Relevante Daten im Blick mit unserer Fileserver-Suite migRaven.24/7.

Best Practices ReportSchneller Überblick

Der Best Practice Report liefert detailliert wichtige Kennzahlen bezüglich der Microsoft Best-Practices-Compliance der Berechtigungen auf dem eingelesenen Laufwerk. Finden Sie unkompliziert heraus, wo beispielsweise Berechtigungen zu tief reichen (mehr als 3 Ebenen), Vererbungen unterbrochen werden oder User direkt berechtigt sind. Diese Informationen sind zur Vorbereitung einer Fileserver-Restrukturierung oder beim Bereinigen des Active Directorys unverzichtbar!

Berechtigungsebenen

Um die Administration von Berechtigungen so einfach wie möglich zu gestalten, sollten Berechtigungen nicht zu tief vergeben werden. Dabei hat sich Ebene 3 der Verzeichnisstruktur als optimale Verzeichnistiefe erwiesen. Denn jedes unterhalb von Ebene 1 liegende explizite Recht macht es notwendig, dass auch Listberechtigungen aufgebaut werden, damit der User überhaupt zum eigentlichen Verzeichnis gelangen kann. Der migRaven.one Report zeigt Ihnen im Detail, wie tief die Berechtigungen in Ihrer Umgebung reichen und die sich daraus ergebende durchschnittliche Berechtigungstiefe.

migRaven Best-Practice-Report für Windows Filesysteme

Berechtigungen bis in die 13. Ebene - Zu tiefe und überkomplexe Berechtigungsstrukturen sind leider in vielen IT Umgebungen die Regel.

Best Practice Report mit migRaven.24/7

Vererbungsunterbrechung

Die Unterbrechung von Vererbungen sollte genau wie Deny-Berechtigungen vermieden werden. Auch wenn es in bestimmten Situationen als sinnvoll erscheinen kann, provoziert dieses Vorgehen im weiteren Lebenszyklus des Systems zusätzlichen Aufwand, z.B. wenn es notwendig wird, Berechtigungen zu vererben. Der Report zeigt Ihnen alle unterbrochenen Vererbungen. Empfohlen ist hier, grundsätzlich nach dem Least Privilege Principle zu arbeiten: immer nur soviel Berechtigungen vergeben, wie tatsächlich benötigt werden. Dies macht eine Betrachtungsumkehr bei der Berechtigungsvergabe notwendig. Man setzt Rechte nicht von oben sondern von unten. Dies bedeutet, dass man z.B. auf der Ebene über einem explizit vergebenen Modify-Recht nur noch Listberechtigungen benötigt, damit dies funktioniert.

Direkt berechtigte Personen

Eine weitere Empfehlung ist die Verwendung von Gruppen für die Berechtigungsvergabe. Gruppen ermöglichen es überhaupt erst, Rechte für viele User zu vergeben. Denn ACLs sind grundsätzlich beschränkt und es kommt leicht zu Performanceproblemen, wenn zu viele ACEs vorhanden sind. Der Report zeigt, wie viele User in einer Umgebung direkt berechtigt sind, die keine Administratoren sind. Nach Best Practice sollte man nach dem Prinzip A-G-DL(oder G, oder U)-P arbeiten: Der Account kommt in eine Rollengruppe (G), diese in Berechtigungsgruppen (DL) – diese wiederum wird zum Mitglied der P(ACL). Es ist aber durchaus sinnvoll in bestimmten Fällen auf die Rollengruppe zu verzichten, wenn z.B. die Userkombination nur für ein einziges Verzeichnis benötigt wird. Genau dann verwendet man A-()-DL-P – die User werden zum direkten Mitglied in der Berechtigungsgruppe. Das stellt sicher, dass keine User direkt in einer ACL berechtigt sind.

Es ist aber durchaus sinnvoll in bestimmten Fällen auf die Rollengruppe zu verzichten, wenn z.B. die Userkombination nur für ein einziges Verzeichnis benötigt wird. Genau dann verwendet man A-()-DL-P – die User werden zum direkten Mitglied in der Berechtigungsgruppe. Das stellt sicher, dass keine User direkt in einer ACL berechtigt sind.

Verwaiste ACE

Verwaiste ACEs entstehen, wenn ein Account aus dem AD gelöscht wird ohne die ACE Einträge zu entfernen. Dies ist kein technisches Problem sondern ein „Schönheitsfehler“, der sich natürlich auch auf das Reporting auswirkt.