Rechte des Administrators einschränken

[pfaelzer]

Hallo Wissende,

der Titel klingt ungewöhnlich, vielleicht ist es auch meine Frage ...

Wie kann man/ich unterbinden, dass der "Administrator" Zugriff hat auf die Inhalte aller auf dem WHS gespeichrten Dateien?

Der Administrator soll "administrieren", d.h. (natürlich) Computer und Sicherungen verwalten, er soll auch Benutzerkonten und Ordner anlegen und die jeweiligen Berechtigungen verwalten ... alles o.k. und im Aufgabenbereich des Administrators und für seine Arbeit notwendig.

Aber bitte weshalb ist es für seine Arbeit des vorbeschriebenen "administrierens" notwendig, auch ALLE Dokumente in diesen Ordnern oder in den Datensicherungen nicht nur mit Namen zu sehen, sondern auch öffnen zu können?

Welche Ansätze kann ich verfolgen, welche Funktionen sind im WHS integriert, Zugriff auf die Daten auch nur dem Besitzer (ich sage jetzt bewusst nicht Benutzer) zu erlauben? Als mögliche Lösung könnte es ja ausreichen, dass der Administrator im Falle eines (berechtigten) Interesses dann zusätzlich das Benutzerkennwort eingibt.

PS: Wird eigentlich protokolliert, was der Administrator administriert?

Gruß Werner

[Christoph]

Hallo Werner,

ich gebe dir die Antwort nun mal auf einen normalen Windows Server 2003:

Der Administrator kann hier normalerweise nicht in die Daten des Benutzers schauen wenn die Berechtigungsstruktur es so möchte. Er kann, natürlich den besitz der Dokumente übernehmen und hineinschauen. Das ist eine Vertrauenssache.

Beim Windows Home Server hat die Gruppe der Administratoren standardmässig Vollzugriff auf die Homeverzeichnisse der Benutzer. Weshalb das so ist kann ich dir leider nicht sagen ... aber falls du es nicht möchtest, so könntest du die Rechte entziehen.

Viele Grüße

Chrsitoph

[pfaelzer]

Hallo Christoph,

macht Spass, so schnell eine kompetente Antwort zu erhalten ... </lob>

aber falls du es nicht möchtest, so könntest du die Rechte entziehen

und wie mache ich das?

Mal ein konkretes Beispiel für den Anfang: Der Administrator soll keine Rechte haben, Dokumente des Benutzers "Benutzername" und der Datensicherung des Computers "Computername" einzusehen. Was bitte muss ich wo ändern? Ist meine Vermutung richtig, dass dies "ausserhalb der Console" passiert? Was ist dann, wenn über die Console allgemeine Zugriffsrechte neu gesetzt werden oder ein neuer Benutzer angelegt wird?

PS: Haste auch eine Antwort auf die Frage nach dem Protokoll?

Gruß Werner

[thorstenb]

Hallo,

das ganze ist eigentlich zum scheitern verurteilt, weil numal der Administrator halt DER Administrator ist!
Du kannst dem Zwar das Recht entziehen, das der bestimmte Dateien sehen oder öffnen darf, aber er kann sich diese Rechte selbst wieder geben.

Entweder du vertraust dem Admin das der kein Schabernack mit den Daten treibt, oder du speicherst deine wichtigen Daten nicht auf dem System.

Gruß,
Thorsten

[pfaelzer]

Hallo Thorsten,

Entweder du vertraust dem Admin das der kein Schabernack mit den Daten treibt, oder du speicherst deine wichtigen Daten nicht auf dem System.

na ja ... ich sehe schon einen Unterschied zwischen "administrieren müssen" und "alles einsehen können".

Wenn ich (vom WHS automatisiert) eine Datensicherung machen lasse, dann möchte ich schon, dass meine Daten sicher sind. Und in meiner Denke inkludiert dies sowohl "safety" als auch "security". Das hat auch mit "Schabernack" nichts zu tun, das sind eigentlich Grundanforderungen an eine Datensicherheit.

Wenn ich bei einer Bank ein Schliessfach unterhalte, dürfen die es zwar administrieren, aber noch lang' nicht wissen, was sich alles darin befindet. Bisher hat es zum Öffnen immer zweier Schlüssel bedarft.

PS: Ideen zu der Frage mit dem Protokoll?

Gruß Werner

[MaG]

Hallo Werner

und du bist dir absolut sicher, dass die Bank keinen 2. Zweitschlüssel hat?
Wohl auch eine Frage des Vertrauens ...

