[10.11 El Capitan] Zugriffsrechte seit 10.11 oder 10.11.1 durcheinander?

[double_d]

Hallo zusammen,

jetzt habe ich doch mal ein Problemchen, welches ich nicht einordnen kann.
Ich habe einen MacMini mit Mavericks, der als zentraler Server dient.
An diesem läuft eine G-RAID Thunderbolt Festplatte, auf die weitere Clients im Netzwerk zugreifen.

Mavericks, sowie die zugehörige Server App sind auf dem aktuellsten Stand.
Am Mini gibt es zwei Benutzer. Admin und einen User. Jedoch ist kein Benutzer permanent angemeldet. Eigentlich fahre ich den Mini nur hoch und das wars.
Die G-RAID Thunderbolt-Festplatte ist freigegeben und darauf greifen mehrere Linuxclients per NFS-Freigabe, sowie ein MacBook und ein iMac zu.
Am MacBook und am iMac gibt es jeweils einen Benutzer, der identisch zum Benutzer am Mini benannt ist und auch das gleiche Passwort hat. Ist halt mein Standardbenutzer für alle Macs. Dieser Benutzer hat am Server Lese+Schreibrechte auf die Freigaben.

Somit kann ich am MacBook und am iMac im Finder den Eintrag "MacMiniServer" auswählen und habe Zugriff auf die freigegebenen Ordner. Auch kann ich bei Bedarf die Bildschirmfreigabe des Mini darüber öffnen. Ich lande dann im Anmeldebildschirm vom Mini und melde mich da dann für entsprechende Änderungen mit dem Admin an. Das allerdings relativ selten und nur für Updates am Mini. Ansonsten nutze ich ausschließlich die Dateifreigabe.

Hauptbenutzung liegt allerdings hierbei bei meinen Linuxclients (SAT-Receiver). Diese nehmen direkt auf der Thunderboltplatte in entsprechenden Ordnern auf. Da dies allerdings auch weiterhin problemlos funktioniert (Mavericks ist ja weiterhin auf dem Mini aufgespielt), fiel mir gar nicht auf, dass etwas mit den Freigaben nicht in Ordnung sein könnte.

Ich kann das definitiv auf El Capitan eingrenzen, da ich seit dem Update mit dem MacBook und dem iMac nur lesend auf die Freigaben zugegriffen habe. Heute habe ich allerdings mal wieder Zeit gehabt und ein paar Projekte vom iMac auf die Thunderbolt-Platte schieben wollen und bekam den Finder-Fehler 36.

Der Finder konnte diesen Vorgang nicht abschließen, da einige Daten in „“ nicht gelesen oder geschrieben werden konnten.
(Fehler: -36)

Zunächst habe ich an einen möglichen Defekt der Festplatte gedacht und dahingehend so gut es mir möglich war alles ausgeschlossen. Vom Mini selbst lassen sich problemlos Dateien und Ordner von der internen Platte auf das Thunderboltlaufwerk kopieren. Ebenso von einer Yosemite-Installation auf einem USB-Stick am MacBook.
Auch die Linuxclients können ohne Probleme auf die Platte zugreifen. Nur die beiden El Capitan Installationen machen Stress.

Kurioserweise wird der Vorgang zwar mit der Fehlermeldung "abgebrochen", die Dateien sind anschließend aber trotzdem auf dem Laufwerk und zweifelsfrei auch i.O..
Was mir allerdings aufgefallen ist, und deshalb komme ich auf ein Problem bei den Zugriffsrechten, die Dateien werden schon immer mit meinem User und der entsprechenden Berechtigung vom iMac oder MacBook auf die Thunderbolt-Platte übers Netzwerk kopiert. Am Mini habe ich allerdings auch mit dem Admin-User Zugriff auf diese Dateien gehabt. (Admin und User haben beide am Mini Lese-und Schreibzugriff auf die Ordner der G-RAID). Das ist bei den jetzt mit der Fehlermeldung kopierten Dateien und Ordner anders. Dort hat der Admin keine Zugriffsrechte. Ich muss mich dafür, und das habe ich noch nie gemacht, mit meinem Standard-User am Mini anmelden.

