[10.6 Snow Leopard] 2. User doch nicht vollständiger Admin?

[Marty]

Hallo OS X Gemeinde,

nachdem ich im Forum keine Lösung zu meinem Problem gefunden habe. Habe ich mich nach zwei Jahren nun doch mal angemeldet.

Als ich einen MacPro gekauft habe, hat meine Frau meinen MacMini erhalten.

Dort habe ich ihr einen Account angelegt und ihn als Admin deklariert. Alle Programme wurden jedoch davor mal unter meinen Namen (natürlich auch als Admin) installiert.

Meine Frau kann ihren Mac verwenden, das Update von Programmen funktioniert jedoch nicht immer.

Hier nur ein Beispiel von vielen:

Wenn z.B. das Thunderbird - Update unter ihren Namen installiert wurde, kann sie zwar das Programm nutzen, das Flag "erste Start nach Update" wird jedoch nicht gesetzt. Die HTML - Seite mit dem "Danke für Update" wird jedes mal neu angezeigt.
Auch Audium, Firefox usw machen die selben Probleme.

Sobald ich ein betroffenes Programm unter meinen Account nur kurz starte, sind diese Probleme verschwunden.
Manchmal kann sie gar kein Update installieren. z.B. muss ich Skype unter meinen Account installieren, dass sie es nutzen kann.
Ruft sie das Update auf, kommt die Meldung dass sie nicht die betreffenden Zugriffsrechte hat. Eine Abfrage eines Passworts wird nicht angezeigt.

Es sieht so aus, als ob sie keine Rechte an Config - Dateien hat, die sich außerhalb vom Home befinden.
Ich habe bereits die Rechte im Festplattendienstprogramm geprüft und auch die Einstellungen von jedem Programm (rechte Maustaste -> Informationen -> "Freigabe und Zugriffsrechte" ist ihr Name mit "Lesen und Schreiben" verbunden.

Wie kann ich das Problem lösen, ohne den Mac neu zu installieren?

Vielleicht noch ein Hinweis:
Das Problem gibt es schon lange. Ich habe auf ihren Rechner ein Update auf Snow Leopard durchgeführt. Beim damaligen Update war Snowleopard nicht mit dem Partition zufrieden (GUID-Partitionstabelle). Ich hatte damals die Platte neu formatiert und das Backup zurück gespielt. Das GUID Problem wurde hier im Forum auch mal behandelt: http://www.apfeltalk.de/forum/hilfe-update-snow-t276743.html

Das Update hat dann funktioniert, das Rechteproblem ist jedoch geblieben.

Nachdem meine Frau mich nun gebeten hat sich "endlich" um das Problem zu kümmern, bin ich hier gelandet.
Übrigens ist das das erste Mac Problem seit dem Switch vor zwei Jahren.

Vielen Dank
Marty

 

[salome]

Vielleicht nimmt sich eine Frau mal die Mühe und beschäftigt sich selbst mit dem Mac. Dann ist sie nicht mehr auf dich angewiesen.
Sie braucht nicht zwei Admin-Accounts. Sie kann deinem alten Account den Adminstatus entziehen. Ich nehme doch an, sie meldet sich immer als sie selbst an, und nicht mit deinem alten Account.
Danach schiebt sie die Install. DVD ein, startet mit C, öffnet nach der Sprachauswahl oben im Menü Festplattendienstprogramm und dann "Kennwort zurück setzen", das tut sie aber nicht, sondern sucht die Zeile "Benutzerrechte zurücksetzen" (oder so ähnlich) damit werden die Benutzerrechte repariert. Dann sollte alles zu ihrer Zufriedenheit funktionieren.
Die Rechte im Programmordner gehören ja gar nicht dem Admin sondern (bei mir jedenfalls) dem System - damit alle User jedes Programm benutzen können.
Wenn die Benutzerin des Mac jetzt der alleinige Admin ist, sollte auch ihr Passwort funktionieren. Hoffe ich wenigstens.
Salome

 

[Marty]

