigenschaften sehen

32 Basiskurs Um sein eigenes Login-Skript und seine eigene Druckauftrags-Konfiguration (bei Druckausgaben über das Netz) nicht nur einsehen, sondern auch verändern zu können, werden jedem Benutzer standardmäßig die Eigenschaftsrechte READ und WRITE selektiv für diese beiden Eigenschaften zugewiesen. Wollen Sie als Netzwerkadministrator den Benutzern die Möglichkeit entziehen, ihr eigenes Login-Skript oder ihre eigene Druckauftrags-Konfiguration zu verändern, können Sie diese selektiven Zuweisungen manuell bei jedem Benutzer einzeln wieder aufheben. Um es den Novell Directory Services zu ermöglichen, den als Standardserver verwendeten NetWare-Server des potentiellen Benutzers noch vor seiner Anmeldung ermitteln zu können, wird außerdem [Public] als Trustee (= Berechtigter) mit dem Eigenschaftsrecht READ für die Eigenschaft Default Server eines jeden Benutzers eingerichtet (die Rechte, die [Public] zugewiesen werden, besitzt jeder Benutzer schon vor der Anmeldung am Server! Trustee Zugriffsrecht auf den NDS-Verzeichnisbaum [Root] Objektrecht BROWSE [B] auf das neue Benutzer- Blattobjekt (nur wenn BROWSE durch den Inherited Rights Filter des zugehörigen Behälterobjekts herausgefiltert wird). Eigenschaftsrecht READ [R] für die Eigenschaften Network Address und Group Membership des neuen Benutzer-Blattobjekts. Betreffender Objektrechte BROWSE [B] für sich selbst Benutzer Eigenschaftsrecht READ [R] auf All Properties von sich selbst. Eigenschaftsrechte READ und WRITE [RW] für seine eigenen beiden Eigenschaften Login Script und Print Job Configuration. [Public] Eigenschaftsrecht READ [R] für die Eigenschaft Default Server des UserBlattobjekts Tabelle-5: Zusammenfassung der Objekt- und Eigenschaftsrechte verschiedener Trustees Anmerkungen zum virtuellen Objekt [Public] Bei dem Trustee [Public], der immer von eckigen Klammern umgeben spezifiziert werden muss, handelt es sich um ein spezielles NDS-Objekt, das wie jedes andere Behälter- oder Blattobjekt verwendet werden kann. Das Objekt [Public] kann als eine Art virtuelle Gruppe angesehen werden. Jedes im NDS-Verzeichnisbaum vorhandene Objekt wird [Public] sozusagen als Mitglied zugeordnet und bekommt auf diese Weise alle Zugriffsrechte auf den NDS-Verzeichnisbaum (und auch auf das NetWare-Dateisystem), die an [Public] vergeben worden sind. Diese Zuordnung kann nicht verändert oder editiert werden. Jedes Objekt des NDS-Verzeichnisbaums ist immer und unveränderlich Mitglied von [Public]. Standardmäßig wird [Public] bei der Installation der Novell Directory Services von NetWare das Objektrecht BROWSE auf das Wurzelobjekt