Ordnerfreigaben für kleine Unternehmen richtig planen Active Directory als Basis für Benutzer und Gruppen verwenden

Anbieter zum Thema

ALE Deutschland GmbH

Vor allem in kleinen Unternehmen ist das Freigeben von Ordnern oft nicht ideal gelöst. In diesem Tipp zeigen wir die ideale Vorgehensweise für das Anlegen und Freigeben von Ordnern sowie das Erteilen von Berechtigungen.

Wenn Ordner im Netzwerk freigegeben werden, muss klar sein, welche Benutzer Zugriff auf den Ordner erhalten sollen. Für die Benutzer sollten in Active Directory natürlich die entsprechenden Konten vorhanden sein. Dazu kommt die Benutzergruppe, die für die Freigabe verwendet werden.

Ordnerfreigaben richtig planen

Nach dem Anlegen des Ordners wird der Benutzergruppe Zugriff über das Dateisystem und zusätzlich noch auf Freigabeebene erteilt. Die Benutzerkonten kommen dann wiederum in die Benutzergruppe. Das hat mehrere Vorteile:

Bildergalerie

Bildergalerie mit 8 Bildern

Zunächst kann der Zugriff sehr leicht für neue Benutzer gewährt werden, indem deren Benutzerkonten in die Gruppe aufgenommen werden. Ist der Zugriff nicht mehr notwendig, muss das Benutzerkonto nur aus dieser Gruppe entfernt werden.

Durch das Zuweisen der Rechte für die Freigabe und zusätzlich noch für das Dateisystem ist außerdem sichergestellt, dass Benutzer immer nur genau diese Rechte für das Verzeichnis haben, welche die Gruppe haben soll. Beim Zugriff über das Netzwerk greifen die Rechte, die auf Freigabe-Ebene festgelegt wurden. Parallel dazu werden über die Gruppe zusätzlich noch die Rechte verwendet, die auf Ebene des Dateisystems geregelt sind. Das stellt sicher, dass Benutzer bei verschachtelten Freigaben oder beim direkten Zugriff auf den Server nicht mehr Rechte erhalten, als sie tatsächlich benötigen.

Benutzer und Organisationseinheiten anlegen

Vor der Freigabe eines Ordners steht beim Einsatz von Active Directory in kleinen Unternehmen das Anlegen der Benutzerkonten, die Zugriff erhalten sollen. Das erfolgt am besten über die Verwaltungskonsole „Active Directory-Benutzer und -Computer“ (dsa.msc). Benutzerkonten sollten möglichst nicht innerhalb der Standardcontainer angelegt werden. Die Organisationseinheiten (Organizational Units, OU) ordnen in Active Directory die einzelnen Objekte. Über das Kontextmenü der Konsole kann eine neue OU angelegt werden, zum Beispiel mit der Bezeichnung „Benutzer“.

Generell lassen sich auch mehrere OUs anlegen, auch verschachtelt. Das ist bei kleinen Unternehmen meistens aber nicht sinnvoll. Durch das Verwenden einer eigenen Organisationseinheit ist es an dieser Stelle darüber hinaus möglich, später Gruppenrichtlinien zu definieren und dieser OU zuzuweisen. Dadurch erhalten alle Benutzerkonten, die sich in dieser OU befinden, die Einstellungen der Gruppenrichtlinie zugeteilt.

Über das Kontextmenü innerhalb der neuen OU können danach die Benutzerkonten angelegt werden. Hier sollten alle Felder gepflegt werden, also Name, Nachname und vollständiger Name sowie der Anmeldename im Netzwerk. Hier sollten der Nachname und der erste oder zweite Buchstabe des Vornamens verwendet werden. Es gibt auch andere Möglichkeiten; wichtig ist dabei, dass die Zuweisung konsistent ist und alle Benutzer möglichst gleich aufgebaut sind. Auf der nächsten Seite wird das Kennwort des Benutzers festgelegt. Durch die Option „Benutzer muss Kennwort bei der nächsten Anmeldung ändern“ kann sich der Benutzer zunächst mit dem vorgegebenen Kennwort anmelden, muss danach aber das Kennwort sofort ändern.

Gruppen anlegen und Ordner freigeben

Wenn Benutzerkonten und Organisationseinheiten im Netzwerk vorhanden sind, lassen sich Freigaben für Ordner erstellen und Rechte auf Basis von Gruppen definieren. Dadurch können Zugriffe leichter gepflegt werden.

Vor der Freigabe von Ordnern und dem Erteilen von Berechtigungen können in der Verwaltungskonsole „Active-Directory-Benutzer und -Computer“ zunächst neue Gruppen angelegt werden, die für den Zugriff auf einen Ordner benötigt werden. Es ist zum Beispiel sinnvoll, für den Ordner „Buchhaltung“ eine Gruppe mit ebendieser Bezeichnung „Buchhaltung“ anzulegen. Diese Gruppe erhält Zugriff auf Freigabeebene und auf Ebene des Dateisystems. Die Benutzer der Buchhaltung werden wiederum in die Gruppe mit aufgenommen.

