Sequoia Berechtigungen zum Erstellen von Ordnern und Dateien

[PeterSko]

Hallo zusammen,

ich bin erst seit kurzem Nutzer eines Mac, genauer eines Macbook Air M2 mit 16 GB RAM und 512 GB Festplattenspeicher sowie Sequoia 15.1.1
Umgestiegen bin ich von fast 30 Jahren Windows Ende 2023 wegen meines Hobbys Fotografie und der Nutzung von Adobe Lightroom samt Photoshop.
Mein alter PC war dann ca 10 Jahre jung und die neuesten Adobe-Versionen meckerten die nicht genügende Hardware an.
Da ich außerdem gerade in den Ruhestand ging, wollte ich "Nägel mit Köpfen" machen und entschied mich daher für die Radikalkur und dem Umstieg aufs Apple-Universum.
Ich bin auch fast komplett glücklich - die Leistungsfähigkeit der M-Architektur, die guten Energieoptionen und erst recht das fantastische Display bestätigt mich immer wieder, die richtige Entscheidung getroffen zu haben!

Soweit erst mal meine "Vorstellung" in dieser Runde, ich möchte nun zum "fast" - oben im der vorletzten Zeile - kommen:

Es dauert sicher noch einige Zeit, bis ich das Apple-System soweit verinnerlicht habe wie Windows, aber einen Punkt will ich unbedingt schnell klären:
Es geht um das Thema Berechtigungen für Ordner und Dateien, bei Windows sind das die NTFS-Berechtigungen. Man erstellt einen Ordner, berechtigt die Usergruppen passend, und alle im Ordner enthaltenen und neu erstellten Elemente sind passend berechtigt. Machte ich über Jaaaahre jeden Tag.

Nun habe ich im Mac mehrere User OHNE Adminberechtigung und nur ein separates Adminkonto erstellt, ebenfalls so, wie ich das in Windows immer gemacht habe.
Unter "Geteilt/Shared" habe ich einen Ordner angelegt und darin einige Dateien, ich kann alles mit "Vollzugriff" bearbeiten.
EIn weiterer User kann das aber erst, nachdem ich diese Datei speziell für ihn bzw die passende Gruppe berechtigt habe.
Auch ein Excel-"Grundformular" für monatliche Datenerfassung ist da, wenn ich das aufrufe und mit einem neuen Namen speichere, kann ein anderer User erstmal nur lesend zugreifen...

Als weiteren Test habe ich im Finder einen weiteren Ordner anlegen wollen - Denkste, Puppe! Es wird zum Anlegen das Kennwort des Admins abgefragt!
Und jetzt kommts: lege ich einen Ordner statt mit dem Finder mit dem CommanderOne an - gehts problemlos! Wat nu? Ist das "not a bug, but a feature"??
Mach ich noch irgendwas falsch bzw fehlt in meinem System irgendeine Konfiguration?

Vielen Dank für Eure Geduld mit meiner langen, ausführlichen Schilderung und für eine vielleicht ganz einfache Lösung oder Erklärung!

Beste Grüße
Peter

 

[lisanet]

Es geht um das Thema Berechtigungen für Ordner und Dateien, bei Windows sind das die NTFS-Berechtigungen. Man erstellt einen Ordner, berechtigt die Usergruppen passend, und alle im Ordner enthaltenen und neu erstellten Elemente sind passend berechtigt. Machte ich über Jaaaahre jeden Tag.

Nun habe ich im Mac mehrere User OHNE Adminberechtigung und nur ein separates Adminkonto erstellt, ebenfalls so, wie ich das in Windows immer gemacht habe.
Unter "Geteilt/Shared" habe ich einen Ordner angelegt und darin einige Dateien, ich kann alles mit "Vollzugriff" bearbeiten.
EIn weiterer User kann das aber erst, nachdem ich diese Datei speziell für ihn bzw die passende Gruppe berechtigt habe.
Auch ein Excel-"Grundformular" für monatliche Datenerfassung ist da, wenn ich das aufrufe und mit einem neuen Namen speichere, kann ein anderer User erstmal nur lesend zugreifen...

Yep. Es geht um Berechtigungen das hast du vollkommen richtig erkannt.

Das gesamt Berechtigungsmanagement unter macOS hat allerdings nur 1 Unzulänglichkeit, nämlich, dass die Vererbung von ACL (das was du beschreibst mit "Gruppe für einen Ornder berechtigen und alle darin enthaltenen Dateien sind ebenso der Gruppe zugeordnett) in der Oberfläche so leider nicht funktioniert. Warum auch immer.

Ich habe dazu eine Blog-Artikel gechrieben, wie man das via Termianl macht. Genau für dein Szenario.

Lies mal hier -> https://lisanet.de/zugriffsrechte-bei-geteilten-ordnern-vererben/

Edit:

Noch was:

Im Gegensatz zu Window bringt es unter macOS keinerlei Sicherheitsvorteile, wenn man als einziger Nutzer eines Rechners ein Admin und einen "Standard-User" anlegt.