Am Mini und der Mavericks-Installation wurde seit die anderen Macs mit El Capitan bestückt wurden nichts weiter gemacht.
Und die Clients haben "auch nur" das neue Betriebssystem bekommen. Keine Änderungen an den Benutzern oder den Freigaben.

Was ist denn da quer bei mir?

 

[Marcel Bresink]

Am MacBook und am iMac gibt es jeweils einen Benutzer, der identisch zum Benutzer am Mini benannt ist und auch das gleiche Passwort hat.

Namen spielen bei Berechtigungen überhaupt keine Rolle und das Kennwort dient nur dazu, zu überprüfen, ob ein Benutzer, der sich anmeldet, auch derjenige ist, für den er sich ausgibt. Im Normalfall sehen zwei unterschiedliche Rechner zwei lokale Benutzer nicht als identisch an, nur weil sie "zufällig" gleich heißen.

Wenn Du das NFS-Protokoll verwendest, musst Du dafür sorgen, dass alle UIDs und GIDs der Netzwerkbenutzer bei allen beteiligten Rechnern synchron sind. Zur Not kann man das manuell machen. Üblicherweise verwendet man dazu jedoch einen Verzeichnisdienst wie Apple Open Directory, Microsoft Active Directory oder ganz altmodisch NIS.

 

[double_d]

Hallo @Marcel Bresink
Danke schon mal für die Antwort.
Mit den NFS Freigaben habe ich keine Probleme. Die laufen wie bisher.

Was mir seit 10.11. Probleme macht, sind die vom MacBook oder iMac kopierten Ordner und Dateien auf die Freigabe (Thunderbolt Festplatte) am Mac Mini unter Mavericks Server.
Auf die interne Platte des Mini kann ich problemlos über das Netzwerk Dateien kopieren.
Auf die am Mini hängende Thunderbolt Platte kann ich seit 10.11. wohl kopieren, jedoch wird jeder Kopiervorgang mit dem o.g. Fehler beendet. Damit kann ich nicht mehrere Dateien gleichzeitig anstoßen.
Weiterhin sind diese Dateien dann von den Zugriffsrechten her so beschnitten, dass der Admin am Mini keinen Zugriff mehr hat.
Vor 10.11. hatte er zumindest Leserechte. Vollzugriff verblieb bei dem Benutzer, der sie kopiert hatte. Das hatte ich im ersten Post auch falsch beschrieben.

Ein Defekt der Thunderbolt-Platte schließe ich einfach aus, da bei Überprüfung keine Fehler gefunden wurden und sie auch lokal am Mini problemlos beschreibbar ist. Der Fehler -36 tritt nur auf, wenn ich über das Netzwerk von den El Capitan Clients schreibend darauf zugreifen will. Und wie gesagt: dies passiert erst seit OS X 10.11.
Unter Yosemite gab es diesen Fehler noch nicht.

Ich habe einen Ansatz im Netz gefunden, der sich auf SMB2 und SMB1 bezieht und den ich nachher zuhause mal ausprobieren wollte.
Man sollte die Serververbindung anstelle mit smb// einfach mit cifs// aufbauen und testen.

Andererseits habe ich auch von der Zugriffsverwaltung gelesen seit 10.11. und dass es nicht mehr notwendig ist die Zugriffsrechte zu reparieren. Das kriege ich noch nicht so in den Kontext meines Problems, jedoch kann ich mir vorstellen, dass es da tatsächlich in dieser Kombination was quer schießt: EL Capitan > Netzwerk > Mavericks > Thunderbolt

 

[Wuchtbrumme]

anstelle mit smb// einfach mit cifs//

vor die Doppel-Slashs gehören Doppelpunkte, also so:

cifs://

Was Dein grundsätzliches Problem angeht: ich meine, (auch hier) gelesen zu haben, dass ab Yosemite die Laufwerke anders eingebunden werden. Warum das aber relevant sein soll, wenn Du am (freigebenden) Mini nichts geändert hat, verstehe ich auch nicht so ganz. Zumindest gibt der Mini ja die Rechte auf FS-Ebene vor. Ich würde mal mit dem Terminal ein

ls -la /Volumes/

auf Mini und El Capitan-Macs angucken und vergleichen (hilfsweise posten). Vielleicht scheitert das neuere OS daran, die höherliegende Verzeichnisstruktur zu updaten. Das könnte das Fehlerbild erklären.