Nochmal Rechteprobleme

Hallo Salome,

vielen Dank für die Antwort. Das habe ich nun gemacht. Leider hat es nichts geholfen.
Sie wollte heute Google Earth updaten. Leider funktionierte das wieder nicht.
Als Fehlermeldung kam: "Die Aktion konnte nicht abgeschlossen werden, da Sie für einige Objekte nicht die erforderlichen Zugriffsrechte haben"

Danach habe ich die Userrechte vom installierten Google Earth überprüft:

- Meine Frau war gar nicht aufgeführt
- Marty lesen und schreiben (nicht löschbar)
- Admin nur lesen (löschbar)
- Every one nur lesen (nicht löschbar)

Nun haben wir meine Frau als User mit "lesen und schreiben" hinzugefügt und bei meinen Namen die Schreibrechte entzogen.
Auch das hat nichts geholfen. Google Earth lässt sich wieder nicht überschreiben.

Bei Skype sind folgende User aufgeführt:
- Meine Frau (ich) mit Lesen- und Schreiben
- Staff nur lesen (löschbar)
- Everyone nur lesen (User nicht löschbar)

Ich bin nicht aufgeführt.

Nun meine Fragen:
- Warum war der Name von meiner Frau bei Google Earth nicht aufgeführt, obwohl sie eingeloggt ist?
- Warum ist mein Name bei Skype nicht aufgeführt, bei Google Earth jedoch schon?
- Warum kann man meinen Namen und Everyone nicht löschen? Admin aber sehr wohl.
- Warum wird bei Skype ein User Staff aufgeführt, bei Google Earth nicht?

Hat jemand eine Idee?
Ich lasse Google Earth erst mal liegen, das ist eine gute Gelegenheit dem Problem ENDLICH auf die Spur zu kommen.

Vielen Dank
Marty

 

[DBertelsbeck]

Du hast die Programme ursprünglich installiert, also bist Du Eigentümer, nicht Deine Frau.
Das Zurücksetzen der Benutzerrechte nutzt da gar nichts, Du mußt im Terminal mit Eigentümer ändern arbeiten!

 

[salome]

Sagst du ihm vielleicht auch gleich, wie er das machen soll. ich kenne kaum Unix-Befehle und kann mit dem Terminal nur schlecht umgehen.
Wenn ich Rechte zu ändern habe, dann nehme ich BatchMode, das ist eine GUI für das Terminal.

 

[Marty]

Ich bin ein Linux - Mensch und kenne mich auf der Konsole eigentlich aus. Allerdings bin ich bei Suse zuhause, nicht auf BSD...
chown ist wohl klar als Befehl....

Liegen die Programme unter Applications? Wo liegen die config files? Vermutlich irgendwo beim User?

Owner wird wohl meine Frau werden, welche Gruppe?

Wo ich noch nicht durchgestiegen bin sind die dmg files. Das sind wohl images die komprimiert in den Baum gehängt werden. Sehe ich die Images auch in der Konsole oder werden die dort unkomprimiert dargestellt?

Ich habe bis jetzt nur sehr wenig auf der Konsole gemacht, nur mal ein Programm compiliert das es nur als source gab und ich unbedingt auf dem Mac haben wollte. Dass es kein root gibt sondern alles mit sudo gemacht wird, habe ich auch unterdessen gelernt.

Ich habe ehrlich gesagt noch keinen Überblick beim Mac wie der tree aufgebaut ist. Erschwerend kommt noch hinzu, dass der Finder die Verzeichnisse auf deutsch anzeigt, auf der HD aber in englisch sind.

Kann man beim Mac auch den Runlevel einstellen, um solche Änderungen zu machen?

Vielen Dank für eure Hilfe!

Marty

 

[salome]

kenne mich auf der Konsole eigentlich aus.

