שאלה על effective permissions

[jackhammer]

אני מחפש כלי שיעזור לי לנתח את ה effective permissions של כל יוזר על תיקיות מסוימות.

אני יודע שיש כלי כזה מובנה בווינדוס.

אבל אני מחפש משהו קצת יותר מתקדם שידע להגיד לי מאיפה מקבל יוזר מסויים הרשאה כזאת או אחרת.

כלומר עם תחת תקיה מסויימת יש הרשאה ל50 קבוצות והיוזר שלי חבר ב5 מהם אז יש פה המון "כפילויות" (וכן אני יודע שיכול להיות שההרכב של כל קבוצה שונה והיא נועדה לדברים שונים...)

כפילויות שאני רוצה לצמצם.

הכלי של ווינדוס לא יודע לעשות את ההבחנה הזאת

אשמח להמלצה

[multicore]

אפשר לבצע כזה ניתוח עם Powershell.

אתה רק רוצה מלמצוא כפילויות או לנתח מצב פר משתמש?

[jackhammer]

בגדול יש לי די הרבה בלאגן בAD אז אני רוצה לסדר הכל שההרשאות יהיו מסודרות לפי קבוצות עם NESTING כמו שצריך.

לצערי אני לא ממש יודע PS. אני מנסה ללמוד תוך כדי עבודה אבל זה לוקח זמן (כי יש לי דברים לעשות במהלך היום).

אם זה כמה פקודות פשוטות אני מאמין שאסתדר איתן אבל אם זה דברים מורכבים לצערי אני עדיין לא שולט

עריכה:

שאני אומר בלאגן אני מתכוון גם לכפיליות, גם לקבוצות מיותרות, גם להרשאות ליוזרים בודדים (משאבים עם רשימה של 20-30 יוזרים)...

[Googleness]

אם אני זוכר נכון....

כשאתה נותן הרשאות,

בהרשאות שיתוף (Sharing Permissions) אתה נותן Full Access ל Everyone

בהרשאות NTFS של השיתוף שם אתה עושה את ההגבלות אבל!!! מומלץ להשתמש רק בהרשאות Allow ולא ב Deny. כלומר אם אתה מעוניין שמתמש מסויים רק יוכל לקרוא תן לו הרשאת Read בלבד וכיו"ב.

החוק היבש אומר אאל"ט שההרשאה המחמירה יותר מקבילת קדימות, כלומר אם משתמש נמצא בקבוצה עם הרשאות מלאות אבל גם בקבוצה עם Deny או הרשאות פחותות הוא יקבל גישה רק אל ההרשאות הפחותות והמחמירות יותר.

[multicore]

^ איך זה עוזר לו?

לפותח הדיון - תסביר בבקשה שוב את אופי הבעיה שלך.

[Googleness]

סתם הערה כללית לגבי ההמלצות של מיקרוסופט בנושא מכיוון שהוא ציין שיש לו ברדק והוא רוצה שזה יהיה מסודר יותר.

[gabriel6]

נקודה לשיקול - כתלוי בבלאגן שיש אצלך - אולי כדאי לבנות קבוצות חדשות לצורך העניין - לבצע ההגדרות עליהן ואז להעיף את כל מה שלא רלוונטי

כלי שמאוד יכול לסייע בעבודה עם קבוצות ויצירת דוחות חברות בהן

https://www.ctxadmtools.com/DownloadTool.aspx?ProdID=1

נעזרתי לא פעם בגרסא הישנה שלו (את החדשה אני לא כל כך מכיר) והוא מאוד סייע לי

[jackhammer]

גוגלנס תודה על הערה. זה מה שאני עושה.

גבריאל תודה על הלינק. אני אבדוק את הכלי הזה.

יבגני אני אשתדל לתאר את הבעיה בצורה הכי מפורטת שאני יכול מבלי להכנס לפרטים ספציפיים...

יש לי באחד השרתים רשימת תקיות ארוכה (משותפות ברשת)

בכל אחת התקיות יכול להיות רשימה ארוכה של הרשאות ישירות ליוזרים, מספר גדול של קבוצות (חלקן קבוצות שמכילות יוזרים וחלקן קבוצות שמכילות קבוצות אחרות).

הבעיה שלי זה שאם (בניתוח של תקיה אחת) אני מעיף את היוזר מרשימת ההרשאות הישירות (כלומר מעיף את השם שלו מרשימת ההרשאות) ומוסיף אותו לקבוצת הרשאות, פתאום אין לו גישה.

זאת אומרת שאיפה שהוא יש התנגשות בהרשאות. אני לא משתמש בהרשאות DENY אבל לא אני הקמתי את כל המשאבים האלה אז אי אפשר לדעת.

המטרה שלי היא כמובן ליצור קבוצות אבטחה מחלקתיות שבהן יוכנסו היוזרים עצמם, קבוצות אבטחה בתוך התקיות עצמן עם הרשאות מתאימות (קריאה או כתיבה) ולהכניס את המחלקה בתוך המשאב שהמחלקה הזאת צריכה...

אבל לצערי יש לי הרבה מקרים שכאילו המבנה הזה לא "תופס". כלומר יוזר מסוים לא מקבל הרשאה דרך NESTING של קבוצות אבל אם אני שם אותו ישירות בACL של התקיה הזאת הוא כן מקבל את ההרשאה.

- - - תגובה אוחדה: - - -

עריכה:

מצאתי את SolarWinds Permissions Analyzer for Active Directory שהוא חינמי.

מישהו התנסה איתו?

[jackhammer]

יש למישהו עוד רעיונות/הצעות/דעות....?