none
Sichern / Wiederherstellen von Daten mit keinen Zugriffsrechten RRS feed

  • Frage

  • Hallo zusammen,

    ich bräuchte ein paar Ideen oder Tipps. Folgende Situation besteht beim Kunden:

    Der Kunde hat einen neuen Hyper-V Cluster mit einer IBM Storage. Als Fileserver wurde bislang ein normaler Server verwendet. Nun wurde die Funktion des Fileservers auf eine virtuelle Maschine verschoben. Die Netzlaufwerke des Kunden wurden normal mit robocopy kopiert. Die Basisverzeichnisse der Benutzer wurden nicht übernommen, denn es gab eine Gruppenrichtlinie, die die Eigenen Dateien direkt auf das Basisverzeichnis umgeleitet hat. Das war mir zu unsauber und habe es gleich bei der Gelegenheit abgeändert, so dass ein zusätzlicher Ordner "Eigene Dateien" im Basisverzeichnis des Benutzers erstellt wird. All das hat prima geklappt. - Die Verzeichnisse wurde beim Anpassen der Daten im AD automatisch angelegt; bei der Anmeldung der Benutzer wurden die "Eigenen Dateien" der Benutzer auf den neuen Pfad verschoben. Somit war wieder alles sauber.

    Nun habe ich mir das ganze noch einmal angesehen und mir ist aufgefallen, dass ich beim Wiederherstellen der Dateien zwar in das Verzeichnis der Benutzer rein navigieren kann, aber dort keine Daten drinnen sind. Also: "F:\Users\m.mustermann\Eigene Dateien". Unter "\m.mustermann" sehe ich alles. Der Ordner "Eigene Dateien" ist ebenfalls da, jedoch leer. Im Explorer komme ich nicht in das Verzeichnis rein, da wahrscheinlich die Berechtigungen der Eigenen Dateien mir das untersagen, aber wie soll ich die Daten wiederherstellen?


    Edit:
    Ich rede von der Windows Server-Sicherung

    Edit:
    Ich habe bei einem Testbenutzer die automatische Ordnerumleitung vorgenommen. Dort ist es so, dass im Ordner Documents SYSTEM und der Benutzer Vollzugriff haben. Sonst existieren keine weiteren Einträge - nur die zwei.

    Dienstag, 2. August 2011 09:10

Antworten

  • Ah, das hatte ich außer Acht gelassen. Danke für den Hinweis. Das Problem ist jetzt nur, dass laut meinen Tests, die Ordner nicht nachträglich angepasst werden. Ich habe schon mehrfach mit dem gleichen Testuser ein gpupdate /force gemacht und mich neu angemeldet. Das System meldet zwar jedes Mal, dass eine neue Anmeldung erforderlich ist, jedoch ändert sich nichts an diesem Zustand - die Ordnerberechtigungen auf den Eigenen Dateien bleiben so.

    Wahrscheinlich müsste ich den Pfad wieder ändern, oder? <-- Jetzt nur rein theoretisch; für mich in Frage kommen würde das nicht.


    Edit:
    Kann es auch sein, dass das nicht passiert, weil eine andere Richtlinie das blockiert (auf der anderen Seite hat das Umleiten selber auch funktioniert)? Auf jeden Fall, so lautet die Ausgabe von gpupdate (jedes Mal):

    Bei der Verarbeitung der Benutzerrichtlinie sind folgende Warnungen aufgetreten:

    Die clientseitige Erweiterung "Folder Redirection" der Gruppenrichtlinie konnte mindestens eine Eins
    tellung nicht anwenden, da die Änderungen vor dem Systemstart oder der Benutzeranmeldung verarbeitet
     werden müssen. Das System wartet vor dem nächsten Startvorgang oder der nächsten Benutzeranmeldung
    darauf, dass die Gruppenrichtlinienverarbeitung vollständig abgeschlossen ist. Dies kann zu einem la
    ngsamen Start und zu einer niedrigen Startleistung führen.
    Fehler beim Anwenden der "Internet Explorer Zonemapping"-Einstellungen. Die "Internet Explorer Zonem
    apping"-Einstellungen besitzen möglicherweise eine eigene Protokolldatei. Klicken Sie auf den Link "
    Weitere Informationen".
    Die Aktualisierung der Computerrichtlinie wurde erfolgreich abgeschlossen.

    Detaillierte Informationen hierzu finden Sie im Ereignisprotokoll. Sie können auch "gpmc.msc" aufruf
    en, um auf Informationen zu den Gruppenrichtlinienergebnissen zuzugreifen.

    Bestimmte Benutzerrichtlinien sind aktiviert, die nur bei der Anmeldung ausgeführt werden können.

    Dienstag, 2. August 2011 11:11
  • Hallo,

    Der User selbst kann die Berechtigung ändern.
    Dazu einfach eine GPO mit Anmeldescript:

    cmd /c CACLS \\server\share\%username%\*.* /T /E /G  "Domain\Group":F


    Bei der Anmeldung wird die Gruppe eingetragen und berechtigt.

     

    BTW:

    Wenn du das Privileg SeBackupPrivilege besitz, solltest du auch ohne
    Änderung der NTFS Rechte die Daten sichern können.

