Rechtestruktur in einem Verzeichnisbaum

[MaBuSE]

Hallo,
ich habe hier folgende Verzeichnisstruktur:

Code:

...\Daten
...\Daten\Verzeichnis1
...\Daten\Verzeichnis2
...\Daten\Verzeichnis3
...\Daten\Verzeichnis4
...\Rechte
...\Rechte\Verzeichnis1
...\Rechte\Verzeichnis2
...\Rechte\Verzeichnis3
...\Rechte\Verzeichnis4

Der Benutzer hat auf das Verzeichnis Daten ausschließlich Lesenden Zugriff.
In der Rechtestruktur hat er auf einigen Verzeichnissen auch schreibenden Zugriff.
Das ganze ist nun mit Gruppen in der Domäne geregelt.
Den Verzeichnissen sind gewisse Gruppen zugeordnet und auch der Benutzer hat die entsprechenden Gruppen.

Ein Programm prüft nun ob es im Rechte\VerzeichnisX eine Datei anlegen kann und schreibt dann mit einem anderen Benutzer in das Daten\VerzeichnisX.

Ich finde das etwas umständlich.

Eine Idee zur Vereinfachung wäre statt der Rechtestruktur mit mehreren 100 Verzeichnissen nur ein Rechte Verzeichnis mit jeweils einer Datei pro Verzeichnis zu erstellen und dann die Rechte entsprechend auf den Dateien zu prüfen. -> http://www.delphipraxis.net/155902-r...ermitteln.html

Das ist zwar immer noch umständlich, aber deutlich besser als der jetzige Ansatz.

Eine Andere Idee ist eine art *.ini Datei mit folgendem Aufbau:

Code:

[Rechte]
Verzeichnis1=Gruppenname1
Verzeichnis2=Gruppenname2
Verzeichnis3=Gruppenname3
...

Dann müsste man "nur" prüfen, ob der Benutzer die Gruppe zugewiesen hat.
In der Eingabeaufforderung kann man das einfach mit

Code:

net user <benutzername> /domain

prüfen. (-> "Globale Gruppenmitgliedschaften")
Das lässt sich natürlich auch irgendwie in Delphi programmieren.

Hat jemand vielleicht eine andere / bessere Idee, wie man so was lösen könnte.

Rahmenbedingungen:

• Der Benutzer darf auf keinen Fall schreibenden Zugriff auf das Daten-Verzeichnis haben
• Die Rechte müssen durch die System-Adminstratoren vergeben werden können.
• Auf die Gruppennamen habe ich keinen Einfluss.
• Es geht um viele Verzeichnisse (<100)
• Es geht um viele Benutzer (<100)
• Das Ganze sollte nicht zu kompliziert sein.

Ich hoffe dass jemand eine gute Idee hat

Vielen Dank im Voraus
MaBuSE

[p80286]

Zitat:

Ein Programm prüft nun ob es im Rechte\VerzeichnisX eine Datei anlegen kann und schreibt dann mit einem anderen Benutzer in das Daten\VerzeichnisX.

Ich muß ehrlich zugeben, daß ich nicht richtig verstanden habe wofür das gut sein soll.
Mir ist das zu umständlich. Wer pflegt eigentlich die zugehörigen Daten?

Ich sehe das so:

der Benutzer hat die notwendigen Rechte um irgendetwas zu tun.
Ist das nicht der Fall, gibt es eine Fehlermeldung.

Ich verfolge den Ansatz, daß die Mitglieder einer Gruppe alle die gleichen Rechte für ihre Arbeit benötigen. Also z.B. Personalabteilung,Vertrieb,Geschäftsleitung haben jeweils eigene Datenbestände mit genau definierten Zugriffsrechten. Wenn also eine Person sowohl für den Vertrieb als auch die Personalabteilung arbeitet, dann ist diese Person in beiden Gruppen Mitglied. Sobald diese Rechte nicht mehr benötigt werden, dann wird er in der entsprechenden Gruppe gelöscht.
Hierbei ist der Verwaltungsaufwand rel. klein, Vorraussetzung ist aber das die Benutzer ihre Daten funktionsbezogen und nicht als Privateigentum sehen.

Gruß
K-H

[MaBuSE]

Zitat von p80286:

Zitat:

Ein Programm prüft nun ob es im Rechte\VerzeichnisX eine Datei anlegen kann und schreibt dann mit einem anderen Benutzer in das Daten\VerzeichnisX.

Ich muß ehrlich zugeben, daß ich nicht richtig verstanden habe wofür das gut sein soll.
Mir ist das zu umständlich. Wer pflegt eigentlich die zugehörigen Daten?

Das Problem ist folgendes:

Der Benutzer hat eine Datei.
Diese Datei soll in das Verzeichnis
Der Benutzer darf in das Verzeichnis nicht direkt schreiben, da die Datei von einem Programm modifiziert werden muss.
Also prüft das Programm ob der Benutzer diese Datei abgeben darf.
Wenn ja, dann wird die Datei geparst, um einige Dinge erweitert und dann in das Verzeichnis geschrieben.
Dazu meldet sich das Programm mit einem anderem Benutzer an, der in das Verzeichnis schreiben darf.

Die Rechte sind über Gruppen organisiert, die den Benutzern zugewiesen wurden.

Ich finde nur das Verfahren der Rechteprüfung sehr umständlich und fehlerträchtig, da Gruppenrechte alle einzeln auf die Verzeichnisse in der Rechtestruktur gelegt wurden / werden, und es immer mal wieder Probleme gibt, wenn jemand ausversehen Rechte vererbt.

Ich würde das Ganze gerne vereinfachen.

Und da ich jetzt eh an dem Programm (was nicht von mir ist) rumschrauben muss, ist das die Gelegenheit.

Sonst gebe ich Dir Recht. Wenn die Benutzer schreiben dürfen, einfach das Recht dazu geben. Das darf aber hier nicht sein. Alle Dateiübergaben müssen mit dem Programm gemacht werden. Da darf es keine Ausnahme geben.
Das Programm erzeugt noch passende Unterverzeichnisse und die Daten werden automatisch von einem anderem Programm weiterverarbeitet. Das Ganze ist in eine Prozesskette integriert und hat den Sinn Fehler von den Benutzern, die die Dateien zur Verfügung stellen zu minimieren.

Um das ganze hier lang zu erklären, ist das das falsche Forum

mfg
MaBuSE