[Sécurité] Autorisation dynamique d'accès à un dossier

Bonjour à tous,

Je travail actuellement sur une application de gestion electronique de documents et je me heurte à un problème de sécurité.

Je vous explique mon fonctionnement :

A la base de mon application on trouve un dossier appelé DOCUMENTS qui contient tous les documents qui sont capitalisés et disponibles à travers le programme.
Jusque la tout va bien. Aucun problème au niveau des traitements qui se résument à faire de l'écriture, lecture dans ce dossier.

Mais voilà, ce dossier doit être mis sur le serveur et malheureusement pour que l'on puisse toujours y accéder depuis n'importe quel poste on doit le mettre en accès libre total donc nimporte qui peut venir y faire n'importe quoi en se baladant sur le serveur.

Mon idée était de créer un utilisateur spécial et unique qui servirait de "passerelle" entre le vrai utilisateur et le dossier et ses fichiers.
Comment est il possible d'accéder à ce dossier en se faisant passer pour le fameux utilisateur unique ?
car tout autre personne sera refusée.


autre solution :

J'avais pensé aussi utilisé le composant NTFileSecurity pour ajouter et supprimer l'utilisateur en cours mais je n'arrive pas à affecter les sous dossier et fichier du dossier DOCUMENTS.

Merci pour votre aide

Envoyé par SkYsO

J'avais pensé aussi utilisé le composant NTFileSecurity pour ajouter et supprimer l'utilisateur en cours mais je n'arrive pas à affecter les sous dossier et fichier du dossier DOCUMENTS.

Tu fais comment pour les sous-dossiers ?
Tu les balaies récurcivement ?

:

Je t'ai envoyé un MP, mais la page à plantée.
Tu l'as reçu ?

salut à tous


@lung, j'ai reçu ton mp et répondu

J'ai réussi à attribuer et supprimer des droits mais je me suis rendu compte que je ne pouvais le faire que si j'étais le propriétaire du dossier. si je me connecte avec un autre utilisateur, je ne peux pas modifier les droits du dossier et je me fais jetter.

Une solution ?
Je peux paramètrer facilement ça sinon ? genre un dossier que n'importe qui peut modifier niveau droit (mais qui ne contient aucun utilisateur autorisé en lecture, ecriture et autre...)

merci

Envoyé par SkYsO

Je peux paramètrer facilement ça sinon ? genre un dossier que n'importe qui peut modifier niveau droit (mais qui ne contient aucun utilisateur autorisé en lecture, ecriture et autre...)

merci

Je pense comme Eric.H que c'est plus au niveau paramétrage de windows, qu'avec le NTFileSecurity que tu peux y arriver ...

Le truc c'est que je veux que les utilisateurs ne puisse accéder au dossier que par le biais de mon programme.
Tout autre façon doit être interdite c'est pourquoi on supprime aussi le droit en lecture.

Il me faut donc bien, quand le logiciel va sur le dossier, ajouter un droit de lecture au dossier pour l'utilisateur en cours. Et le supprimer quand il quitte le logiciel.

Mais je ne peux changer les droits si l'utilisateur n'est pas propriétaire du dossier

Et en découpant ton programme en 2 :
- Une partie sur le serveur qui a accès au répertoire.
- Une partie pour les utilisateurs, qui passe par l'application serveur pour manipuler les données.

hum c'est à voir mais je doute que mon patron accepte l'idée de scinder en deux le logiciel.

Cela va compliquer la chose, passer par des sockets et traiter des paquets voir gérer des threads aussi.

J'espère que c'est pas l'ultime solution

merci de ta suggestion

bon je remets la question sur le tapis :

Puis je accéder à un dossier qui n'autorise la lecture ecriture qu'a mon application ?

En gros, un dossier interdit à tous sauf à mon application.

Ou dois je penser à du cryptage de fichier ? que je décrypte ensuite quand mon appli doit y accéder

Envoyé par SkYsO

Puis je accéder à un dossier qui n'autorise la lecture ecriture qu'a mon application ?

En gros, un dossier interdit à tous sauf à mon application.

Je me trompe peut-être, mais les droits d'accès conserne l'utilisateur de la session, pas l'application.

Envoyé par SkYsO

Ou dois je penser à du cryptage de fichier ? que je décrypte ensuite quand mon appli doit y accéder

Bonne idée.

Envoyé par cpdump

Tu crée un utilisateur particulier qui a des droits spécifiques sur ce dossier partagé et dans ton application tu crée un disque réseau pour ce partage en utilisant le login/mot de passe de cet utilisateur.

