Folder Security

[Argon]

Hallo,

Momenteel hebben we hier een fileserver met +- deze structuur

Hoofdmap
|
|--> Departement 1
| |-->...
|--> Departement 2
| |-->...
|-- Departemenet 3
| |-->...

Nu hebben we het probleem dat de persoon die dit in het verleden heeft opgezet bepaalde rechten ingesteld heeft die we willen "ongedaan" maken. Meer bepaald willen we niet dat gebruikers onder de Hoofdmap zelf bestanden en mappen kunnen aanmaken, want ze maken er momenteel een boeltje van . De hoofdmap mag dus enkel bestaan uit "Departement 1, 2 en 3" en enkel (Domain) Admins kunnen mappen of bestanden aanmaken onder de hoofdmap. Nu heb ik die rechten op de hoofdmap al ingesteld zodat ze enkel een list folder / Read data kunnen doen en daarna in het Security venster ingesteld dat dit enkel toegepast moet worden op "This Folder Only" Telkens ik dan alles Apply worden de rechten op Departement 1, 2 en 3 toch gewijzigd.

Op welke manier kan ik dit best instellen zonder te raken aan de andere mappen hun security instellingen?
//edit: fileserver is een Server 2012 R2 Standard

* Ik heb die instellingen natuurlijk eerst getest op enkele test directory's en niet op de echte structuur

[DIBO]

Op de onderliggende folder de 'Include inheritable permissions from this object's parent' afzetten, mocht dit nog niet gebeurd zijn.

[ITnetadmin]

Voor je users: gewoon de standaard "read/execute" permissions toepassen op "this folder, subfolders and files", en dan met een aparte setting "modify" permissions op de hoofdfolder instellen met "only subfolders and files" als target.
Voor je domain admins stel je dan gewoon de administrators in als "full control", et voila.
Dat lijkt met stukken makkelijker; dit is bijna textbook application.
Wel effe zorgen dat inheritance aanstaat, en dit zou moeten werken.


Denk er wel aan dat je met UAC aan enkel kan browsen via explorer als user. De "run as admin" werkt niet op de windows explorer, je zal dus best dit doen:
1) of je creeert een nieuwe security group waar je je dom admins insteekt en die je full control geeft op de main folder
2) of je runt een 3rd party explorer op de server die je wel kan elevaten
Wat je vooral *niet* doet is klikken op "give me access" wanneer hij dat voorstelt, want dan creeert hij een aparte full control permission voor die user.



[ Post made via mobile device ]