    Dienstag, 2. August 2011 11:24

Alle Antworten

  • > "Eigene Dateien" im Basisverzeichnis des Benutzers erstellt wird. All
    > das hat prima geklappt. - Die Verzeichnisse wurde beim Anpassen der
    > Daten im AD automatisch angelegt; bei der Anmeldung der Benutzer wurden
     
    Dir fehlt das Recht, in der Tat. Beim Definieren der Folder Redirection
    kannst auch angeben, ob die Administratoren-Gruppe in die ACL des
    umgeleiteten Ordners aufgenommen wird oder nicht:
     
    "Dem Benutzer exklusive Zugriffsrechte erteilen für Dokumente"
     
    Das dürfte bei Dir aktiviert sein, dann hast keine Leserechte...
     
    mfg Martin
     

    A bissle "Experience", a bissle GMV...
    Dienstag, 2. August 2011 10:09
  • Ah, das hatte ich außer Acht gelassen. Danke für den Hinweis. Das Problem ist jetzt nur, dass laut meinen Tests, die Ordner nicht nachträglich angepasst werden. Ich habe schon mehrfach mit dem gleichen Testuser ein gpupdate /force gemacht und mich neu angemeldet. Das System meldet zwar jedes Mal, dass eine neue Anmeldung erforderlich ist, jedoch ändert sich nichts an diesem Zustand - die Ordnerberechtigungen auf den Eigenen Dateien bleiben so.

    Wahrscheinlich müsste ich den Pfad wieder ändern, oder? <-- Jetzt nur rein theoretisch; für mich in Frage kommen würde das nicht.


    Edit:
    Kann es auch sein, dass das nicht passiert, weil eine andere Richtlinie das blockiert (auf der anderen Seite hat das Umleiten selber auch funktioniert)? Auf jeden Fall, so lautet die Ausgabe von gpupdate (jedes Mal):

    Bei der Verarbeitung der Benutzerrichtlinie sind folgende Warnungen aufgetreten:

    Die clientseitige Erweiterung "Folder Redirection" der Gruppenrichtlinie konnte mindestens eine Eins
    tellung nicht anwenden, da die Änderungen vor dem Systemstart oder der Benutzeranmeldung verarbeitet
     werden müssen. Das System wartet vor dem nächsten Startvorgang oder der nächsten Benutzeranmeldung
    darauf, dass die Gruppenrichtlinienverarbeitung vollständig abgeschlossen ist. Dies kann zu einem la
    ngsamen Start und zu einer niedrigen Startleistung führen.
    Fehler beim Anwenden der "Internet Explorer Zonemapping"-Einstellungen. Die "Internet Explorer Zonem
    apping"-Einstellungen besitzen möglicherweise eine eigene Protokolldatei. Klicken Sie auf den Link "
    Weitere Informationen".
    Die Aktualisierung der Computerrichtlinie wurde erfolgreich abgeschlossen.

    Detaillierte Informationen hierzu finden Sie im Ereignisprotokoll. Sie können auch "gpmc.msc" aufruf
    en, um auf Informationen zu den Gruppenrichtlinienergebnissen zuzugreifen.

    Bestimmte Benutzerrichtlinien sind aktiviert, die nur bei der Anmeldung ausgeführt werden können.

    Dienstag, 2. August 2011 11:11
  • Hallo,

    Der User selbst kann die Berechtigung ändern.
    Dazu einfach eine GPO mit Anmeldescript:

    cmd /c CACLS \\server\share\%username%\*.* /T /E /G  "Domain\Group":F


    Bei der Anmeldung wird die Gruppe eingetragen und berechtigt.

     

    BTW:

    Wenn du das Privileg SeBackupPrivilege besitz, solltest du auch ohne
    Änderung der NTFS Rechte die Daten sichern können.

    Dienstag, 2. August 2011 11:24
  • > cmd /c CACLS \\server\share\%username%\
     
    Du meinst sicher "icacls" statt "cacls" (: Und die Vererbung kann man
    dann auch setzen:
     
    icacls "%homeshare%%homepath%Dokumente" /grant Domain\Group:(OI)(CI)F /T /C
     
    mfg Martin
     

    A bissle "Experience", a bissle GMV...
    Dienstag, 2. August 2011 12:00
  • Danke, den Befehl habe ich getestet und denke, dass es das auch tun wird. Danke für den Tipp.
    Dienstag, 2. August 2011 12:48
  • >Du meinst sicher "icacls" statt "cacls" (: Und die Vererbung kann man
    >dann auch setzen:
    Nö.
    Gemeint war schon cacls.
    Wenn ein User die Vererbung nicht unterbrochen hat, reicht das auch aus.
    Was bei Eigenen Dateien eigentlich der Fall sein sollte.
    Wir nutzen cacls hauptsächlich aus dem Grund, weil es ab W2K definitiv mit an Bord ist.
    Wenn deine Clients natürlich alle die Vorraussetzung erfüllen, icacls verfügbar ist,
    ist es natürlich sinnvoller dieses zu benutzen.


    Dienstag, 2. August 2011 12:52