Berechtigungen in Windows mit der PowerShell steuern Cmdlets und Skripte für die Konfiguration von Rechten

Mit der PowerShell ist es möglich, recht umfassend Berechtigungen in Windows zu steuern. Dabei lassen sich auch NTFS-Rechte, Zugriffe auf Freigaben und Gruppenmitgliedschaften festlegen: mit einzelnen Cmdlets oder auch mit Skripten.

Mit der PowerShell lassen sich recht umfangreich Rechte für Verzeichnisse, Laufwerke, Gruppenmitgliedschaften und auch Einstellungen und Berechtigungen für Freigaben steuern. Wir haben das Thema bereits in den beiden Beiträgen „Freigabeberechtigungen in der PowerShell steuern“ und „Freigaben mit der PowerShell erstellen und Benutzerzugriffe steuern“ besprochen.

Der Beitrag „Berechtigungen in Windows mit der PowerShell steuern“ zeigt weitere Möglichkeiten. Im folgenden Beitrag vertiefen wir diese Möglichkeiten noch weiter und zeigen, wie sich die verschiedenen Cmdlets miteinander kombinieren lassen.

Verschiedene Cmdlets steuern die Berechtigungen in Windows

Für die Verwaltung von Berechtigungen stehen zum Beispiel folgende Cmdlets zur Verfügung:

• „Get-Acl“: liest Zugriffssteuerungslisten (ACLs) von Objekten wie Dateien, Verzeichnissen oder Registry-Schlüsseln.

• „Set-Acl“: ändert oder passt die Berechtigungen eines Objekts durch Modifikation der ACLs an.

• „New-Object -TypeName System.Security.AccessControl.FileSystemAccessRule“: erstellt ein AccessRule-Objekt zur Definition von Datei- und Verzeichnisberechtigungen.

• „Get-ADUser“: ruft Informationen über AD-Benutzer ab.

• „Set-ADUser“: ändert Eigenschaften von AD-Benutzern, einschließlich Berechtigungen.

• „Get-ADGroup“: ermöglicht Abrufen von Informationen zu AD-Gruppen.

• „Add-ADGroupMember“: fügt Benutzer zu AD-Gruppen hinzu.

• „Get-ADOrganizationalUnit“: ermöglicht Zugriff auf Organisations-Einheiten (OUs) in Active Directory.

• „Set-ADOrganizationalUnit“: ändert Eigenschaften von OUs, einschließlich Berechtigungen.

• „Get-ADPermission“ und „Add-ADPermission“: speziell für den Zugriff und die Verwaltung von Berechtigungen in Exchange-Umgebungen.

Die Cmdlets lassen sich auch miteinander kombinieren und mit dem „Pipe“-Zeichen („|“) zusammenfassen, sodass sich auch komplexere Befehle umsetzen lassen.

Verwalten von Datei- und Verzeichnisberechtigungen mit Get-Acl und Set-Acl

Das Lesen und Ändern von Zugriffsrechten auf Dateien und Verzeichnissen erfolgt durch die Kombination von „Get-Acl“ und „Set-Acl“:

In diesem Beispiel werden vererbte Berechtigungen von „C:\MeinVerzeichnis“ entfernt. Nehmen wir zum Beispiel das Cmdlet „Get-Acl“, das verwendet wird, um die Zugriffssteuerungsliste (ACL) eines bestimmten Pfades abzurufen. Bei Kombination mit „New-Object“ und „Set-Acl“ können Sie neue Berechtigungseinträge erstellen und diese einem Verzeichnis oder einer Datei zuweisen:

Änderung von Active-Directory-Benutzerinformationen mittels Get-ADUser und Set-ADUser

Diese Cmdlets erlauben die Abfrage und Modifikation von AD-Benutzereigenschaften:

Hier wird die Beschreibung für den Benutzer „jsmith“ aktualisiert. In einem Active-Directory-Szenario kann die Kombination von „Get-ADUser“, „Get-ADGroup“ und „Add-ADGroupMember“ verwendet werden, um Benutzer zu finden, die einem bestimmten Kriterium entsprechen, und sie dann zu einer Gruppe hinzuzufügen:

Hinzufügen von Benutzern zu AD-Gruppen durch Get-ADGroup und Add-ADGroupMember

Durch diese Kombination lassen sich Benutzer in bestimmte Gruppen einfügen:

Das Beispiel fügt „jsmith“ zur Gruppe „Vertriebsgruppe“ hinzu.

Schutz von Organisations-Einheiten in Active Directory mit Get-ADOrganizationalUnit und Set-ADOrganizationalUnit

Eigenschaften von Organisations-Einheiten (OUs) lassen sich mit diesen Cmdlets steuern:

Die OU „Vertrieb“ wird vor versehentlichem Löschen geschützt.

Kontrolle von Exchange-Berechtigungen durch Get-ADPermission und Add-ADPermission

Mit diesen Cmdlets kann der Zugriff auf Exchange-Postfächer gesteuert werden:

Im obigen Code werden spezifische Berechtigungen für das Postfach von „jsmith“ abgerufen, und „John Doe“ erhält Vollzugriff. In einer Exchange-Umgebung kann die Kombination von „Get-ADPermission“ und „Add-ADPermission“ dazu verwendet werden, nicht vererbte Berechtigungen für ein Postfach abzurufen und dann einem anderen Benutzer Zugriffsrechte auf dieses Postfach zu gewähren:

Cmdlets miteinander kombinieren und Skripte erstellen

Das Kombinieren mehrerer der genannten Cmdlets in einem einzigen Befehl oder Skript kann zu komplexen und maßgeschneiderten Verwaltungsaufgaben führen. Unten ist ein Beispiel für ein PowerShell-Skript, das mehrere dieser Cmdlets nutzt:

Dieses Skript führt mehrere Verwaltungsaufgaben gleichzeitig aus. Es fragt alle Benutzer aus einer bestimmten OU ab, erstellt eine neue AD-Gruppe für das Verkaufsteam, fügt diese Benutzer zur Gruppe hinzu, legt Berechtigungen für ein Verzeichnis fest, das für das Verkaufsteam bestimmt ist, aktualisiert die Adresse der Verkauf OU und fügt Exchange-Berechtigungen für den Verkaufsleiter hinzu.

Aktuelles eBook

Storage-Security – wie sichern Unternehmen ihre Daten ab?

Sich mit der Sicherheit von Storage-Systemen zu beschäftigen, ist heute notwendiger denn je. Neun von zehn Unternehmen wurden bereits mit Ransomware angegriffen. Einen Überblick über Schutzmaßnahmen und -technologien bietet dieses eBook.

Die Themen im Überblick:

• Replikation und Verschlüsselung
• Backup-Verfahren und -Schutz
• Wiederherstellung
• Air-Gap
• Unveränderbare Backups & Disaster Recovery
• Wirtschaftliche Aspekte

eBook „Storage-Security“ kostenlos downloaden

(ID:49670706)