Rechten toekennen en veiligheid

[dirklammers]

Sinds kort stel ik mijn DS718 via Drive beschikbaar voor een kleine vrijwilligers-organisatie. Er komen dus voor het eerst "vreemde mensen" op de NAS en ik moet dus voor het eerst nadenken over een goede autorisatiestructuur. Voorheen was dat niet zo spannend omdat alleen mijn vrouw en ik hier de gebruikers zijn. Op dezelfde NAS staan veel persoonlijke bestanden en die mogen natuurlijk beslist niet benaderbaar zijn voor de "vreemde gebruikers"

Toch wat vragen voor de zekerheid.
Ik heb alle vrijwilligers ingedeeld in groepen naar gelang wat ze zouden moeten mogen benaderen op de NAS. Ik wil geen autorisaties per gebruiker, maar alles op groepsniveau vastleggen.
Per groep heb ik vastgelegd welke mappen een groep wel en welke mappen een groep niet mag benaderen.
So far so good. Maar soms hebben verschillende groepen tegengestelde rechten op een map. Als een gebruiker lid is van beide groepen, dan kan het voorkomen dat een gebruiker op grond van de ene groep mag lezen/schrijven en op grond van de andere groep alleen mag lezen of zelfs helemaal géén toegang heeft. Dan gaat het mis natuurlijk.

Ik denk dat het fout ging, omdat ik in de groepen niet alleen toegestaan heb wat er wél mag, maar ook aangevinkt heb wat er níet mag. Of is het veiliger ook echt dingen te weigeren ?
Klopt het dat het voldoende is om aan te vinken welke rechten wel van toepassing zijn en dat de rest automatisch geblokkeerd is ?
Als een gebruiker dan lid is van meerdere groepen dan tellen de autorisaties a.h.w. op voor die gebruiker en gaat het goed.

Kortom: in groepen moet ik alleen rechten toekennen, maar geen rechten ontnemen ? Of wellicht voor de zekerheid toch de rechten op onze persoonlijke mappen toch maar weigeren ?
Hoe houd ik dit zo veilig mogelijk zodat onze eigen bestanden niet te benaderen zijn ?

Dank vast voor jullie advies,

Groet, Dirk

[Plerry]

Kijk hier eens.
Dat maakt hopelijk alles duidelijk.

[dirklammers]

Ja dank je dit helpt. Ik leer hieruit: per groep gebruikers die dezelfde rechten moeten hebben een aparte groep maken. Zolang je niets toestaat mag er niets. In elke groep dan alleen R of R/W zetten, nooit iets blokkeren. Als een gebruiker dan lid is van meerdere groepen voor een share, dan gelden altijd de hoogste rechten en loop je nooit het risico dat wat in de ene groep wordt toegestaan door een andere groep voor diezelfde share wordt geblokkeerd.

Groet, Dirk