 

[double_d]

vor die Doppel-Slashs gehören Doppelpunkte, also so:

Ja, sorry. Das war nur hier so in dem Post gelandet. Gehören da natürlich hin.

Ich würde mal mit dem Terminal ein

ls -la /Volumes/

auf Mini und El Capitan-Macs angucken und vergleichen (hilfsweise posten).

Das mache ich nachher Zuhause als Erstes. Vielen Dank für den Input. Bin für jede Hilfestellung dankbar.

 

[double_d]

Ich hab den Befehl sowohl auf dem Mini:



als auch auf dem MacBook ausgeführt:



Schlau werde ich daraus allerdings nicht wirklich.
Die einzelnen Volumes kann ich identifizieren.

Am Mini sind das die interne HDD (MacHDD) und die SSD Systemplatte (MacSSD), sowie eine USB-Platte (Backup) auf der die TimeMachine-Backups vom Mini gemacht werden. Darüber hinaus noch die Thunderbolt-Platte (G-RAID)

Am MacBook sind es die Freigabe vom Mini (G-RAID), die Boot Camp Partition und die Systemplatte, welche auch MacSSD heißt.

Für mich sieht das so aus, als hätte ich am Mini mehr und erweiterte Berechtigungen an der G-RAID als auf dem MacBook.
Aber was genau heißt es wirklich?

 

[Wuchtbrumme]

anhand dessen, was Du beschreibst, muss ich nochmal auf Marcels Hinweis mit den UIDs (User IDs) stoßen, das wird es vermutlich sein. Kurzum, richtig wäre, den Standardbenutzer in einen Netzwerkbenutzer im Server "umzuwandeln" und das MBP so umzubauen, dass es diesen ebenso benutzt. Ist allerdings mit wirklich etlicher (aber eigentlich einfacher) Bastelei verbunden, Anleitungen sollten sich per Suche finden lassen, habe ich auch so gemacht. Wenn sichergestellt ist, dass UIDs/GIDs identisch sind, sollte alles zumindest mal definitionsgemäß laufen. Die Situation im Augenblick würde nur per Zufall funktionieren.

Neben den Einstellungen unter Systemeinstellung/Freigaben/<Freigabe, Benutzer> gibt es auch auf Dateisystemebene Berechtigungen. Ich vermute, das Yosemite und höher versuchen, die Benutzer auf lokale FS-Einstellungen abzubilden - ein Grund mehr, alle UID/GIDs korrekt zu haben. Die Freigabe, auf die Du schreibst, sollte als Benutzer in den Freigaben "Server"+"David" lesen+schreiben haben, im Finder auf dem Mini sollte für den der Freigabe entsprechenden Pfad dasselbe eingestellt sein (als Minimum). Wie gesagt, selbst dann könnte sich in Yosemite/El Capitan etwas geändert haben (z.B. dass das OS standardmäßig alle Berechtigungen auf den schreibenden User setzt).

 

[Marcel Bresink]

Man kann zu der ganzen Sache überhaupt nichts sagen, da die wichtigsten Angaben fehlen, bzw. sich widersprechen.

Die G-RAID Thunderbolt-Festplatte ist freigegeben und darauf greifen mehrere Linuxclients per NFS-Freigabe, sowie ein MacBook und ein iMac zu.

Was heißt das nun? Greifen alle per NFS zu? Oder greifen verschiedene Rechner mit verschiedenen Protokollen zu? Wenn ja, welche (NFS, AFP, SMB, WebDAV, FTP)? Wenn kein NFS verwendet wird, wie und mit welchem Account melden sich die Clients dann an?

Außerdem scheint das Missverständnis vorzuliegen, dass eine Freigabe an sich Rechte hätte. Das ist aber nur die Berechtigungseinstellung für den "allerobersten" Ordner dieser Freigabe. Jedes einzelne Objekt in diesem Ordner kann wieder ganz andere Rechte haben, und wenn mit gemischten Protokollen und Authentifizierungsverfahren auf die gleichen Dateien zugegriffen wird, wird das sehr kompliziert.