Es wird wohl nur den Weg geben, deine "geheimen" Daten zu verschlüsseln, dann kann kein Administrator hineinschauen. Auch in der Sicherung nicht!

Und das wäre ohnehin die bessere "Sicherheitslösung", da sie auch bei Zugriff auf die Hardware oder auch deren Diebstahl wirkt!

[pfaelzer]

Hallo,

Es wird wohl nur den Weg geben, deine "geheimen" Daten zu verschlüsseln, dann kann kein Administrator hineinschauen. Auch in der Sicherung nicht!

ja, daran habe ich schon gedacht, aber die Frage "kann ich beim WHS die Festplatten verschlüsseln" habe ich noch nicht zu stellen gewagt ...

Aber zurück zu meinem Thema ... Ich kann nicht glauben, dass eine Firma wie MS, die eigentlich Sicherheit groß schreibt, einen WHS plaziert, der elementarste Kriterien nicht erfüllt. Dabei geht es auch nicht um "geheime" Daten oder mangelndes Vertrauen an den Administrator. Es geht einfach darum, dass es beim Umgang mit Daten Berechtigungen gibt, die es sinnvoll einzuhalten gilt.

Nochmals der Kern meiner Frage: Kann ich dem WHS beibringen, die einzelnen Dateien meiner Datensicherung nur für mich einsehbar zu machen? Kann ich dem WHS beibringen, dass nur diejenigen Benutzter Zugriff auf meine Daten haben, die als Benutzer die dafür notwendigen Rechte eingetragen haben? Kann vom WHS ein Protokoll erstellt werden, was "jeweils administriert wurde"?

Alternativ (zumindest für die Datensicherung) ... gibt es die Möglichkeit, in einen "verschlüsselten Container dynamischer Größe" (in der Art wie es z.B. TrueCrypt auf dem Client macht) die automatische Datensicherung anzulegen?

Gruß Werner

[vMarkus]

Aber zurück zu meinem Thema ... Ich kann nicht glauben, dass eine Firma wie MS, die eigentlich Sicherheit groß schreibt, einen WHS plaziert, der elementarste Kriterien nicht erfüllt. Dabei geht es auch nicht um "geheime" Daten oder mangelndes Vertrauen an den Administrator. Es geht einfach darum, dass es beim Umgang mit Daten Berechtigungen gibt, die es sinnvoll einzuhalten gilt.

Du bist scheinbar nicht ausreichend Informiert, denn der WHS erfüllt alle elementaren Kriterien.

Nochmals der Kern meiner Frage: Kann ich dem WHS beibringen, die einzelnen Dateien meiner Datensicherung nur für mich einsehbar zu machen? Kann ich dem WHS beibringen, dass nur diejenigen Benutzter Zugriff auf meine Daten haben, die als Benutzer die dafür notwendigen Rechte eingetragen haben? Kann vom WHS ein Protokoll erstellt werden, was "jeweils administriert wurde"?

Über File und Share -Rechte, funktioniert seit Windows NT

Alternativ (zumindest für die Datensicherung) ... gibt es die Möglichkeit, in einen "verschlüsselten Container dynamischer Größe" (in der Art wie es z.B. TrueCrypt auf dem Client macht) die automatische Datensicherung anzulegen?

Ja, gibt es

[AliG]

Hi!
@vMarkus: Ich denke du hast Werner hier falsch verstanden, ich denke er meint mit "Datensicherung" nicht die Freigaben, sondern das Backup.

Und beim Backup ist es leider nicht möglich, den Zugriff zu beschränken. Derjenige der das WHS-Passwort kennt (=Adminpasswort) kann alle Sicherungen öffnen und auf alle Dateien (ob Benutzerordner oder nicht) auf den Partitionen zugreifen.
Interessante Diskussion zu dem Thema im MS-Forum: http://forums.microsoft.com/WindowsHome ... &SiteID=50

lg Alex

[vMarkus]

Nunja, das ändert die Sache natürlich
Für solche Fälle gibt es dann noch EFS, TrueCrypt usw.

[pfaelzer]

Hallo Alex, Markus,

sorry, wenn meine Begriffe nicht eindeutig sind. Mit "Datensicherung" meine ich das, was man mittels Konsole unter "Computer und Sicherung" konfiguriert. Also die Daten, die der WHS im eingestellten Zeitfenster automatisch vom Client holt und auf dem WHS sichert.

