Как правильно организовать группы безопасности AD + syno?

Question

[OfflineCI]

Как правильно создавать группы безопасности?
Есть начальная папка которая создана на synology называется Testik (ниже схему директорий прикреплю)

1_На synology изменил разрешения для всех доменных пользователей

2_Создал Группы в AD (ниже скрин)

3_Добавил в каждую папку по две группы, R и W



Конечная цель что бы можно было выдать только группу для папки short, что бы ghost сотрудник не смог открыть
Без отключения наследования

Comments

[Роман Безруков]

а сейчас что и как происходит?

[OfflineCI]

Роман Безруков, При открытии \\10.1.1.11\Testik, показывает что в ней ничего нет

[OfflineCI]

Роман Безруков, на прямую так же не открывает, хотя доступ есть

Answer 1

[Пума Тайланд]

тут не баг, а так и работает NTFS: разрешения складываются, а не перекрываются. Раз Testik_R и Testik_W висят на корне и наследуются вниз без обрыва на Obmen/Short, доступ в Short получит любой член этих групп, даже не состоя в Testik_Obmen_Short_R — узкая группа только добавляет права, урезать чужие не умеет. Чтобы ghost реально не видел Short, его не должно быть ни в Testik_R/W, ни в Testik_Obmen_R/W, только в своей ветке.

p.s. пустой \\10.1.1.11\Testik это скорее всего ABE, "Hide sub-folders and files from users without permissions" в настройках share на Synology: List на корне есть у всех, но Obmen/Short прячутся у тех кто не в их группах.

Comments

[OfflineCI]

Так а сейчас почему папок вообще невидно?
Видно только папку Testik, но не содержимое

Answer 2

[Alexey Dmitriev]

Используется неверный подход.
Для каждой папки должна быть 3 отдельная отдельная группа, дающая возможность только "проваливаться сквозь нее", с правами list and traverse (права подбираются через Advanced - это не стандартные List Folder Contents). И группа на папке уровнем ниже должна быть членом такой же LT группы уровнем выше.
А конечные группы, выдающие RW\RO права, должны быть членами одной LT группы выше.

Comments

[OfflineCI]

Сможете расписать 1 пример как это должно выглядеть?
Это не добавление группы в группу RO ?

[Alexey Dmitriev]

OfflineCI, когда-то уже расписывал https://qna.habr.com/answer?answer_id=1790891#answ...

[OfflineCI]

Alexey Dmitriev, Я совсем запутался с правами и группами:(
Ещё и в старом запросе прям оч много галок и прав, подскажи пожалуйста

Вот все мои группы безопасности

Testik_W
Testik_R
Testik_Obmen
Testik_Obmen_R
Testik_Obmen_W
Testik_Obmen_Short
Testik_Obmen_Short_R
Testik_Obmen_Short_W
Testik_Obmen_Ghost
Testik_Obmen_Ghost_R
Testik_Obmen_Ghost_W



Testik_W и Testik_R оставляем, в него ничего не добавляем? И Testik обычный не создаём?
Мне нужно Testik_Obmen_R и Testik_Obmen_W добавить в Testik_Obmen как на скриншоте?

[Alexey Dmitriev]

OfflineCI,
Пример для Testik/Obmen/Ghost
1. Группа LT Testik_LT - с правами list and traverse только для папки Testik
2. Группа LT Testik_Obmen_LT - с правами list and traverse только для папки Obmen. Является членом группы Testik_LT
3. Группа LT Testik_Obmen_Ghost_LT - с правами list and traverse только для папки Ghost. Является членом группы Testik_Obmen_LT
4. Группа RW Testik_Obmen_Ghost_RW - с правами read and write для папки Ghost и ее подпапок и файлов. Является членом группы Testik_Obmen_Ghost_LT.
В нее добавляют учетки\группы для выдачи прав.
Аналогично для R

[OfflineCI]

Alexey Dmitriev, Alexey Dmitriev, Добрый день, при данном расположении групп безопасности, учётка видит только папку testik, но не видит содержимого, если написать полный путь до Ghost, то так же не открывает его, может где то допустил ошибку?

[Alexey Dmitriev]

OfflineCI, может и допустили, проверяйте права через effective access.

[OfflineCI]

Alexey Dmitriev, Всё гуд с правами на папку

[OfflineCI]

Alexey Dmitriev, Может в начальной папке неверный доступ?

[Alexey Dmitriev]

OfflineCI, все возможно. все довольно просто проверяется и диагностируется.
всегда можно выдать права на другую учетку вручную и проверить работает или нет и шаг за шагом все отладить.