Zugriffsberechtigungen / Freigaben mal wieder...

[Gen8 Runner]

Hallo beisammen,
schön, dass auch für FreeNAS eine Community existiert und man sich hier ein wenig austauschen kann.
Ich habe mir endlich auch ein NAS aufbauen können. Hardware ist ein HP GEN8 mit Xeon Prozessor und 16TB Speicher im RaidZ1, ZFS mit Verschlüsselung derzeit. Das nur kurz zu den Grundfakten.

Nun wollte ich es allerdings einrichten, exakt wie in dieser Anleitung beschrieben und auch von den Usern her so gedacht:
http://marvinmarvin.de/dokumente/blog/FreeNAS.pdf

D.h. mein erklärtes Ziel war auch folgendes:
Ich habe drei User:
- Backup
- Privat
- Public

Folgendes sollte geschehen:
- Backup auf Backup, Public UND Privat zugreifen können
- Privat auf Privat, Backup UND Public zugreifen können
- Public nur auf Public zugreifen können

D.h. ich selber wollte sowohl für mich Zugriff auf Privat, Public und Backup haben.
Public hingegen (bspw. Kumpel / Verwandte), die ihr Netzlaufwerk mit dem Public-User verbinden, sollten auch nur den Public Ordner sehen und keine Daten im Backup oder Privat Bereich.

Hier liegt jedoch der Hase im Pfeffer. Ich habe alles so eingerichtet, wie oben auch geschrieben.
Ich kann auch unter Windows 8 (nicht 8.1) mich per SAMBA/CIFS zu den Netzlaufwerken verbinden, jedoch sind die Ordner nicht wie gewünscht sichtbar.
D.h. z.B. als Privat eingeloggt, kann ich nur die Ordner im Dataset Privat sehen, jedoch nicht Public oder Backup. Als Public kann ich logischerweise nur Public sehen. Als Backup kann ich nur Backup, aber NICHT Public oder Privat sehen.

Also sind sämtliche Freigaben für die Katz und ich müsste jedes mal zwischen den Usern hin- und herwechseln, wenn ich bspw. gerade Bilder aus dem Privat-Ordner angesehen habe und anschließend oder gleichzeitig ein Backup im Backup Dataset einspielen will. D.h. Bilder anschauen, ausloggen und Backup Netzwerklaufwerk verbinden, Backup anfertigen und trennen, weiter Fotos anschauen.

Ich hoffe das ist ausreichend für die Problembeschreibung! :)

Achso:
Richte ich eine Windows-Freigabe für das Hauptdataset NAS (wo Public, Privat und Backup als unter-Dataset eingerichtet sind) ein, so kann ich ohne Passwort / User auf ALLE Ordner und Daten zugreifen, was natürlich auch nicht Sinn der Sache ist! :(

Lg
Gen8 Runner


Update:
Es "funktioniert" nun, jedoch nicht nach Anleitung.
Folgendermaßen:
Alles wie gehabt eingestellt, allerdings NUR EINE Samba/CIFS Freigabe. Diese auf den Stammpfad \\XXX.XXX.XXX.XX\NAS

Je nachdem, ob ich mich dort nun mit Privat, Public oder LaptopBackup anmelde, kann ich auf die zugewiesenen Ordner zugreifen oder bekomme eine Fehlermeldung.
Wozu wurden also im HowTo drei Freigaben für Windows eingerichtet, wenn doch eine einzelne reicht und die Ordnerfreigabe dann über die User-Anmeldung (Privat, Public, LaptopBackup) gesteuert wird?

Der riesen Haken ist bloß:
Über den Button "Netzlaufwerk hinzufügen" wird nach einem User/Password gefragt. Gebe ich in der Explorerleiste hingegen direkt die IP des NAS ein (\\XXX.XXX.XXX.XX), so wird mir die SAMABA/CIFS Freigabe (NAS) angezeigt und ich kann ohne User/Password auf ALLES zugreifen. Und das trotz gelöschter, vorher gespeicherter Netzwerkkennwörter. Datenschutz also gleich Null.

 

[Ericloewe]

Richte ich eine Windows-Freigabe für das Hauptdataset NAS (wo Public, Privat und Backup als unter-Dataset eingerichtet sind) ein, so kann ich ohne Passwort / User auf ALLE Ordner und Daten zugreifen, was natürlich auch nicht Sinn der Sache ist! :(

Und es gibt mehr Probleme mit dieser "Methode". Der top-level Dataset soll nie als Share freigegeben werden.

So funktioniert es:

• Datasets erstellen, Owner eingeben
• Shares erstellen
• Der Owner loggt in und ändert die Rechte

Dann gibt es viele Möglichkeiten. Z.B. würde ich Privat als Owner des Public datasets haben und dann Public halt Lesen/Schreiben erlauben.