 

[double_d]

Was heißt das nun? Greifen alle per NFS zu? Oder greifen verschiedene Rechner mit verschiedenen Protokollen zu? Wenn ja, welche (NFS, AFP, SMB, WebDAV, FTP)?

Bitte hab Nachsicht, da ich das mit viel (lesender) Hilfe vor Jahren eingerichtet habe und eigentlich auch gar nicht weiß, welche Infos Du genau benötigst.

und wenn mit gemischten Protokollen und Authentifizierungsverfahren auf die gleichen Dateien zugegriffen wird, wird das sehr kompliziert.

So kompliziert war das bisher nicht, bzw. kam mir nicht so vor. Und bis zum Update auf El Capitan war ja auch alles in Ordnung.

Aber ok. Ich will das mal versuchen zu beschreiben, was ich da gemacht habe.

NFS Freigaben an dem Mini mit Mavericks habe ich mit Hilfe Deines Programms NFS MANAGER gemacht.
Auf diese Freigaben greifen ausschließlich per NFS die Linuxreceiver zu. Schreibend und lesend.
Freigegeben sind 3 Ordner auf dem Thunderbolt-Laufwerk.

Das Thunderboltlaufwerk selbst und die interne HDD vom Mini besitzen eine Freigabe (SMB und AFP), welche ich am Mini in der Serverapp eingerichtet habe.
Zugriff haben (lesen und schreiben) der Admin vom Mini als Eigentümer, mein Standarduser, den ich auch an allen anderen Macs angemeldet habe und Staff (Primärgruppe). Alle anderen, so wie es auch dort steht, haben keinen Zugriff.
Das ist eigentlich schon alles.

Lediglich Time Machine habe ich noch über die Server App eingerichtet, damit der iMac seine Backups dort auf der Thunderbolt-Platte machen kann. Deshalb auch AFP, weil sonst keine Verbindung zustande kommt.

Wenn ich in der Server App nachschaue, dann sind auch maximal diese zwei Benutzer aktiv.
Einmal der User Server\David per SMB, was die gerade geöffnete Bildschirmfreigabe am iMac oder am MacBook zeigt und einmal pro Stunde für die 3 Minuten des Backups der User David per AFP über den iMac, wo grade Time Machine angelaufen ist.

Das hat alles so seit Mountain Lion funktioniert. Es haben fast gleichzeitig alle Rechner das Update auf Mavericks bekommen und nur den Mini habe ich, damit ich die Server App nicht ein drittes Mal kaufen musste vom Update auf Yosemite und El Capitan ausgeschlossen, weil ich auch keinen Grund sah, ihn zwangsläufig upzudaten. Es lief ja alles, was ich machen wollte und musste.

Das was über NFS geschieht, funktioniert auch jetzt noch einwandfrei. Alle Linuxreceiver speichern ihre Aufnahmen wie gewünscht ab, und lassen ein Bearbeiten sowie ein Abspielen der Aufnahmen zu.
Über SMB kann auch auf alle Daten innerhalb der G-RAID Freigabe von meinen Macs zugreifen und sie sogar von dort auf das MacBook oder den iMac kopieren. Ich kann auch weiterhin ohne Probleme Dateien auf die interne HDD des Mini vom MacBook und iMac kopieren. Nur vom iMac oder MacBook auf die G-RAID kann ich nichts mehr ohne Fehlermeldung kopieren. Die Daten sind zwar anschließend da, und lassen sich dann auch vom iMac oder MacBook löschen, abspielen, bearbeiten, sind aber für den Mini-Admin gesperrt.

Und das war eben unter Yosemite noch nicht so.

Wie gesagt, ich bin da wahrscheinlich auch viel zu unerfahren. Von daher sagt bitte, was ich liefern muss an Infos.
Bei den NFS Freigaben war es eher ein Trial and Error, als denn ein wirkliches Verstehen. Trotz Anleitung.
So kompliziert war das damals bei den Freigaben der Linuxreceiver untereinander, als ich den Mini noch nicht hatte m.E. nach nicht.

 

[Marcel Bresink]

Auf diese Freigaben greifen ausschließlich per NFS die Linuxreceiver zu. Schreibend und lesend.