Das heißt auf dem Mac "Terminal". Die Konsole ist etwas ganz anaderes.
Application (Apps) heißt auf Deutsch Programme, also liegen alle Programme, so du sie nicht verschoben hast, im Programmordner.
Wenn du ein deutsches System installiert hast (bzw. das System auf Deutsch), dann sollten alle Bezeichnungen (Ordner, Menüleiste, Festplattendienstprogramm) auf Deutsch sein.
Du kannst aber, wenn du dich da leichter tust, dein System auch auf Englisch einstellen. Allerdings sind dann manche Programme, wenn sie nicht multilingual sind, dennoch auf deutsch.
Was meinst du mit, "die Verzeichnisse sind auf der Festplatte auf Englisch"? Das Finderfenster zeigt dir doch alles, was auf der Festplatte ist.
Die Struktur des Mac ist einfach zu durchschauen: Systemordner, Userordner mit Userlibrary (= ~/Library), allgemeine Library (= /Library), Programmordner. In beide Librarys legen Programm von selbst ihre Hilfsdateien ab. Du kannst dir die Struktur ganz leicht ansehen, weil alles, was du wissen musst, offen da liegt. Die unsichtbaren Dateien gehören dem System. Ganz selten muss man in so einen unsichtbaren Ordner hineinschauen. Dazu gibt es ja auch Terminal-Befehle.
Was du an den Rechten herum gemurkst hast, weiß ich nicht – aber ich kann von allen Usern aus auf die Programme zugreifen. Auch Updaten kann ich Programme, die für alle User gelten, z. B. Browser (immer mit dem Admin-Passwort). Nur User spezifische Einstellungen (etwa Add-ons bei Firefox oder Tools und Pref.Panes, die ich nur für einen User installiert habe) können von einem anderen User aus nicht geändert werden. Skype oder der Mail-Client gelten natürlich immer nur für den entsprechenden User, weil da ja persönliche Einstellungen notwendig sind.
Einstellungsdateien finden sich meistens in ~/Library/Preferences (wenn du die mit config. meinst).
Ein dmg ist ein Image, das liegt dort, wo du es hinlegst, also in der Regel im Download-Ordner des Users, der es geladen hat. Du klickst es an, damit es sich öffnet und du siehst links in der Finder-Seitenleiste ein virtuelles Volumen, da drinnen liegt das Programm, das du meistens durch Drag & Drop in den Programmordner beförderst. Dann kannst du das .dmg in den Papierkorb befördern – *außer es ist ein Geschenk und du bekommst es nie wieder, dann speichere es mit dem nächsten Backup, damit es im Notfall für eine neuerliche Installation des Programms parat hast.
In der Konsole siehst du Log.Meldungen und sonst nichts. Öffne sie halt einmal und sieh sie dir an, dann wirst du gleich klüger sein.
Salome

 

[Marty]

Hallo Salome,

vielen dank für Deine ausführliche Antwort.
Unter Konsole meinte ich die CLI (=command line interpreter) oder auch bash gennant. Dass es beim Mac hier einen Unterschied gibt, wusste ich nicht.
Ich finde es als großen Vorteil gegenüber von Linux, dass man beim Mac nicht ständig am Terminal sitzt. Deshalb bin ich da noch nicht so weit eingestiegen.
Aber Du hast recht, ich sollte das auf jedenfall machen.
Die Frage, was von einem dmg eigentlich wirklich in das Application Verzeichnis kopiert wird, war nur eine zusätzliche Frage, was eigentlich nichts mit meinem Rechteproblem zu tun hat.
Darum werde ich mich kümmern, wenn ich das Problem mit den Zugriffsrechte gelöst habe.
Gibt es eine Möglichkeit heraus zu finden welche Dateien er nicht überschreiben kann? Dann könnte man sich ja die Rechte dieser betreffenden Datei im Terminal ansehen.
Das kopieren von Google Earth aus dem gemounteten dmg Image nach /Application müsste man doch auch im Terminal machen können. Dann sollte man doch sehen, welche Dateien er nicht überschreiben kann?