Gruppen lassen sich über das Kontextmenü einer OU anlegen, idealerweise in derselben OU, in der auch die Benutzerkonten angelegt wurden. Wenn es noch ordentlich sein soll, kann außerdem eine eigene OU für Gruppen angelegt werden, auch unterhalb der Benutzer-OU.

Neue Gruppen anlegen

Als Gruppenbereich kann in kleinen Umgebungen „Lokal (in Domäne)“ genutzt werden, da es ohnehin nur eine Domäne gibt. In größeren Umgebungen werden dafür normalerweise globale Gruppen angelegt, die wiederum Mitglied der lokalen Gruppen werden. Die lokalen Gruppen werden dann als Berechtigung für Ordner konfiguriert. Das hat den Vorteil, dass Freigaben von Benutzern aus mehreren globalen Gruppen in mehreren Domänen genutzt werden können. In kleinen Umgebungen lässt sich dieser Schritt sparen.

Über das Kontextmenü von Gruppen steht der Menüpunkt „Eigenschaften“ zur Verfügung. Auf der Registerkarte „Mitglieder“ lassen sich mit „Hinzufügen“ die Benutzer in Active Directory suchen, die Mitglieder der Gruppe sein sollen und damit Zugriff auf den Ordner erhalten.

Ordner freigeben

Um einen Ordner freizugeben, ist es sinnvoll, möglichst einen Stammordner zu verwenden, der später im Netzwerk alle Freigaben enthält. Das hält Ordnung und schafft mehr Übersicht. Der Ordner kann zum Beispiel die Bezeichnung „Freigaben“ erhalten. Unterhalb des Ordners können jetzt die einzelnen Ordner angelegt werden, die im Netzwerk freigegeben werden sollen, beispielsweise „Buchhaltung“.

Über das Kontextmenü kann über „Eigenschaften“ mit „Erweiterte Freigabe“ die Konfiguration der Freigabe erfolgen. Zunächst wird die Option „Dieser Ordner freigeben“ gesetzt. Über Berechtigungen wird mit „Hinzufügen“ zunächst der Gruppe „Buchhaltung“ die Erlaubnis „Ändern“ erteilt. Danach sollten noch die „Domänen-Admins“ hinzugefügt werden und das Recht „Vollzugriff“ erhalten.

Natürlich kann hier auch festgelegt werden, dass nicht Administratoren den vollen Zugriff erhalten sollen, sondern zum Beispiel eine andere Gruppe. Die Mitglieder dieser Gruppe haben das Recht, Berechtigungen für den Ordner und die Freigabe zu verwalten. Dieses Recht sollten normale Anwender keinesfalls erhalten.

Wenn Administratoren aber dafür keinen Zugriff auf die Inhalte des Ordners erhalten sollen, legen Sie eine andere Gruppe an, in der die Benutzerkonten aufgenommen werden, welche die Freigabe anpassen dürfen. Entfernen Sie danach die Gruppe „Jeder“ aus der Gruppe der Berechtigten für die Freigabe. Bestätigen Sie alles, steht die Freigabe zur Verfügung, und die Benutzer, die Mitglieder der entsprechenden Gruppen sind, haben das Recht, auf die Freigabe zuzugreifen.

Um neue Benutzer zu berechtigen, müssen Sie deren Benutzerkonten nur in die Gruppe aufnehmen. Umgekehrt können Sie Benutzerkonten entfernen, um den Zugriff auf den Inhalt der Freigabe zu sperren.

Berechtigungen im Dateisystem

Parallel zu den Freigaberechten können Sie in den Eigenschaften des Ordners über die Registerkarte „Sicherheit“ ebenfalls Berechtigungen anpassen, und zwar für das Dateisystem selbst. Hier sollten Sie über „Erweitert“ zunächst mit „Vererbung deaktivieren“ und „Vererbte Berechtigungen in explizite Berechtigungen für dieses Objekt konvertieren“ die Rechte für den Ordner festschreiben. Klicken Sie danach auf „OK“.

Danach entfernen Sie über „Bearbeiten“ alle Gruppen außer „SYSTEM“ mit „Entfernen“ und fügen Sie mit „Hinzufügen“ die Gruppen „Buchhaltung“ und die von Ihnen vorgesehene Admin-Gruppe hinzu, zum Beispiel die „Domänen-Admins“. Die Gruppe „Buchhaltung“ erhält das Recht „Ändern“, und die Admins erhalten das Recht „Vollzugriff“, um auch die Berechtigungen ändern zu dürfen. Bestätigen Sie alle Änderungen. Dadurch haben Sie sichergestellt, dass nur die Benutzerkonten, die Mitglied dieser Gruppen sind, über die Freigabe und über das lokale Dateisystem mit den gewünschten Rechten zugreifen dürfen.

Sie können das von einer Arbeitsstation aus testen, indem Sie im Adressfeld des Explorers die Adresse „<Servername>\<Freigabename>“ angeben. Nur Benutzerkonten, die sich in den entsprechenden Gruppen befinden, dürfen auf die Freigabe zugreifen.

(ID:49306742)