problemi nas a dominio

[pcroseto]

Buongiorno a tutti. Ho acquistato un qnap tsl269l. E' un nas con 2 hard disk da 3 Tb.
Faccio una premessa. Dove lavoro, per accedere ai pc, bisogna autenticarsi con nome e password in quanto i computer sono a dominio x.local.
Bene..Siccome molti colleghi mi hanno chiesto di avere un hard disk esterno per mettere tutti i dati e condividerli in base a protezioni, ho appunto acuqistato questo tipo di dispositivo per riversarvi i dati e poi condividerli/proteggerli in base agli account del dominio.
Ho preparato tutto, formattato, dato l'indirizzo ip e poi l'ho messo a dominio..
Il problema è che quando vado a creare una cartella ( collegamento di connessione ) tramite "condivisione cartelle" non mi permette di creare una condivisione Everyone di dominio ma solo quella locale.
Ma è possibile? Qualcuno sa aiutarmi?

[ninio]

Ma è possibile?

Chiaramente no nel menu a tendina trovi anche gli utenti e gruppi di AD sempre che tu abbia fatto correttamente il joint a dominio

http://docs.qnap.com/nas/it/index.html? ... ows_ad.htm

[pcroseto]

l'ho fatto..difatti vedo sia gli utenti a dominio che i gruppi.. ma non c'è l'eveyone..
Praticamente mi era piu comodo fare sia la condivisione che la protezione da windows.. invece se creo la cartella condivisa dal menu di qnap, quando vado su windows e metto come protezione "everyone" solo lettura non mi da l'everyone di dominio ma se lo inserisco mi da solo locale\everyone..invece io volevo dominio\everyone..

[ninio]

Non lo troverai mai l'everyone perché in AD non esiste quell'utente
L'everyone è un'utente locale che sul NAS non essendo OS Windows non esiste, usa Domain User o crea un Group apposito per i permessi che vuoi.
Il mio consiglio è di NON USARE MAI everyone per i permessi in generale per non avere brutte sorprese

[pcroseto]

Hai ragione sull'everyone però ti spiego meglio il mio problema.
Dove lavoro, siamo circa 100 utenti sotto dominio. Praticamente, come dici tu, se dovessi creare una cartella in cui tutti possono leggere e qualcuno può inserire file, dovrei creare una cartella condivisa con i privileggi di lettura a User Domain e la lettura scrittura a "tizio" e "caio".
Questo perche, purtroppo, non mi è permesso di creare, dal browser di qnap, un gruppo di utenti sotto dominio.
Il gestore del dominio è un ente "moooolto" superiore al mio e non mi creerebbero un gruppo di dominio con i nominativi di chi lavora nel posto dove lavoro io.
A questo punto credo che creerò per ogni ufficio 2 cartelle ( condivisioni ). La prima con una condivisione User domain a cui tutti potranno accedere per leggere. Mentre l'altra cartella ( connessione ) metterò i file e le cartelle di utilizzo del singolo ufficio.
Per farti un esempio alla mia segreteria farò 2 cartelle ( condivisioni )..una per il loro uso interno ed una per la condivisione di avvisi, modelli, etc etc..
Dici che faccio bene? o c'è qualche altra soluzione?
Io veramente, quando ho fatto l'acquisto di questo nas pensavo che le condivisioni e protezioni le potessi dare come se fosse un pc a dominio invece è leggermente piu ostico lavorarci..o forse io non sono tanto pratico..
Cmq apprezzo i tuoi suggerimenti perche dove lavoro non ci capisce un tubo nessuno di rete, condivisioni e cose del genere..

