setacl

[rfrankow]

in anlehnung an das preloginloader-script versuch ich mittels setacl die rechte des schreibens des desktop einzuschränken.
kann mir wer schreiben wie ich auch einen benutzer das schreibrecht entziehen kann? so das er sich nicht wieder selbst das recht geben kann.

so mach ichs momentan:

Code: Alles auswählen

setacl.exe" -on "$akt_profile$" -ot file -actn trustee -trst n1:S-1-5-32-545;s1:y;ta:remtrst;w:dacl"

[d.oertel]

Hi rfrankow,

vielleicht hilft Dir der folgende code-schnipsel zur Einschränkung der Benutzerrechte unter $PRODUCTPATH$ als Anregung:

Code: Alles auswählen

DosInAnIcon_secure_program_acls


; es kann wichtig sein, dass einige Pfade auch fuer den Ersteller und den Benutzer beschreibbar sind
; /T bedeutet das alle Verzeichnisse und Ordner durchkaemmt und die Rechte gesetzt werden
; /C ohne Fehlermeldung fortsetzen
; /G kommen die gewaehrten Rechte
; Rechte: Vollzugriff (F), Aendern (C), Ausfuehren (X), beschraenkt Lesen (E) und Lesen (R), (W) Schreiben
; /Y unterdrueckt nach eine Bestaetigungsnachfrage nach der Umsetzung der Rechte


[DosInAnIcon_secure_program_acls]
rem Rechte fuer $PRODUCTPATH$ einschraenken (Anlehnung BSI)
rem man kann fuer ein Produkt die Rechtevergabe individuell setzen; es gibt verschiedene Varianten, die gewaehlt werden koennen
rem Rechtevergabe: die Administratoren und das System duerfen alles, Benutzer und Ersteller haben einen ausfuehrenden und lesenden Zugriff
%SCRIPTPATH%\custom_ins_dir\xcacls "$PRODUCTPATH$" /T /C /G ADMINISTRATOREN:FCXERW SYSTEM:FCXERW "Benutzer":XER "ERSTELLER-BESITZER":XER /Y
%SCRIPTPATH%\custom_ins_dir\xcacls "$PRODUCTPATH2$" /T /C /G ADMINISTRATOREN:FCXERW SYSTEM:FCXERW "Benutzer":XER "ERSTELLER-BESITZER":XER /Y
rem es kann sinnvoll sein, dass die Benutzer und Ersteller auch neben ausfuehren und lesen, aendern und schreiben duerfen
rem %SCRIPTPATH%\custom_ins_dir\xcacls "$PRODUCTPATH$" /T /C /G ADMINISTRATOREN:FCXERW SYSTEM:FCXERW "Benutzer":CXERW "ERSTELLER-BESITZER":CXERW /Y
rem Vollzugriff fuer alle
rem %SCRIPTPATH%\custom_ins_dir\xcacls "$PRODUCTPATH$" /T /C /G ADMINISTRATOREN:FCXERW SYSTEM:FCXERW "Benutzer":FCXERW "ERSTELLER-BESITZER":FCXERW /Y

gruss
detlef oertel

[rfrankow]

danke.

das hilft ungemein, da setacl sehr komplex ist.
xcacls ist eine gute alternative.