In dem Fall bestimmen die Receiver, wem die Dateien gehören und wer auf sie Zugriff hat.

Zugriff haben (lesen und schreiben) der Admin vom Mini als Eigentümer, mein Standarduser, den ich auch an allen anderen Macs angemeldet habe

Das ist so nicht richtig, da bei Zugriff über SMB und AFP die Systeme wissen, dass es sich um drei getrennte Benutzer handelt. Dass die zufällig gleich heißen, spielt keine Rolle. Der Mac mini fragt bei der Anmeldung über SMB oder AFP nach dem Kennwort für "sein eigenes Exemplar" dieses Admin-Benutzers. Der Benutzer des zugreifenden Rechners wird dann im Rahmen dieses Dateizugriffs auf den Benutzer des Mac mini abgebildet.

Nur vom iMac oder MacBook auf die G-RAID kann ich nichts mehr ohne Fehlermeldung kopieren.

Mit anderen Worten: Ein Schreibzugriff über SMB durch den Finder wird nicht korrekt ausgeführt. Da der Inhalt der Datei offenbar ankommt, die Berechtigungen aber nicht, ist anzunehmen, dass während des abschließenden Änderns der Dateiattribute ein technisches Problem auftritt. Das könnte die Berechtigungen selbst, aber auch das Datei-Locking oder die Erweiterten Attribute (Quarantänedaten, Finder-Einstellungen, Forks, etc.) betreffen. Das müsste man jetzt näher eingrenzen. Im schlimmsten Fall kann es aber sein, dass der SMB-Client von El Capitan einfach nicht hundertprozentig mit dem SMB-Server von Mavericks kompatibel ist.

Du kannst mal versuchen, mit dem Befehl

touch abc

eine leere, quasi attributlose Datei "abc" in Deinem Privatordner anzulegen und diese auf den Server zu kopieren. Funktioniert das oder geht das auch schief?

 

[double_d]

Das ist so nicht richtig, da bei Zugriff über SMB und AFP die Systeme wissen, dass es sich um drei getrennte Benutzer handelt. Dass die zufällig gleich heißen, spielt keine Rolle. Der Mac mini fragt bei der Anmeldung über SMB oder AFP nach dem Kennwort für "sein eigenes Exemplar" dieses Admin-Benutzers. Der Benutzer des zugreifenden Rechners wird dann im Rahmen dieses Dateizugriffs auf den Benutzer des Mac mini abgebildet.

Ah ok...dann habe ich da tatsächlich einen Gedankenfehler bei der Einrichtung gehabt.
Wird vielleicht für jemanden, der da voll in der Materie steckt schwierig sein das nachzuvollziehen, wie ich das verstanden habe.

Ich bin immer davon ausgegangen, dass der Benutzer des zugreifenden Rechners in der Liste der Berechtigungen auftauchen muss und auch nur auftauchen kann, wenn er tatsächlicher angemeldeter Benutzer am Mini ist.
Und sobald dieser einen Ordner anlegt oder Dateien kopiert, wären diese sozusagen sein Eigentum.
Deswegen habe ich auf allen meinen Rechnern einen identischen Benutzer, mit dem ich mich anmelde um so auf die Freigaben von überall zugreifen zu können. Na gut, dann muss ich das nochmal überdenken und schauen, ob und wie das eventuell zu Problemen führen kann.

Für mich war immer lokal angemeldeter User und Netzwerk-User identisch.
Sprich: Hätte ich auf allen Geräten unterschiedliche Standard-User, müssten die für mich auch alle als berechtigte User am Mini verwaltet werden.

Du kannst mal versuchen, mit dem Befehl

touch abc

eine leere, quasi attributlose Datei "abc" in Deinem Privatordner anzulegen und diese auf den Server zu kopieren. Funktioniert das oder geht das auch schief?

Das kann ich dir heute abend dann melden.

Vielen Dank schon mal im Voraus für deine Geduld.

 

[Marcel Bresink]

Es hat mit dem Problem möglicherweise gar nichts zu tun, aber um das technisch klar zu stellen:

Ich bin immer davon ausgegangen, dass der Benutzer des zugreifenden Rechners in der Liste der Berechtigungen auftauchen muss und auch nur auftauchen kann, wenn er tatsächlicher angemeldeter Benutzer am Mini ist.

