ACL-Cleaner - Tote SIDs loswerden ohne Scripts

Bei aikux.com, Spezialdienstleister in Sachen Fileservermigration und Rechtemanagement, wurde man bei zahlreichen Projekten auf ein besonderes Problem aufmerksam: Viele Firmen und Organisationen haben gewachsene Fileserverstrukturen. Im Laufe der Jahre wurden immer wieder Berechtigungen gesetzt, mitunter auch falsch, so dass es nach dem Löschen der Accounts oder von Gruppen aus dem Active Directory, ohne vorheriges Löschen der Einträge in der Access Control List (ACL), zu verwaisten SID-Einträgen in der ACE des Fileservers kommt.

(firmenpresse) - Bei aikux.com, Spezialdienstleister in Sachen Fileservermigration und Rechtemanagement, wurde man bei zahlreichen Projekten auf ein besonderes Problem aufmerksam: Viele Firmen und Organisationen haben gewachsene Fileserverstrukturen. Im Laufe der Jahre wurden immer wieder Berechtigungen gesetzt, mitunter auch falsch, so dass es nach dem Löschen der Accounts oder von Gruppen aus dem Active Directory, ohne vorheriges Löschen der Einträge in der Access Control List (ACL), zu verwaisten SID-Einträgen in der ACE des Fileservers kommt.
Was erst einmal wie ein Schönheitsfehler klingt, kann sich aber u.U. zu einem durchaus heiklen Problem auswachsen, das nicht nur Auditoren interessiert. Wie damit umgehen? Ein manuelles Entfernen der verwaisten Einträge mag für 20 Verzeichnisse noch funktionieren – alles, was darüber liegt, wird dann aber sehr aufwendig und damit fast unmöglich. aikux.com entschloß sich deshalb, ein praxistaugliches Werkzeug für seine Kunden zu entwickeln, das ihnen das Problem einfach und mit geringstem Aufwand vom Halse schafft: den ACL-Cleaner.

Wie entstehen verwaiste/tote SIDs?
Für die Steuerung der Zugriffsberechtigungen auf Fileserverressourcen empfiehlt sich die Nutzung von Domänen-Gruppen und Domänen-Accounts. Diese kann man direkt in die ACL der Verzeichnisse des Fileservers eintragen. So ein Domänen-Account oder eine Domänen-Gruppe besteht aus einer eineindeutigen Security-ID. Da diese SID für uns Menschen allerdings schlecht zu verwalten ist, gibt man dem Account auch noch einen Namen. Windows arbeitet intern mit der SID – wir arbeiten mit dem Namen. Wenn man jetzt einem User oder einer Gruppe eine Berechtigung zuweisen möchte, dann suchen wir uns den entsprechenden Account aus und weisen diesem auf dem Fileserver die Berechtigungen zu. Im System passiert jetzt noch etwas anderes: Auf Systemebene wird in der ACL nicht der Name vermerkt sondern die SID.
Wenn nun ein Account aus dem AD gelöscht wird, ohne daß vorher der Eintrag aus der ACL entfernt wurde, kann diese SID bei der nächsten Betrachtung der Sicherheitseinstellungen nicht mehr aufgelöst werden. Es steht kein Objekt im AD mit ihr in Referenz. Also kann und sollte dieser Eintrag auch entfernt werden.



Warum sollten verwaiste SIDs entfernt werden?
Ganz einfach: Einerseits vermeidet man Performanzverluste, eine bösartige Manipulation der SID-History mit der Möglichkeit zur unkontrollierten Rechtevererbung kann ausgeschlossen werden und last but not least freut es den Auditor, wenn auch dort Ordnung herrscht.

Verwaiste/tote SIDs müssen entfernt werden! – Nur wie?
Nun kann es sein, dass verwaiste/ tote SIDs in hunderten von ACLs zu finden sind. Das macht ein manuelles Entfernen fast unmöglich. Für alle Unternehmen, die das Werkzeug für das Rechtemanagement 8MAN im Einsatz haben, ist das kein Problem, da 8MAN eine Funktion besitzt, die alle ACLs sichtbar macht, in denen sich verwaiste/tote SIDs befinden. Diese können in einem CSV-Report aus 8MAN exportiert werden. Dann schlägt die Stunde für den ACL-Cleaner von aikux.com: Er ist in der Lage, die identifizierten ACLs zu bereinigen. Dazu wird der Export an den ACL_Cleaner übergeben, der nun der Reihe nach alle ACLs bereinigt. Nach dem nächsten Scan von 8MAN sind dann im Report für verwaiste/tote SIDs keine Einträge mehr zu finden. Der “ACL-Cleaner” von aikux.com kann viele Stunden Arbeit und auch ein aufwendiges Scripting ersparen bzw. macht die Lösung des Problems erst möglich.
Der ACL-Cleaner ist zur Zeit nur für den gemeinsamen Einsatz mit dem Werkzeug zum Rechtemanagement 8MAN gedacht, ein in Kürze erscheinendes Folgerelease wird unabhängig von 8MAN arbeiten und allen Interessenten zur Verfügung stehen.
Weitere Infos zu dieser Pressemeldung:

Themen in dieser Pressemitteilung:


Unternehmensinformation / Kurzprofil:
Leseranfragen:
Bereitgestellt von Benutzer: aikux
Datum: 04.04.2012 - 14:30 Uhr
Sprache: Deutsch
News-ID 611243
Anzahl Zeichen: 4325

Kontakt-Informationen:

Kategorie:

Innovation

Meldungsart: Produktinformation
Versandart: Veröffentlichung
Freigabedatum: 05.04.2012

Diese Pressemitteilung wurde bisher 619 mal aufgerufen.

Montag im Webinar: Weniger Daten, weniger Probleme mit migRaven.24/7 ...
Am kommenden Montag, den 23. März, findet um 14:30 Uhr das Webinar "migRaven.24/7 - Weniger Daten, weniger Probleme" statt, zu dem wir Sie herzlich einladen. Für alle Nutzer des Fileservers ist klar, dass sich auf dem System zu viele Daten in zu vielen Ordnern und Unterordnern befinden.

Ordnung im Filesystem: migRaven.24/7überzeugt im Test bei IT-Administrator (03/2020) ...
Das Fachmagazin IT-Administrator hat in der aktuellen März-Ausgabe (03/2020) den Test der Business-Software migRaven.24/7 veröffentlicht und ist zu einem positiven Resultat gekommen. ?Dieses Produkt eignet sich optimal für mittlere und große Unternehmen, um die IT-Abteilung zu entlasten, Kosten

Heute um 14:30 Uhr im Webinar: Visualisierung und Analyse der Daten- und Rechtestruktur auf dem Filesystem mit migRaven.24/7 ...
Am heutigen Montag, den 24. Februar, findet um 14:30 Uhr das kostenfreie Webinar: "Visualisierung und Analyse der Daten- und Rechtestruktur auf dem Filesystem mit migRaven.24/7" statt, zu dem wir Sie herzlich einladen. Angesichts exponentiell wachsender Datenmengen sehen sich IT-Administr

Weitere Mitteilungen von aikux.com GmbH

Dubletten-Prüfung von SMC IT ausgezeichnet mit „Best of 2012“ Preis ...
Das Dublettenprüfsystem SMC DoubleFind ist hoch performant und basiert auf der Damerau-Levenshtein-Metrik. Diese ist sehr schnell, ohne dabei die Genauigkeit zu verlieren. Das Programm erkennt nicht nur Fehler wie zusätzliche, ausgelassene oder schlichtweg falsche Buchstaben in den Adressen, sonde

BEST OF 2012: Business-Intelligence von PRORATIO ...
Mainz, 3. April 2012. Seit 2004 verleiht die Initiative Mittelstand den Innovationspreis-IT, mit dem innovative und praktikable Produkte, Dienstleistungen und Lösungen im Bereich der Informationstechnologie und der Kommunikation für den deutschen Mittelstand ausgezeichnet werden. Über 2.500 B

Swisscom Supplier Award ...
Am 29. März 2012 hat Swisscom in Bern unter zahlreichen Bewerbern die begehrten Swisscom Supplier Awards in den Kategorien Kooperation, Nachhaltigkeit und Innovation vergeben. In der Kategorie Innovation wurde beurteilt, in welchem Mass die Produkte und Leistungen des Lieferanten die strategische A

Business Breakfast zum neuen ELO DocXtractor ...
ELO DocXtractor ist eine Anwendung zur intelligenten automatischen Klassifizierung und Verarbeitung eingehender Dokumente. Das System trainiert und lernt dabei selbstständig sowohl Struktur als auch Erkennungsmerkmale anhand einer kleinen Auswahl an Musterdokumenten als Lernmenge. Anschließend ist