Vielen Dank für eure Hilfe!
Marty

 

[EchoSierra]

Hallo Marty,
dein Problem hört sich ja relativ komplex an.
Wenn du die Option hast und nicht zu viele Daten verloren gehen, bzw. die Wiederinstallation der Programme zu viel Arbeit ist,
dann hast du natürlich auch die Option, MacOS X neu zu installieren. Damit wären auf jeden Fall die Rechteprobleme vollständig behoben und du würdest auch in Zukunft keine Probleme mehr damit bekommen.
Viele Grüße

 

[salome]

Dann sollte man doch sehen, welche Dateien er nicht überschreiben kann?

Wer ist er?
Ich verstehe leider deine Frage nicht.
Wozu hat der Mac eine so einfach zu bedienende Oberfläche (GooglEarth.app aus dem dmg in den Programmordner ziehen), wenn du es über das Terminal verkomplizieren willst? Da komme ich nicht mehr mit.
Salome

 

[Marty]

Hallo Salome,

würde ich ja gerne machen! Sobald ich das Programm hinüber ziehe, kommt die Meldung, dass ich nicht genügend Schreibrechte habe.
Mit "er" meinte ich den betroffenen User.
Gruß Marty

 

[salome]

Kannst du so gut sein, und noch mal von vorne anfangen. Ich habe total den Überblick verloren und weiß gar nicht mehr, worum es geht. Was willst du machen und was soll passieren. Es gibt eine Gui, die auf einfache Weise sämtliche Rechte ändert: BatchMode (falls du nicht das Terminal verwenden willst).
Schildere den Ist zustand auf dem Mac Mini und worum es letztlich geht.
Danke
Salome

 

[Marty]

Relativ einfach:
Obwohl meine Frau lese- und Schreibrechte hat, kann Sie manche Programme nicht updaten. Sobald sie z.B. Google Earth in das Programm - Verzeichnis zieht, kommt die Meldung, dass sie nicht genügend Rechte hat.
Die Rechte wurden bereits wie empfohlen repariert, brachte jedoch keine Abhilfe.

Marty

 

[Macbeatnik]

Rechtereparatur bringt bei Drag&Drop Programmen nichts, ebensowenig wie die Rechtereparatur im BenutzerOrdner und dessen Daten etwas bringt, Zugriffsrechte werden nur bei mit dem AppleInstallationsprogramm erstellten Dateien durchgeführt.
Das Drag&Drop Programm und die dort enthaltenen Dateien werden eben nur schreib und Leserechte für den anderen Account enthalten und die Gruppe Admin wird nur Leserechte haben.
Wie sehen denn die Rechte am Programm oder im ProgrammPaket aus?

 

[Marty]

Wenn ich mit der rechten Maustaste auf das Programm im Programmordner gehe, werden mir Schreib- und Leserechte für den angemeldeten User angezeigt.

Die Programme wurden ursprünglich mal unter meinen Benutzer eingerichtet. Ich habe den MacMini meiner Frau gegeben. Dazu habe ich einen neuen User angelegt und ihr volle Rechte gegeben.
Ich habe auch schon versucht meinen ursprünglichen Benutzer die Schreibrechte zu entziehen - half auch nichts.

Die Rechte, die unter Information angezeigt sind, entsprechen doch den Schreibrechte der Datei, wie sie auf der Platte liegt, oder nicht?
Wie siehts denn mit den ACLs aus, wo werden diese eingestellt?

Marty

 

[Macbeatnik]

Ich würde in deinem Fall die zickigen Programme entfernen, da es Drag&Drop Programme sind installierst du ja immer Vollversionen und die neuen Programme dann von deiner Frau in den ProgrammeOrdner packen.
Die Programme kommen in der Regel als Paket, da kann es z.B. gut sein, das auf der Oberen Ebene deine Frau Schreib und Leserechte hat, aber in den tieferen Regionen nicht.
Wie sehen denn die Rechte aus? (auch in den tieferen Regionen.