Ja, genauso ist es.

Und sobald dieser einen Ordner anlegt oder Dateien kopiert, wären diese sozusagen sein Eigentum.

Auch richtig.

Deswegen habe ich auf allen meinen Rechnern einen identischen Benutzer

Nein, hast Du nicht. Es ist zwar tatsächlich möglich, auf verschiedenen Rechnern mit einem identischen Account zu arbeiten, aber dann müssen alle beteiligten Rechner ihre Benutzerverwaltung teilweise an eine zentrale Account-Datenbank abgeben. Da macht man mit sogenannten Verzeichnisdiensten wie z.B. Apple Open Directory oder Microsoft Active Directory. Dann hat man echte Netzwerk-Accounts, die allen Rechnern bekannt sind. Nach Deiner Beschreibung hast Du so etwas aber nicht eingerichtet, sondern Folgendes:

- Es gibt 4 lokale Benutzer, zwei auf dem Mac mini, einen auf dem iMac, einen auf dem MacBook. Drei davon hast Du gleich benannt, aber das beachten die drei Rechner überhaupt nicht.
- Wenn sich der Benutzer A des iMac mit einer SMB-Freigabe des Servers verbindet, fragt der Server nach Name und Kennwort. Er kennt aber nur seine eigene Benutzerdatenbank. Du gibst also Name und Kennwort ein, und wenn dies zu einem Account auf dem Server passt, bist Du aus Sicht des Servers nun einer "seiner" Benutzer, nennen wir ihn B.
- Bei jedem einzelnen Dateizugriff über die SMB-Verbindung hinweg findet nun eine Benutzer- und Rechteabbildung statt, wobei die beiden beteiligten Rechner auf der anderen Seite jeweils den passenden Benutzer simulieren. Der eine sagt "ich sehe den fremden Benutzer A als meinen Benutzer B an". Der andere sagt "ich sehe den fremden Benutzer B als meinen Benutzer A an".

Wenn nun Benutzer A des iMac, der als B beim Server angemeldet ist, eine Datei auf den Server schreibt, dann trägt der Server B als Eigentümer der Datei ein, und meldet an den iMac zurück, dass diese Datei dem Benutzer A gehört.

Dieses Verfahren gilt so nur für Dateiserver-Verbindungen, bei denen im Moment des Verbindungsaufbaus nach Name/Kennwort gefragt wird. Bei netzweiten Authentifizierungsverfahren funktioniert das anders, und bei Verfahren ohne Authentifizierung (wie NFS) geht das wiederum anders.

 

[double_d]

Du kannst mal versuchen, mit dem Befehl

touch abc

So. Nun war ich auch endlich mal wieder in der Lage Zuhause etwas an den Rechnern zu machen und habe den Versuch mit der leeren Datei ausprobiert. Leider ohne Erfolg, oder zumindest mit dem Erfolg, exakt das gleiche Ergebnis wie bei allen anderen Dateien erzielt zu haben.



Ebenfalls habe ich mich dank Deiner Erklärungen nun auch mal mit einem registrierten Benutzer am Mini über AFP angemeldet und das Volume G-RAID aktiviert. Und siehe da, die Dateien werden ohne Fehlermeldung kopiert.
Allerdings kommen die Dateien auch wieder mit differenten Berechtigungen dort an.
Über die Bildschirmfreigabe mit meinem registrierten Standarduser am Mini als Admin angemeldet, habe ich bei den "alten" über SMB kopierten Dateien immer "Leserechte" gehabt. Die mit Fehler kopierten Dateien hatten "keinen Zugriff" und die über AFP kopierten Dateien melden nun, dass ich "angepasste Rechte" hätte.

Ich fürchte ich komme so nicht weiter, da ich ja am Mini und dessen Einstellungen im und am System wirklich nichts verändert habe.
El Capitan am Mini ist bereits geladen, aber noch nicht installiert.
Was könnte ich jetzt noch probieren um vielleicht einem Update auf El Capitan am Mini zu entgehen, bzw. macht es für mich überhaupt Sinn unbedingt an Mavericks festzuhalten?