Hum bonne idée tiens. Il faut que je voye comment créer un disque réseau dans mon appli maintenant. Cela se fait il avec un composant particulier ?

merci de vos réponses en tout cas

on avance on avance

Salut !

Autre solution : Utilisation d'un compte de service.

Principe de base : Un gros dossier sur ton serveur qui contient tous les documents. Ce dossier n'est acessible qu'aux admin et à un compte de service du domaine, genre "CSERV_GED"

Ensuite, sur ce même serveur, tu créé soit à la volée, soit en dur avant des dossiers partagés au nom de l'utilisateur. Genre "TOTO$" où TOTO a le droit en lecture, grace au $ les admin ont un contrôle total (tu mets le compte de service "CSERV_GED" admin de ton serveur, comme ca, c'est bon aussi pour lui)

Bon, tout ça, c'est une première chose. Je ne sais pas comment tu as prévu que les utilisateurs accedent à ton soft ?? Il y a un soft par poste de travail ? Ils y accèdent par une page HTML ?

Moin idée serais la suivante : Tu cré un service que tu installeras sur ton serveur, les utilsateurs accèdent à cet service par une interface HTML, ils demande le document, le service qui utilise le compte de service, copie le document dans le dossier de l'utilisateur, et un lien est proposé à l'utilisateur pour qu'il puisse le lire.

Je ne sait pas si ca correspond à ton projet. Mais ca peut être une bonne solution. (Il ne resterait que le problème de la purge des répertoires utilisateurs....)

Voila !
A+

Envoyé par SkYsO

Envoyé par cpdump

Tu crée un utilisateur particulier qui a des droits spécifiques sur ce dossier partagé et dans ton application tu crée un disque réseau pour ce partage en utilisant le login/mot de passe de cet utilisateur.

Hum bonne idée tiens.

Et comment tu fais pour ne lui authorisé l'accès qu'au document auquel il a le droit et qu'il a demandé ??

C'est aussi une bonne idée NoissetteProd mais cela oblige encore de créer un service sup en plus du programme.

Je vais mettre ton idée de coté car elle est interessante aussi.
Si jamais je n'y arrive pas avec la soluce de cpdump, je me pencherais sur la tienne.

ps : mes utilisateurs accèdent à un dossier par le biais d'une Tliste ou d'un composant dialogue (OpenDialogue).
C'est juste pour pointer le fichier et après je met son chemin en lien dans un TEdit.

Et la solution Web ne te plait pas ??

si je le trouve pas mal mais elle ne peut être mise en place à cause des spécificités du programme. Cela impliquerait trop de modifications au niveau interface et on ne peut pas se le permettre.

Je vais creuser du coté du disque reseau pour le moment


mais je me garde les autre soluces sous le coude

ps : il y a un composant pour ça ? créer un disque reseau ou dans le genre ?

Pour mappé un repertoire à l'arrache :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
 
USES ..., ShellApi, ...;
 
 
ShellExecute(Application.Handle,'OPEN', PChar(GetEnvironmentVariable('ComSpec')), PChar(' /C NET USE O: \\Machine\repertoire mdp /USER:Domaine\user'), nil, SW_HIDE)

Où O: est la lettre que tu mappe (tu peux mettre celle que tu veux !)
où Machine est le nom du poste ou serveur ou est partagé le dossier
où Repertoire est le nom de partage du dossier
où mdp est le mot de passe du login utilisé
où Domaine est le nom du domaine de ton entreprise
où user est le login de ton utilisateur ayant les droits sur ton dossier.

Sinon, il esxiste une méthode plus propre avec WMI... mais c'est plus lourd à mettre en place sous delphi !

Envoyé par NoisetteProd

Pour mappé un repertoire à l'arrache :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
 
USES ..., ShellApi, ...;
 
 
ShellExecute(Application.Handle,'OPEN', PChar(GetEnvironmentVariable('ComSpec')), PChar(' /C NET USE O: \\Machine\repertoire mdp /USER:Domaine\user'), nil, SW_HIDE)

Où O: est la lettre que tu mappe (tu peux mettre celle que tu veux !)
où Machine est le nom du poste ou serveur ou est partagé le dossier
où Repertoire est le nom de partage du dossier
où mdp est le mot de passe du login utilisé
où Domaine est le nom du domaine de ton entreprise
où user est le login de ton utilisateur ayant les droits sur ton dossier.

Sinon, il esxiste une méthode plus propre avec WMI... mais c'est plus lourd à mettre en place sous delphi !

merci merci

je vais donc voir tous ça

merci encore pour vos réponses.

tag résolu une fois que ça marchera