 

[salome]

Hast du deinen alten User (der die Programme geladen hat und die Rechte hat) gelöscht bei der Übergabe des MacMini an deine Frau?
Nimm BatchMode um die Rechte richtig einzustellen oder mach, was Macbeatnik rät, lass deine Frau die Programme neu installieren (laden, in den Programmordner ziehen) und schon hat sie alle Rechte.
Salome
PS: Falls ich oben irgendwann vom Reparieren der Rechte gesprochen habe, dann meinte ich natürlich nicht das Festplattendienstprogramm sondern die Richtigstellung (Reparatur) der Rechte bei den Programmen ( I).

 

[Rastafari]

Wo ich noch nicht durchgestiegen bin sind die dmg files. Das sind wohl images die komprimiert in den Baum gehängt werden. Sehe ich die Images auch in der Konsole oder werden die dort unkomprimiert dargestellt?

DMG sind Abbilddateien von Volumes oder ganzen Datenträgern. Es gibt sie komprimiert (nur lesbar) oder auch unkomprimiert (evtl. beschreibbar).
Sie verhalten sich beim aktivieren genauso wie eine angeschlossene externe Festplatte, eine eingelegte CD oder ein USB-Stick. Die Inhalte sind natürlich auch in der CLI-Umgebung verfügbar.
(Die "Konsole" ist übrigens was anderes als ein Terminal, das ist der Reader für die syslogs --> Dienstprogramme/Konsole)
Unter Linux hast du sicher schon mal die ein oder andere ISO-Datei per "Loop-Device" eingehängt? Das kommt einem DMG sehr nahe.
Die automatisch vergebenen Mountpoints findest du übrigens unterhalb von "/Volumes/".

Dass es kein root gibt sondern alles mit sudo gemacht wird, habe ich auch unterdessen gelernt.

Es gibt natürlich schon einen root-Benutzer. Du solltest dich nur nicht unter diesem Namen wie gewohnt "interaktiv" anmelden, das ist dank sudo nicht nötig.
Falls du doch mal eine root-Shell benötigst (was extrem selten ist), bekommst du sie auch über "sudo -s" oder "sudo -i". Ein root-Kennwort brauchst du dafür nicht, nur dein eigenes. Und du musst dazu ein Admin sein, sonst ist sudo für dich komplett tabu.

Ich habe ehrlich gesagt noch keinen Überblick beim Mac wie der tree aufgebaut ist.

Aus CLI-Sicht so ziemlich genauso wie jedes andere Unix.
Du bekommst etwas mehr Überblick über den normalerweise verborgenen Unix-Unterbau des Systems, wenn du den Finder dazu zwingst dir auch die unsichtbaren Ordner und Dateien zu zeigen:

defaults write com.apple.finder AppleShowAllFiles -bool YES && killall Finder;

Der Finder startet sich sofort in diesem Modus neu (das ist so gewollt). Das gleiche mit NO macht die Änderung wieder rückgängig (eine pro Benutzer zu treffende Einstellung).

Erschwerend kommt noch hinzu, dass der Finder die Verzeichnisse auf deutsch anzeigt, auf der HD aber in englisch sind.

Das Phänomen nennt sich "lokalisierte Anzeige". Genaugenommen zeigt der Finder nicht nur deutsch, sondern die aktuell eingestellte Favoritensprache des Benutzers. (Systemeinstellungen/Sprache&Text)
Wenn dich das (noch) verwirrt, kannst du...
A) Im Finder im Dialog "Informationen / Name und Suffix" den wahren Namen eines Objekts erfahren.
B) Pfade einfach bequem durch Drag&Drop von Objekten aus dem Finder ins Terminalfenster einfügen.
C) Die persönliche Sprache auf Englisch stellen (und dich neu anmelden). Dann läuft die ganze GUI im "nativen" Englisch.

Kann man beim Mac auch den Runlevel einstellen, um solche Änderungen zu machen?

Es gibt keine "runlevel", jedenfalls nicht so wie du sie von Linux-Systemen her kennst. Es gibt auch keinen "init" Prozess mehr, der diese einst verwaltet hat.
Das herunterfahren der grafischen Oberfläche mit Umschaltung zur Textkonsole ist nicht möglich - weil es eine solche "unterhalb der GUI steckende" Textkonsole gar nicht gibt. (Würde dir auch nicht helfen.)