Und da ist es mir noch nicht gelungen, die Logik hinter der Dateistruktur zu erkennen.

Natürlich kann man (sogar ich) auf Dateiebene die Rechte des Administrators beschränken, doch ist gerade der Vorteil des WHS, dass es für alle "administrativen Zwecke" die Konsole gibt.

Und auch genau das ist mein Wunsch dieses Postings hier. Der Administrator soll mittels Konsole administrieren, der Benutzer soll seine Daten gemäß seiner ihm vom Administrator eingeräumten Rechte benutzen. Dabei sehe ich den Administrator im Bereich der Datennutzung als "normalen Benutzer", dem Rechte gegeben sind oder halt nicht.

Ich sehe die Zielgruppe des WHS nicht nur für "größere private LANs", sondern auch für "kleine gewerbliche Nutzung". Und somit finde ich mein Anliegen soooo abwegig nicht. Es entspräche in diesem Umfeld auch üblichen Kontrollmechanismen, die Administratortätigkeiten zu protokollieren. Das ist kein Mißtrauen, sondern die Chance, den Umgang mit Daten (die Datensicherheit) transparent zu dokumentieren.

[vMarkus]

Du kannst natürlich Dateizugriffe protokollieren, aber ein Administrator kann auf einem System immer ALLES, egal ob das Windows/Linux usw. ist, deshalb heißt er ja ADMINISTRATOR.
In jeder Firma ist es auch üblich das ein Admin eine NDA Unterzeichnen muß, in vielen Firmen sogar noch noch andere Dinge, eben weil er Zugriff auf alles hat.
Für "sensible" Daten habe ich ja schon EFS, bzw. TrueCrypt angesprochen, auf diese Daten hat niemand einsicht der nicht auch den passenden "Schlüssel" hat

[pfaelzer]

Hallo Markus,

aber ein Administrator kann auf einem System immer ALLES

soll er auch bei mir. Er soll alles dürfen, was er zum administrieren dürfen muss. Nur muss er zum administrieren einer "Datensicherung" nicht in das einzelne Dokument reinschauen müssen um zu kontrollieren, ob auch alle Buchstaben noch da sind.

In jeder Firma ist es auch üblich das ein Admin eine NDA Unterzeichnen muß, in vielen Firmen sogar noch noch andere Dinge

muss er bei mir nicht *versprech*. Aber da du die Erwartungshaltung der Firmen erwähnst ... in vielen Firmen wird erwartet, dass der Administrator (oder das System) durch Protokoll nachweisen kann, welcher Benutzer (welche Benutzergruppe) wann mit welchen Rechten Zugriff auf welche Ordner hatte.

Für "sensible" Daten habe ich ja schon EFS, bzw. TrueCrypt angesprochen

für "Datensicherung" scheidet das (nach meinem Verständnis) schon mal aus. Oder hast du eine Idee, wie das gehen könnte?

Gruß Werner

[vMarkus]

Hallo Markus,
für "Datensicherung" scheidet das (nach meinem Verständnis) schon mal aus. Oder hast du eine Idee, wie das gehen könnte?
Gruß Werner

Warum sollte das ausscheiden? Verschlüsselte Daten kann man genauso sichern wie alle anderen auch.
Nur als Beispiel weil ich es persönlich auch so einsetze.
Auf meinem Rechner liegt eine TrueCrypt Datei mit 10GB, die natürlich vom WHS genauso gesichert wird wie alle anderen Dateien auch (.mp3, .doc, ...)
Nur mit dem Unterschied das man in die .tc (TrueCrypt) nicht ohne Passwort "reinschauen" kann, was bei .mp3 oder .doc ja problemlos möglich ist.

Hoffe das ist verständlich ausgedrückt

[pfaelzer]

Hallo Markus,

Hoffe das ist verständlich ausgedrückt

ich habe dich verstanden, leider schaffe ich es nicht, dass du mich verstehst ...

Wie soll das bitte bei der Datensicherung (was du Backup nennst) mit TrueCrypt funktionieren? In welchem Verzeichnis des WHS lege ich bitte den Container an und wie sage ich dem WHS, dass er meine Daten genau dort hinein sichert?

Sei' doch bitte einfach mit deinen Hinweisen zur Umsetzung etwas ergiebiger, vielleicht gelingt es dir, meine Denkblockade zu lösen.

Gruß Werner