[ninio]

Se vai in Cartelle condivise--->Autorizzazioni Avanzate puoi mettere la spunta in abilita condivisione avanzate e Enable Windows ACL Support in questo modo puoi gestire le carte come fai solitamente con le cartelle windows.
Testo destro sulla cartella ecc ecc...
Per la gestione delle cartelle personalmente preferisco fare sempre una macro Share,al suo interno creo le cartelle per Area e i permessi li gestisco esclusivamente con gruppi.Ogni cartella di Area ha un gruppo di WR e un R in questo modo una volta creata la struttura,apportare modifiche è facile basta mettere o rimuovere gli utenti nel gruppo corrispondente.
Scusa quindi il super ente "moooolto" superiore al mio tuo ha eseguito solo in joint a dominio del NAS e se né lavato le mani?
Ti faccio questa domanda perché se lo hai fatto te fatto 30 puoi fare 31 visto che hai un utente che ha i privilegi ti crei i gruppi che vuoi

[pcroseto]

è giusto cio che dici riguardo creare una sola cartella e poi dare le autorizzazioni..
Difatti è quello che volevo fare io..
Però ho trovato una difficolta che mi ha portato a scrivere qui sul sito:
Se io creo una cartella principale, dal menu di qnap ( cartelle condivise ), è ovvio che per farla vedere dovrò mettere User Domain..giusto? e ovviamente li nasce il problema.. o faccio vedere la cartella principale con lettura e scrittura oppure solo lettura..
Se gli do solo lettura andrebbe tutto bene ma all'interno delle sottocartelle gli utenti non avrebbero i privileggi per scrivere o modificare, laddove io vorrei..
Giusto?
Se invece gli do sia lettura che scrittura non va bene..
Ti dico pure che mi sto incasinando il cervello però ti ringrazio dell'aiuto che mi stai dando..
Ora mi viene in mente anche una cosa..Se io creo una cartella condivisa principale in sola lettura e poi creo delle cartelle all'interno, posso, da Windows, impartire chi può entrare, leggere e/o modificare inserire file? Mi sa che ho provato a fare questa cosa ma mi sembra che mi ha dato errore..Non ricordo bene perché ho fatto tante prove..
Tu cmq mi sembri molto ferrato in materia..

[ninio]

Se io creo una cartella principale, dal menu di qnap ( cartelle condivise ), è ovvio che per farla vedere dovrò mettere User Domain..giusto?

Se vuoi che tutti i tuoi utenti di dominio possano accedere con i relativi permessi SI

e ovviamente li nasce il problema.. o faccio vedere la cartella principale con lettura e scrittura oppure solo lettura..
Se gli do solo lettura andrebbe tutto bene ma all'interno delle sottocartelle gli utenti non avrebbero i privileggi per scrivere o modificare, laddove io vorrei..
Giusto?
Se invece gli do sia lettura che scrittura non va bene..
Ti dico pure che mi sto incasinando il cervello però ti ringrazio dell'aiuto che mi stai dando..
Ora mi viene in mente anche una cosa..Se io creo una cartella condivisa principale in sola lettura e poi creo delle cartelle all'interno, posso, da Windows, impartire chi può entrare, leggere e/o modificare inserire file? Mi sa che ho provato a fare questa cosa ma mi sembra che mi ha dato errore..Non ricordo bene perché ho fatto tante prove..
Tu cmq mi sembri molto ferrato in materia..

Meglio se nella cartella "primaria" sia in solo lettura per tutti tranne per l'utente/gruppo di gestione perché almeno non ti paciugano la struttura di cartelle che andrai a creare.
Nelle cartelle "secondarie" basta che gli dici di non ereditare i permessi padre e metti i permessi di WR per il gruppo WR e lettura per il gruppo R
Ovviamente queste sono le ACL di Windows che ti permettono di creare la struttura, che QNAP supporta.

[dMajo]

Quello che ti sta dicendo ninio è che ... facciamo l'esempio su windows:
-condividi una nuova cartella
-permessi di condivisione (Administrators full, Authenticaded users modify)
-poi i diritti reali alle sottocartelle li gestirai con il file system (tab sicurezza), possibilmente usando gruppi AD in modo da non dover modificare di continuo le proprietà di sicurezza (ACL), che per ogni revisione imporrebbe la scansione e correzione dei diritti per tutti i file annidiati.

la stessa cosa è applicabile al nas, crei la cartella lettura/scrittura a tutti, poi nelle sottocartelle gestisci i diritti direttamente da windows.