 

[Marty]

Hallo Rastafari,

vielen Dank für die Infos, nun wird mir das wesentlich klarer.
Ein DMG ist faktisch ein gemountetes Device.

Ich bin heute mal auf meinen MacPro in das Terminal gegangen und habe mir die Rechte meiner /Applications angesehen um zu verstehen was auf dem MacMini bei meiner Frau anders ist.
Auf dem Pro gibt es unterschiedliche Owner und Users
Meist ist marty als Owner und admin als Gruppe eingetragen. Man sieht auch root als Owner und admin als Gruppe aufgeführt.
Dann gibts auch einen marty mit Gruppe staff.
Alle Daten haben die gleichen Rechte: Der Owner darf alles, die Gruppe nur lesen und ausführen.
Außerdem habe ich die "schreckliche" Gruppe wheel mit Owner root entdeckt. Wheel habe ich immer versucht zu vermeiden auf Linux - aber das ist ein anderes Thema...
Es gibt doch sicher auch ACL Regeln um die Rechte zu vererben? ein getfacl Befehl habe ich nun auf dem Mac nicht gefunden.

Kurzum:
Welcher Owner / Gruppe ist denn unter /Applications "normal"? Oder ist das Chaos wie oben beschrieben OK?
Ich könnte mir nur vorstellen, dass ich auf dem MacMini die Rechte mit chown für alle Daten so einstelle, dass meine Frau alles ändern kann. Das gefällt mir aus Sicherheitsgründen nicht, überall ein w bei der Gruppe zu setzen.


Beim Macpro läuft GoogleEarth unter Marty/staff und auf dem MacMini unter marty/admin
Soll ich einfach alle Marty Owner auf dem MacMini auf meine Frau umstellen und die Gruppen sein lassen, wie sie sind?

Marty

 

[Rastafari]

Auf dem Pro gibt es unterschiedliche Owner und Users

Owner und ... Gruppen meinst du. Klar, das ist normal.

Meist ist marty als Owner und admin als Gruppe eingetragen. Man sieht auch root als Owner und admin als Gruppe aufgeführt.

Wenn marty der Eigntümer ist, hat er das Objekt wohl per Drag&Drop in den Ordner kopiert.
Wenn root der Eigentümer ist, war sicherlich ein Installationsprogramm am Werk (meist, aber nicht zwingend der systemeigene).

Dann gibts auch einen marty mit Gruppe staff.

Die Gruppe hat unter OS X keinen besonders hohen Stellenwert. Man *kann* mit Benutzergruppen arbeiten (und auch selbst welche erstellen usw), aber oft kann man das mit der Gruppe vernachlässigen. Du solltest ein paar Dinge nicht vergessen:

- Wenn "Gruppe" und "Others" sowieso die gleichen Rechte besitzen, ist es egal ob du Gruppenmitglied bist oder nicht.
Bei von dir neu angelegten Objekten ist das grundsätzlich der Fall.
(Die voreingestellte "umask" ist 0022 - falls du damit was anzufangen weisst.)

- Unter Linux und vielen anderen Unixen gilt:
Wenn ein neues Objekt erstellt wird, bekommt es als Owner den durchführenden User, und als Gruppe die "primäre" Gruppe dieses Users.
Auf BSD-Systemen wird das aber meist anders gehandhabt, so auch bei OS X:
Owner wird der Benutzer, aber die Gruppe wird vom übergeordneten Ordner geerbt, in dem die Erstellung stattfindet.
(Um das gleiche unter Linux zu erreichen, muss man dem Ordner das spezielle SGID Permissions-Bit setzen: "chmod 2xxx Ordner")

Alle Daten haben die gleichen Rechte: Der Owner darf alles, die Gruppe nur lesen und ausführen.
Außerdem habe ich die "schreckliche" Gruppe wheel mit Owner root entdeckt.

