Verständnisfrage zum Ordner "Geteilt" und ACLs

Hallo MLG76,

hier ist eine Anleitung, die sich an Nutzer mit einem fundierten Verständnis von UNIX-Dateisystemen und ACLs richtet.

Um Deine Anforderungen umzusetzen, kannst Du die Berechtigungen auf Deinem Mac durch eine Kombination aus Standard- und ACL-Berechtigungen anpassen. Dadurch wird sichergestellt, dass nur der Benutzer `backup` Zugriff auf das Verzeichnis `Sicherung` hat und die Rechte korrekt vererbt werden.

Zuerst solltest Du das Verzeichnis `Sicherung` außerhalb der standardmäßig geteilten Ordner wie `Geteilt` oder `Öffentlich` erstellen, um eine bessere Kontrolle über die Sichtbarkeit und Zugriffsrechte zu gewährleisten. Setze die Berechtigungen so, dass nur die Benutzer `admin` und `backup` Zugriff haben.

Verwende ACLs, um dem Benutzer `backup` spezifische Lesezugriffsrechte zu geben, ohne anderen Nutzern Zugriff zu gewähren. Um sicherzustellen, dass die Berechtigungen auch auf alle neu erstellten Dateien und Unterverzeichnisse vererbt werden, solltest Du die ACL-Rechtevererbung konfigurieren.

Für die SMB-Freigabe solltest Du sicherstellen, dass nur der Benutzer `backup` auf das Verzeichnis `Sicherung` zugreifen kann. Gehe dazu in die Freigabeeinstellungen und füge das Verzeichnis `Sicherung` als geteilten Ordner hinzu. Entferne alle anderen Benutzer aus der Liste der Zugriffsberechtigten und gib `backup` nur Leserechte.

Teste den Zugriff anschließend mit dem Benutzer `backup`, um sicherzustellen, dass alles wie gewünscht funktioniert und keine anderen Benutzer im Netzwerk Zugriff haben.

Es ist ratsam, Standardordner wie `Geteilt` oder `Öffentlich` zu vermeiden, da diese systemweit sichtbar sind und nicht die notwendige Kontrolle über die Zugriffsrechte bieten. ACLs sind ein mächtiges Werkzeug, aber sie können auch komplex sein. Stelle sicher, dass Du die Bedeutung jeder Berechtigung genau verstehst und setze sie mit Bedacht ein. Für die Automatisierung der Datensicherung auf dem NAS ist es wichtig, die Sicherheit und Integrität Deiner Daten nicht zu gefährden.

Falls Du weitergehende Anpassungen benötigst oder Fragen hast, kannst Du die Manpages (`man chmod`, `man chown`, `man sharing`) im Terminal zu Rate ziehen oder spezifische macOS-Dokumentationen zu ACLs und Dateisystemrechten konsultieren.

Mit diesen Schritten solltest Du in der Lage sein, Deine Daten sicher zu verwalten und den Zugriff gezielt zu steuern.

Beste Grüße und viel Erfolg!

MLG76

[...]

Ein macOS Verzeichnis 'Sicherung' soll mit Leserechten im Netz via SMB für einen User backup freigegeben werden. Jeden Tag schreibt jedoch ein User admin über einen Backupprozess in dieses Verzeichnis 'Sicherung' neue Unterverzeichnisse. Der Ordner 'Sicherung' soll nicht für alle anderen im Netz sichtbar sein. Eigentlich soll den niemand sehen. Lediglich der User backup soll sich darauf einloggen und das Backup via SMB abholen können.

Das sind zwei Backupprozesse ? Einmal sichert admin (mit was ?) in "Sicherung" und einmal "holt" backup (mit was ?) dort den Inhalt für ein Backup ab. Den zweiten Prozess kann ich nachvollziehen. Aber warum sichert nicht admin direkt im (externen ?) Backup ?

Daneben geht es hier mMn um zwei unterschiedliche Probleme:

Das Verzeichnis "Sicherung" kannst du unsichtbar machen, indem du es via Terminal ausblendest. Dazu öffnest du Terminal und gibst

chflags hidden

ein (noch nicht return drücken). Dann ziehst du das Verzeichnis "Sicherung" ins Terminal und drückst nun return (Rückgängig machst du das Ganze mit chflags nohidden "Dateipfad").

Den Zugriff auf den Inhalt des Verzeichnisses regelst du mit R/W-Berechtigungen. admin hat beides, backup nur R. Damit kommt kein anderer User an den Inhalt.

wheel ist ein Systemuser, everyone kannst du aus den Berechtigungen entfernen.

Ooops....lese gerade, dass ein NAS im Spiel ist. Wo ist der Unterschied, ob du ein oder zwei NASen betreibst ? Nimm die Kiste doch komplett aus dem Web, keinerlei Fernzugriffe, Sync-Dienste oder was auch immer. Zugriff nur per VPN und das wars. Darauf sicherst du via Time Machine und lässt das NAS via RTRR ein weiteres Backup auf eine externe Platte machen.

