Tool: FolderSecurityViewer überprüft Windows-Freigaben

Heute noch ein kleiner Blog-Beitrag zum Thema NTFS-Zugriffsrechte auf Freigaben in Windows-Domänenumgebungen. Nix für Home-User, sondern eher was für Admins in Firmenumgebungen. Es geht darum, möglichst effizient festzustellen, welche Zugriffsrechte Benutzer bzw. Gruppen auf Freigaben in der Domäne haben.

In Unternehmen werden Dateien meist auf Windows-Freigaben (Windows Shares) abgelegt. Die Verwaltung der Zugriffsrechte für die verschiedenen Benutzern erfolgt über Active Directory Gruppen (via NTFS Permissions auf Verzeichnisse). Aber wie kontrolliere ich als Administrator, welche Rechte ein Nutzer bzw. eine Gruppe nun wirklich hat?

Als Administrator kann man sich natürlich diese Gruppen und deren Mitglieder mit den in Windows enthaltenen Active Directory Tools ansehen und ermitteln, welcher Benutzer denn nun Rechte auf die Verzeichnisse hat. Was ist aber, wenn jetzt wiederum Gruppen als Mitglieder einer Gruppe eingetragen sind, sogenannte nested groups? Oder wenn ein Benutzer über verschiedene Gruppen, jeweils mit unterschiedlichen Berechtigungen, Zugriff auf die Verzeichnisse enthält? Dann wird die Sache schnell unübersichtlich und sehr zeitaufwändig – insbesondere bei großen Domänen oder tiefen Verschachtelungen.

Hier kann das Tool FolderSecurityViewer zum Einsatz kommen. Es handelt sich um einen sogenannten NTFS Permissions Analyzer und NTFS Permissions Reporter. Dieser ermöglicht IT-Administratoren oder IT-Managern die Analyse der effektiven Rechteinhabern von Windows Ordnern. Somit wird schnell klar, welcher Benutzer welches (effektive) NTFS-Recht auf einen bestimmten Ordner hat und welche Active Directory Gruppe hierfür der Auslöser war.

Bei der Analyse wird auch die darunter liegende Ordnerstruktur überprüft um festzustellen, ob es bei tiefer liegenden Verzeichnissen Abweichungen der Rechtevergabe zum ausgehenden Verzeichnis gibt. Damit der Rechteinhaber-Report nicht mit bekannten Rechteinhabern wie Domänen- und Server-Administratoren oder auch Service Accounts für Backups verwässert wird, kann man beliebige Active Directory Gruppen von der Analyse ausschließen. Gleiches trifft auch auf die Built-In Gruppen zu, die in der Konfiguration des Tools bereits ausgeschlossen sind, aber jederzeit wieder hinzugefügt werden können. Des Weiteren können in der Ausgabe der Rechteinhaber bis zu sechs Eigenschaften eines Active Directory Benutzer-Accounts frei wählbar angegeben werden damit der Report aussagekräftiger wird.

Das Tool bietet die Möglichkeit, den unterschiedlichsten NTFS Permissions Sets aussagekräftige Namen zu geben. Dann muss man nicht mit den unübersichtlichen Angaben aus Access Control Type, File System Rights und Inheritance rumschlagen. Ein Beispiel hierfür ist die Vergabe der Dateiberechtigung "This Folder Only" auf höher liegende Ordner, damit der Anwender zumindest die ihm erlaubten tiefer liegenden Ordner sehen kann.

Wer schon mal mit einem selbst in C# oder VB.NET geschriebenen Tool versucht hat die ACL eines Ordners auszulesen, der wird gemerkt haben, dass die notwendigen .NET-Methoden keine Pfadnamen länger als 260 Zeichen unterstützt. Diese Tatsache ist bei diesem Tool bereits berücksichtigt und kann somit mit sehr tiefen Ordnerstrukturen umgehen.

Eine detailliertere Vorstellung des Tools findet sich auf dieser Webseite. Dort lässt sich auch eine Trial kostenfrei herunterladen. Die Vollversion für bis zu 3 Rechner kostet 490 Euro zzgl. 19 % MwSt (Deutschland).

Anmerkung: Ich habe von den Entwicklern (ist als Unternehmen noch ein recht "junges" Team) eine Lizenz erhalten, das Tool aber mangels aufgesetzter Domäne und Active Directory nicht getestet. In Arbeitsgruppen ist die Anwendung nutzlos. Zudem ließ sich die Lizenzdatei hier im Google Chrome nicht abrufen.

Vielleicht ist FolderSecurityViewer aber für den einen oder anderen Admin ganz hilfreich. Ihr könnt ja ein Feedback hinterlassen, ob das Tool was taugt oder nicht und ob es Alternativen gibt.