Berechtigungsänderungen zeigen keine Wirkung

Tom Scheuermann Als Antwort am 28 Dez. 2011 15:00

Hi !

Ein Administrator besitzt die Möglichkeit, den Zugriff für Gruppen- und Benutzerkonten auf Ebene einer Webanwendung zu sperren.

Zentraladministration -> Anwendungsverwaltung -> Webanwendungen verwalten -> betroffene Webanwendung markieren -> Befehl "Benutzerrichtlinie" im Ribbon "Richtlinie" anklicken.

Evtl. ist die betroffene Gruppe dort mit "Alles verweigern" eingetragen ??

Greets

Tom

M.Specht Als Antwort am 28 Dez. 2011 15:31

Danke schon mal für den Vorschlag, aber da ist leider niemand hinterlegt.

Ich habe aber inzwischen von einem Bug aus SharePoint 2007 vor SP3 erfahren der gleiche Symptome beschreibt.

Mittlerweile kann ich auch genauer differenzieren wobei es passiert. Bereits bestehende Benutzerkonten oder Gruppen können entfernt und wieder hinzugefügt werden. Die Rechte zeigen auch das entsprechende Verhalten - ich habe Zugriff oder auch nicht.

Bei neu angelegten Berechtigungen zeigen diese absolut keinen Einfluss...

Ein Kumpel empfohl mir das Upgrade meines Systems sowie die Datenbanken über psconfig etc. da das System dies noch in der CA bemängelt hatte. Das Update, woraufhin ich die Warnungen in der CA bekam, hatte ich aber schon vor einigen Montaten eingespielt. Darauf würde ich es jetzt nicht schieben...

Das Upgrade ist auch ohne große Mucken und leider auch ohne Besserung durchgelaufen. Die Errorlogs haben nichts nennenswertes ausgegeben.

Tom Scheuermann Als Antwort am 28 Dez. 2011 17:04

Hi !

Wenn ich alles richtig verstanden habe, ist nur EINE Domänengruppe vom Problem betroffen ?
Nur die Mitglieder dieser EINEN Gruppe haben keinen Zugriff mehr - im Zusammenhang mit allen anderen Gruppen verhält sich das System völlig normal und Rechte gewähren bzw. entziehen funktioniert wie gewünscht ?

In diesem Fall würde ich die AD Umgebung mal ein wenig genauer unter die Lupe nehmen.
Was geschieht denn z.B., wenn Du den Mitgliedern dieser Gruppe unter WINDOWS bestimmte Rechte erteilst (z.B. Schreibrechte auf einen freigegebenen Ordner) ? Funktioniert das ?

Ich kann mir nur vorstellen, das der SharePoint nicht erkennt, das der angemeldete Benutzer Member der betroffenen AD Gruppe ist.
Z.B. weil die SID der Gruppe nicht korrekt identifiziert wird oder ähnliches ....

Tom Scheuermann Als Antwort am 29 Dez. 2011 11:27

Eben ist mir noch etwas eingefallen:

Vor kurzem wurde von Microsoft ein Security Fix für SharePoint veröffentlicht, der offensichtlich (erstmals auch für SharePoint) mit den Windows Update Services verteilt und automatisch installiert wurde.

Dieser Patch führte bei zwei Kunden von mir zum Stillstand des User Profile Synchronization Service. Grund: Die Datenbanken waren nicht auf dem neuesten Stand (sieht man unter CA -> Upgrade and Migration -> Review Database Status.

Siehe auch hier: http://sharepoint.namics.com/2011/09/user-profile-se.html

Lösung:
- Ausführen des "Installations Assistenten für SharePoint Produkte und Technologien" (der zeigt gleich beim Start an, das ein Upgrade durchgeführt wird)
- Neustart des Benutzerprofil Synchronisierungsdienstes in der CA (Passworteingabe erforderlich)
- IISRESET

Das KÖNNTE EVTL. auch für Dein Problem die Ursache sein, weil bei stillstehendem UPS ja keine Aktualisierung erfolgt.

Eigentlich sollte das die Prüfung von Gruppen nicht beeinträchtigen, aber man weiss ja nie .....

M.Specht Als Antwort am 2 Jan. 2012 13:33

Sooo...

Sorry, dass ich mich jetzt die Tage nicht gemeldet habe. Aber es galt viel zu feiern :)

Ich kann jetzt nicht sagen, woran es genau gelegen hat.

Ich habe jetzt nach dem Update der Datenbanken noch eine Komplettsynchronisierung der User Profile angestoßen und danach griffen die Rechte auch wieder. Begreifen tue ich das aber immer noch nicht wirklich... Der Dienst für die Synchronisierung wies keine Fehler auf und war gestartet. An dem Patch würde ich das jetzt auch nicht unbedingt festmachen wollen.

M.Specht Als Antwort am 4 Jan. 2012 11:02

Ich habe mich wohl zu früh gefreut...

Jetzt habe ich immer noch einige Benutzer gefunden, die in keiner bestimmten AD Gruppe waren, und denen ich nun einzeln Leseberechtigungen auf die SiteCollection geben muss. Diese Einstellung wird einfach mal komplett ignoriert. Meine TestUser bekommen auch einfach keine Berechtigungen, egal wie wo ich was einstelle. Und natürlich ist die Ausnahme einer der Leute aus dem Vorstand... wie soll es sonst auch sein.

Noch eine Idee?

M.Specht Als Antwort am 26 Jan. 2012 13:55

Es lag an Berechtigungen in den unterschiedlichen WebSiteCollections.

Problem gelöst

/closed