Hi MLG76,

der Ordner "Geteilt" gehört zur iCloud oder hast du selbständig einen angelegt? Wenn nicht, wäre es ratsam ein anderes Verzeichnis zu wählen.

Ansonsten liegt es an SMB selbst, dass ein User mit Leserechten auch alle Verzeichnisse innerhalb des freigegebenen Ordners sehen kann. Verwende für das Backup kein Unterverzeichnis:

• Hauptverzeichnis
  • Ordner1 → freigegeben für alle
  • Ordner1backup → freigegeben für backup

admin erstellt im Intervall Backup von Ordner1 nach Ordner1backup

Kommt eben auf das Einsatzgebiet an. Deswegen die Frage ob es zwingend SMB sein muss?

Mit der Dateifreigabe unter macOS kannst du für jeden User einen Lesezugriff erstellen...

für jeden Unterordner muss ebenfalls ein Freigabe erstellt werden, hier darf dann der Standard-User (backup) aber keinen Zugriff mehr gestatt werden:

mit dieser Konfiguration sieht der User (backup) zwar die Verzeichnisse, hat aber keinen Zugriff.

Eine andere Lösung sehe ich mit Boardmitteln nicht. Schwieriger wird es wenn SMB verwendet werden soll.

Ich habe eure Diskussion hier verfolgt und würde dir raten, den Support um Unterstützung zu bitten. Unter der 0800 6645451 (D) erreichst du die Mitarbeiter:innen des Supports die dir mit sachdienlichen informationen weiterhelfen können.

Klingt nach Business Frage. Diese könnte eine spannende Frage für Netcracker oder das bundesweite Business Team von Apple: 0800 0003666 (D) sein, du könntest diese Frage auch dem Business Team deines bevorzugten Apple Stores stellen.

Ahja, diesen Ordner hatte ich nicht direkt im Blick.

Das Problem ist, dass du auf einem Mac die SMB Freigaben nicht so detailliert regeln kannst. Du könntest evtl. Abhilfe schaffen, wenn du das Terminal zur Konfiguration verwendest.

Passende Doku findest du direkt im Terminal oder hier: https://www.unix.com/man-page/osx/1/smbutil/

Muss es denn zwingend SMB sein? Befinden sich alle Nutzer im selben Netzwerk oder muss über das Internet geteilt werden?

Pi88no schrieb:

[...]

Eine andere Lösung sehe ich mit Boardmitteln nicht. Schwieriger wird es wenn SMB verwendet werden soll.

Nur aus Neugier: die Dateifreigabe (so hätte ich das übrigens auch gemacht, danke für die Illustration), die du oben demonstriert hast, nutzt doch SMB ?

Welche anderen Protokolle schweben dir vor ? ftp, webDAV, afp....?

Dann würde ich vom TO gerne mal wissen, wie ein NAS ein Backup "abholt" bzw. was für ein Prozess dahinter steckt.

ACL's unter macOS sind in der Tat etwas anderes als unter Windows. Nicht umsonst hat Apple seine Serverversionen von macOS eingestellt....

Netcracker schrieb:

Nur aus Neugier: die Dateifreigabe (so hätte ich das übrigens auch gemacht, danke für die Illustration), die du oben demonstriert hast, nutzt doch SMB ?

Beim reinen Teilen kommen mW nur die üblichen macOS Zugrifssrechte zum Zuge.

Mir fällt es ebenfalls noch schwer das richtige Mittel zum Zweck zu ermitteln. Hier sind weitere Infos notwendig.

Dann würde ich vom TO gerne mal wissen, wie ein NAS ein Backup "abholt" bzw. was für ein Prozess dahinter steckt.

Den Usecase von MLG76 überblicke ich auch noch nicht so recht.

Wenn eine NAS verwendet wird, wäre es evtl. ratsam, dass diese die Rechtverwaltung übernimmt. Ich hatte das mal mit OMV bewerkstelligt.

Die "Dateifreigabe" meint Freigabe im Netzwerk. Darauf greift man üblicherweise mit smb zu (auf einem Linux-System würde das nfs entsprechen). Aber egal...

OMV kenne ich nur vom Hörensagen....klingt aber logischer als ACL (das unter macOS eh nicht richtig funktioniert).

Ich glaube, dass hier ein paar Sachen durcheinander geworfen werden.

Ich bin hier keineswegs als empfindlich bekannt. Ganz im Gegenteil….

Du verfolgst einen unsäglich komplizierten Weg, dessen Sicherheitsgewinn unklar bleibt.

Simple R/W-Berechtigungen lösen dein Problem. Der Sinn des Backups auf dem Mac bleibt rätselhaft.