Auch ein Admin ist unter macOS eine normaler Standarduser, der lediglich die Möglichkeit hat, das "sudo" Kommand auszuführen, was in der gUI bedeutet, dass er bei entsprechenden Dingen aufgefordert wird, sein Admin-PW einzugegeben. Ohne dieses Aufforderung / sudo ist auch ein Admin ein ganz normaler User. Das ist unter Windows anders.

Daher: wenn du der einzige User des Macs bist, lass das mit separaten Admin/User-Accounts. Bringt nix, außer zusätzliche Konfigurationsarbeit.

Und wenn es beim Commander... geht, dann legt der den Ordner entweder mit ACL-Vererbung oder mit Unix-Persm 777 oder 775

Und ja, es ist ein Standardvorgehen unter allen unixoiden Betriebssystemen, die Rechte und ACL von Ordnern und Dateien so restriktiv wie möglich zu setzen.

 

[Floyd]

Nun habe ich im Mac mehrere User OHNE Adminberechtigung und nur ein separates Adminkonto erstellt, ebenfalls so, wie ich das in Windows immer gemacht habe.

Warum macht man das? Was ist der Sinn dahinter?

Unter "Geteilt/Shared" habe ich einen Ordner angelegt und darin einige Dateien, ich kann alles mit "Vollzugriff" bearbeiten.

Wer ist „ich“? Der Admin oder einer der „anderen“ User?

 

[PeterSko]

Herzlichen Dank, @lisanet für die ausführliche Beschreibung! Es liest sich tatsächlich so, dass hier mein Problem genau beschrieben ist und ein Lösungsweg existiert. Wobei mir noch nicht klar ist, warum es Unterschiede zwischen Finder und CommanderOne gibt!? Egal, ich check das heute Abend..


@Floyd - Mit "ich" meinte ich hier tatsächlich einen der "normalen" User und nicht den Admin.

Und ich weiß nicht, wie Deine Kenntnisse in Windows sind: Es gibt schon etliche, sinnvolle Gründe für die verschiedenen Benutzerkategorien/-Gruppen.
Als wesentlichsten fällt mir ein, dass im Standardfall ein normaler User KEINEN Schreibzugriff aufs Windows-Systemverzeichnis hat - finde ich auserordentlich sinnvoll.

Und die Benutzerkontensteuerung untersagt einem normalen User auch das Installieren von Programmen (somit auch normalerweise Viren...), hier wie auch beim Mac wird dann angeboten, zur Installation ein Adminkonto samt Kennwort einzutippen (was man ja nicht unbedingt machen muss...).

Weiter hat jeder User in Windows ja sein Benutzerprofil, sowohl lokal als auch in einer Windows-Domäne (die von mir zuletzt betreute Domäne hatte ca 500 Userkonten). Sollte nun aus welchen Gründen auch immer dieses Konto kaputt sein - z.B. durch eine Installation eines "dubiosen" Programms, noch nicht einmal ein Virus, wird dieses Konto gelöscht und ein neues angelegt (lokal) oder man meldet sich einfach wieder an (Domäne).
Auch wenn ein Benutzerprofil oder sogar ein PC relativ leicht erneuert werden kann, fand ich es nie spaßig, wenn die User ihre "verdächtigen" Dateien dann auf Freigaben der Server abspeicherten - individuelle Daten im Firmenumfeld haben auf lokalen Rechnern nichts verloren - und es hin und wieder zu aufwändigen Prüfungen der Serverlandschaften kam/kommt.

Auf jeden Fall reden wir hier ja von zwei sehr unterschiedlichen Ansätzen:
Der Mac-Besitzer, der sein Gerät vorrangig allein nutzt und der Netzwerk-User im Unternehmensumfeld, der quasi nie allein auf dem PC samt Server dahinter arbeitet. Die erste Variante muss ich auch wieder neu entdecken und mich ggf umstellen...

Mehr Grüße, nochmals Danke!

Peter

 

[Schiffversenker]

Natürlich gibt es Gründe, mehrere Benutzer einzurichten.
Aber die Trennung Admin/Alltagsbenutzer ist seit längerem sinnlos. Jedenfalls wenn beide die gleiche Person sind.
Und auf das Systemvolume hast du bei den neueren Mac-Systemen auch als Admin keinen Zugriff, das ist „versiegelt“.
Und es ist auch keineswegs so, daß Macs nur privat und alleine genutzt werden. Dann hat natürlich uch jeder Benutzer sein eigenes Konto, üblicherweise mit eingeschränkten Rechten.
Das sind zwei unterschiedliche Anwendungsbereiche, die aber nichts damit zu tun haben, welches Betriebssystem man benutzt.