Wie gesagt: Unter diesen Voraussetzungen ("Others" darf genausoviel wie die Gruppe) ist die Gruppe (beinahe) egal.

Unter OS X hätte nur die "magische" Gruppe 99 ("_unknown") einen wesentlichen Effekt, Ebenso wie der Eigentümer gleichen Namens. Aber das ist was spezielles für später. Meide das vorerst.

Wheel habe ich immer versucht zu vermeiden auf Linux - aber das ist ein anderes Thema...

Die Gruppe "wheel" gibts üblicherweise nur auf BSD-Derivaten. Unter Linux heisst die gleiche Gruppe (mit GID 0) einfach nur "root".
(Dieser etwas andere Name ist ein "Running Gag" für ganz alte Geeks. Als IT hierzulande noch EDV hiess. )

Es gibt doch sicher auch ACL Regeln um die Rechte zu vererben? ein getfacl Befehl habe ich nun auf dem Mac nicht gefunden.

Die Verwendung ist möglich, aber ziemlich unüblich.
Wenn einem Objekt eine (rein optionale) ACL angehängt ist, siehst du das in der "langen" Ausgabe von "ls". Und zwar hier:

buddy$  ls -l foo
-rw-r--r--[COLOR="red"][B]+[/B][/COLOR] 1 buddy staff 243 24 Nov 17:09  foo

Details gibts mit dem zusätzlichen Schalter -e :

buddy$  ls -le foo
-rw-r--r--+ 1 buddy staff 243 24 Nov 17:09  foo
 0: group:admin allow read,write,delete,append

ACLs manipulieren geht mit chmod.
Oder (grafisch aufbereitet) mit kleinen Helferchen wie Sandbox (mit dem sich merkwürdigerweise nur Ordner bearbeiten lassen, was hat der Autor sich nur dabei gedacht???) oder -noch schöner- dem sprichwörtlichen Schweizer Taschenmesser der Systemwartung. (Dem "grossen Bruder" des kostenlosen "TinkerTool", das sich mit seinem gänzlich anderen Funktionsumfang als sinnvolle Ergänzung dazu bestens empfiehlt. Die knapp 12 Euro ist das Prog definitiv wert.)
Ansonsten sind ACLs eigentlich für den Einsatz bei Netzwerkfreigaben gedacht, entsprechende grafische Konfigurationsmittel gibts daher nur in der Serverversion von OS X.

Das gefällt mir aus Sicherheitsgründen nicht, überall ein w bei der Gruppe zu setzen.

Absolut richtig.
Allerdings sollte es kein Problem sein, alle benötigten Aufgaben nach Angabe seines einenen Admin-Kennworts durchführen zu dürfen.

Beim Macpro läuft GoogleEarth unter Marty/staff und auf dem MacMini unter marty/admin

Das bedeutet nur folgendes:
Auf Rechner A wurde die ursprüngliche Kopie des Programms in irgendeinem Ordner erstellt, der zur Gruppe staff gehörte - beispielsweise der Desktop eines beliebigen Benutzers. Dann wurde es in den Programmordner verschoben.
Auf Rechner B wurde die Kopie dagegen direkt im Programme-Ordner ausgeführt (der gehört root:admin).
Relevanz: Keine.

Soll ich einfach alle Marty Owner auf dem MacMini auf meine Frau umstellen und die Gruppen sein lassen, wie sie sind?

Das könntest du tun, aber du musst vorsichtig dabei sein.
Wenn sich irgendwo in den Programmpaketen (was eigentlich ein Fauxpas ist, aber dennoch von manchen so gemacht wird) eine Datei mit SUID Rechten befindet, darfst du daran keine Änderungen vornehmen.
Das ganze sollte aber nicht notwendig sein, bekommst du denn beim Versuch etwas derartiges zu tun, tatsächlich kein solches Aufforderungsfenster?

Nach der Wahl von "Identifizieren" sollte die Kennwortabfrage erscheinen.