 

[Gen8 Runner]

Okay, dann werde ich den Hauptpfad mal in Ruhe lassen.

Aber nochmal langsam zum Mitschreiben:
Haupt-Dataset = NAS
Und dann im Verzeichnisbaum unter NAS habe ich drei Datasets erstellt (Privat, Public, LaptopBackup). Diese habe ich auch den jeweiligen Nutzern zugeordnet (Public User = Public Dataset bspw., LaptopBackup = LaptopBackup Database). Und dann weiter?

Allerdings wollte ich eben ganz gerne mich in nur ein Netzlaufwerk einloggen (bspw. Privat), um Zugriff auf Privat, Public UND LaptopBackup zu haben. U.a., da Windows auch nur zwei Verbindungen zur selben IP zulässt.

 

[Ericloewe]

Okay, dann werde ich den Hauptpfad mal in Ruhe lassen.

Aber nochmal langsam zum Mitschreiben:
Haupt-Dataset = NAS
Und dann im Verzeichnisbaum unter NAS habe ich drei Datasets erstellt (Privat, Public, LaptopBackup). Diese habe ich auch den jeweiligen Nutzern zugeordnet (Public User = Public Dataset bspw., LaptopBackup = LaptopBackup Database). Und dann weiter?

Allerdings wollte ich eben ganz gerne mich in nur ein Netzlaufwerk einloggen (bspw. Privat), um Zugriff auf Privat, Public UND LaptopBackup zu haben. U.a., da Windows auch nur zwei Verbindungen zur selben IP zulässt.

Wenn es wirklich sein muss, dann kann man immer so etwas machen:

• Top-level Datatset
  • Hier wird der Share gemountet
    • Privat
    • Public
    • Backup

 

[Gen8 Runner]

Hmm okay.
Dann muss ich mir da nochmal etwas überlegen.

Hatte gehofft, dass es so simpel zu erstellen geht, wie im oben verlinkten PDF HowTo.
Das hätte nämlich genau meine Vorstellungen getroffen und das erfüllt, was ich gesucht habe.

Derzeitiger Stand ist in den Bildern.

 

[Ericloewe]

Die Anleitung ist uralt. Besonders mit CIFS hat sich viel geändert.

 

[Gen8 Runner]

Guten Abend,
kann jemand denn nochmal aktuell kurz zusammenfassen OB und WIE das dann mit den SMB Freigaben geht?

Es muss doch möglich sein, dass:
3 User existieren
3 Verzeichnisse, d.h. für jeden User eines
2 User auf alle Drei Verzeichnisse Zugriff haben und 1 User nur auf ein Verzeichnis Zugriff hat

Das klappt irgendwie nicht wirklich, da der 1 User plötzlich auch auf alles andere zugreifen kann, wie im englischen Thread hier erwähnt.

Danke schonmal! :)

 

[Stefan_]

Ich bin kein Profi, aber ich würde es wie folgt lösen:

User 1 + User 2 einer Gruppe zuordnen, die bei Eigentümer-Gruppen bei den Speicher-Freigaben eintragen (Eigentümer-Benutzer jeweils den jeweiligen Benutzer).

User 3 bekommt sein eigenes Verzeichnis als Eigentümer-Benutzer, als Gruppeneigentümer wird auch hier die Gruppe von User 1 + User 2 eingetragen.

 

[Gen8 Runner]

Hallo erneut! :)
Ich GLAUBE den Stein der Weisen gefunden zu haben. Noch möchte ich nicht den Tag vor dem Abend loben, muss das ganze noch genauer verifizieren und länger austesten.

Für Nachahmer hier erstmal die Kurzform, wo wahrscheinlich mein Problem lag:
In der CIFS Freigabe im Textfeld "Auxiliary Parameters" muss ein Text eingefügt werden.

valid users = user
valid users = @gruppe
Dort kann man das zweite (Wort) user durch den jeweiligen User ersetzen, der Zugriff haben soll.
Ein einfacher User geschieht durch den Usernamen (ohne Anführungsstriche und sonstwas), eine ganze Gruppe kann per @group zugewiesen werden. Natürlich müsst ihr das "user" oder "@group" durch eure jeweiligen eigenen Benutzer- oder Gruppennamen ersetzen.
Wenn dann den Gruppen die entsprechenden User richtig zugewiesen worden sind, habt ihr wie gewünscht nur Zugriff auf den jeweiligen Ordner und es scheint, als sei der Ordner auch durch den Aufruf der IP Adresse nicht einfach einsehbar.