 

[PeterSko]

Natürlich gibt es Gründe, mehrere Benutzer einzurichten.
Aber die Trennung Admin/Alltagsbenutzer ist seit längerem sinnlos. Jedenfalls wenn beide die gleiche Person sind.
Und auf das Systemvolume hast du bei den neueren Mac-Systemen auch als Admin keinen Zugriff, das ist „versiegelt“.
Und es ist auch keineswegs so, daß Macs nur privat und alleine genutzt werden. Dann hat natürlich uch jeder Benutzer sein eigenes Konto, üblicherweise mit eingeschränkten Rechten.
Das sind zwei unterschiedliche Anwendungsbereiche, die aber nichts damit zu tun haben, welches Betriebssystem man benutzt.

Auch Dir vielen Dank! Wie schon geschrieben, taste ich mich beim MAc immer weiter vor, und ganz sicher kommen da noch diverse Punkte zu Tage, die nun sinnvoller oder einfacher laufen können. Aber wenn man diese beschriebene Arbeitsweise verinnerlicht hat, hinterfagt man auch gern die im neuen System auftretenden Ungereimtheiten...

Noch mehr Grüße
Peter

 

[Floyd]

Wobei mir noch nicht klar ist, warum es Unterschiede zwischen Finder und CommanderOne gibt!?

Letzteres kommt mir nun nach 30 Jahren das erste Mal unter... ich möchte damit nicht sagen, dass es nicht für irgendetwas nützlich sein könnte, spontan wüsste ich aber nicht, wofür man das braucht. Aber gut.

Und ich weiß nicht, wie Deine Kenntnisse in Windows sind: Es gibt schon etliche, sinnvolle Gründe für die verschiedenen Benutzerkategorien/-Gruppen.
Als wesentlichsten fällt mir ein, dass im Standardfall ein normaler User KEINEN Schreibzugriff aufs Windows-Systemverzeichnis hat - finde ich auserordentlich sinnvoll.

Und die Benutzerkontensteuerung untersagt einem normalen User auch das Installieren von Programmen (somit auch normalerweise Viren...), hier wie auch beim Mac wird dann angeboten, zur Installation ein Adminkonto samt Kennwort einzutippen (was man ja nicht unbedingt machen muss...).

Weiter hat jeder User in Windows ja sein Benutzerprofil, sowohl lokal als auch in einer Windows-Domäne (die von mir zuletzt betreute Domäne hatte ca 500 Userkonten).

Naja, wenn Du Administrator bist mag das so zutreffen; davon ausgehend, dass Du erstmal ein singulärer Nutzer bist, ist das ein Vergleich, der etwas hinkt und hier in der Sache eher von begrenztem Nutzen. Die Variante Admin/User als singulärer Nutzer eines Mac macht heute kaum noch Sinn, früher war das hilfreich für Leute, die keine Ahnung haben, was sie am Rechner so treiben (die gibt's aber auch heute noch zahlreich).

Der Mac-Besitzer, der sein Gerät vorrangig allein nutzt und der Netzwerk-User im Unternehmensumfeld, der quasi nie allein auf dem PC samt Server dahinter arbeitet.

Macs wurden ggf. schon immer gerne von ganzen Familien benutzt, zumindest bevor plötzlich jedes Individuum einen (oder mehrere) hatte. Und ich kenne und kannte genügend „Unternehmen“, die viele, wahlweise, sehr, sehr viel Macs haben und nutzen... der einzelne, normale Nutzer am Mac hat dort meistens dennoch nur ein Userkonto und nicht zehn.

 

[Udo2010]

Denke mal, das „Problem“ liegt an Apples neuesten Betriebssystemen. Zu Zeiten von MacOS 10.9 und Windows 7 habe ich privat Mac benutzt, im Büro zwangsläufig Windows. Irgendwelche Probleme habe ich nie gehabt… und dass es bei Windows „Speichern“ und bei MacOS „sichern“ heißt, hat mich auch nicht aus der Bahn geworfen…

 

[PeterSko]

......

Ich habe dazu eine Blog-Artikel gechrieben, wie man das via Termianl macht. Genau für dein Szenario.

Lies mal hier -> https://lisanet.de/zugriffsrechte-bei-geteilten-ordnern-vererben/

.....

HAllo nochmal, habe mir das mal richtig zu Gemüte geführt und eingestellt, erste Tests sagen: "Klappt"
Prima, nochmals Dankeschön!

Und @Floyd : Ich habe Dich in Deinem ersten Post falsch verstanden, nicht zuletzt wohl, weil ich etwas unglücklich "Nun habe ich im Mac mehrere User OHNE Adminberechtigung...." schrub. Natürlich sind diese mehreren User für meherere leibhaftige Personen und nicht alle von mir selbst genutzt!
Mea Culpa, das war nicht so beabsichtigt.
Auf jeden Fall bin ich ne Ecke schlauer geworden und bedanke mich natürlich nicht nur bei Simone für ihren Artikel sondern auch bei allen anderen hier!

Grüße
Peter