Io ti consiglio di creare due gruppi per ogni sottocartella (di 1° livello): dirNomeCartella_rw e dirNomeCartella_ro. In questi due gruppi poi inserisci gli utenti del caso. Eventualmente puoi ceare dei gruppi grpReparto1 grpReparto2 ... inserire gli utenti nei vari reparti e poi inserire i reparti in ro o rw nei gruppiCartella. Così facendo una query in AD sai subito a che cartella puo accedere un determinato utente/gruppo.
Come regola assegna diritti diversi solamente alle sottocartelle di primo livello, gli altri livelli le erediteranno, per non complicare la gestione.

EDIT: ninio, non ho visto che avevi gia risposto

[ninio]

dMajo io davo degli input te gli hai creato un HOW TO comunque sottoscrivo in pieno la spiegazione chiara e dettagliata

[pcroseto]

Buongiorno a tutti.
Non capisco dove sbaglio ma non vorrei che sia un problema di dominio.
Vi spiego cosa ho fatto, passo passo.
Ho creato dal menu di qnap una cartella condivisa che diciamo sarà quella principale.
le autorizzazioni che ho messo sono:
- Admin ( lettura/scrittura )
- Domain Users ( solo lettura )
- il mio utente a dominio ( lettura/scrittura )

Cosi facendo ho chiesto ad un collega di entrare sul nas. Lui ha trovato la cartella principale ed un'altra secondaria che ho creato all'interno. Le riesce ad aprire entrambe.
Pertanto, se ho capito bene, dovrei andare nel menu di qnap e non far ereditare le proprietà della cartella principale anche alle secondarie.
Ho provato quindi a togliere la spunta da "applica le modifiche ai file e alle cartelle condivise" ma non appena faccio applica mi ritorna la spunta su questa voce. ( 1° Problema )
Invece andando sotto windows, con il mio account ( autorizzato nel menu qnap ), sono andato sulla cartella secondaria e su protezione per togliere Users Domain e aggiungere un utente a dominio. Dal menu protezione non mi fa togliere Users Domain ( ovviamente ) e anche se aggiungo un utente a dominio, lo stesso non ha la possibilità di creare file o cartelle e nemmeno di cancellare la cartella secondaria, nonostante gli abbia dato tutte le autorizazioni.

Mi dovete scusare ma per quanto mastichi un po di informatica vi chiedo di avere un po di pazienza..spero mi possiate aiutare..un saluto a tutti. Bruno

[pcroseto]

scusate..ho anche un altro dubbio..
Ma se Users Domain è sola lettura e metto un utente del dominio in lettura/scrittura, il sistema riconosce l'eccezione oppure "vince" User Domain e fa rimanere tutti in sola lettura?

[ninio]

Credo che non stai facendo le cose correttamente, ti stai perdendo questo dettaglio "-poi i diritti reali alle sottocartelle li gestirai con il file system (tab sicurezza), possibilmente usando gruppi AD in modo da non dover modificare di continuo le proprietà di sicurezza (ACL), che per ogni revisione imporrebbe la scansione e correzione dei diritti per tutti i file annidiati."
Ti allego uno screenshot almeno lo vedi visivamente anche se è in inglese per rimuovere l'eredita permessi dalla cartella padre devi metti la spunta su "include inheritable permissions from this...." ti chidera di successivamente di aggiungerli o rimuoverli ovviamente li aggiungi dopo ti farà fare le modifiche anche nella schermata principale dove ora "ti da problemi"

[ninio]

scusate..ho anche un altro dubbio..
Ma se Users Domain è sola lettura e metto un utente del dominio in lettura/scrittura, il sistema riconosce l'eccezione oppure "vince" User Domain e fa rimanere tutti in sola lettura?

Chiaramente ha priorità sempre il permesso superiore

[dMajo]

Chiaramente ha priorità sempre il permesso superiore

INTEGRAZIONE:
Nega preval su consenti. Ad esempio se Mario fa parte del gruppo NDS ed il gruppo NDS ha Nega su modifica anche se Mario ha controllo completo potrà soltanto leggere i file.