[Holger_N]

Zitat (Candlebox: 24. Februar 2013 - 17:42)

Natürlich kann ich mich als Administrator/Admin in das Konto eines Benutzerkontos einloggen bzw dieses ändern.
Deswegen bin ich ja der Admin.
Der Benutzer könnte ja auch sein Passwort ändern, sofern dier Rechte vorhanden sind und sagen: Ätschebätsch du bekommst das PW nicht und Nänänänänä .... Hätte ich kein Zugriff daruaf, wäre das ja fatal, wenn er als User der keine Ahnung hat, mich um Hilfe bittete.

Ich meine nicht DEN Admin, der praktisch bei der Installation schon "der Chef" ist, sollte natürlich über die Benutzer hinweg administrieren dürfen. Ich meine einen Hinzugefügten User mit Adminrechten. Also praktisch so:

ADMIN - darf alles
INSTALLER - Hinzugefügtes Benutzerkonto mit Adminrechten
User1 - Standardkonto
User2 - Standardkonto
User3 - Standardkonto

Der TE ist also der Admin und die Benutzer kriegen ihre Standardkonten und die Zugangsdaten von INSTALLER, um Programme installieren zu können. ADMIN könnte nun ändern und löschen aber ich war bislang der Meinung INSTALLER bräuchte zum Ändern und löschen in den Standardkonten die aktuellen Passwörter der Konten.

[Candlebox]

Zitat (Holger_N: 24. Februar 2013 - 17:55)

Ich meine nicht DEN Admin, der praktisch bei der Installation schon "der Chef" ist, sollte natürlich über die Benutzer hinweg administrieren dürfen. Ich meine einen Hinzugefügten User mit Adminrechten. Also praktisch so:

ADMIN - darf alles
INSTALLER - Hinzugefügtes Benutzerkonto mit Adminrechten

auch der "Installer" darf dann ALLES. Er brauch das angebliche Chef-Admin-PW welches bei der Installation angegeben wurde - NICHT! Er kann das Chef-Admin-PW löschen oder auch das Konto einfach löschen, ohne bekanntsein des Chef-Admin-PW

Dieser Beitrag wurde von Candlebox bearbeitet: 24. Februar 2013 - 18:00

[RalphS]

Eigentlich müßte das doch gehen, wenn man:

- Einen zusätzliches Konto anlegt.

- Diesem Konto per Sicherheitsrichtlinie das Login verbietet, aber Software-Installs erlaubt, und es als Option zur UAC-Authentifizierung zuläßt.


Oder nicht? Die Sicherheitsrichtlinien sind da doch eigentlich recht mächtig...

[Holger_N]

Zitat (Candlebox: 24. Februar 2013 - 17:59)

auch der "Installer" darf dann ALLES. Er brauch das angebliche Chef-Admin-PW welches bei der Installation angegeben wurde - NICHT! Er kann das Chef-Admin-PW löschen oder auch das Konto einfach löschen, ohne bekanntsein des Chef-Admin-PW

ADMIN kann INSTALLER nicht vorschreiben was er darf und was nicht? Zu was ist ADMIN dann Admin?

[Candlebox]

Zitat (Holger_N: 24. Februar 2013 - 17:55)

ADMIN - darf alles
INSTALLER - Hinzugefügtes Benutzerkonto mit Adminrechten
User1 - Standardkonto
User2 - Standardkonto
User3 - Standardkonto

Zitat (Holger_N: 24. Februar 2013 - 18:53)

ADMIN kann INSTALLER nicht vorschreiben was er darf und was nicht? Zu was ist ADMIN dann Admin?

ADMIN hat INSTALLER Deinem Szenario nach doch aktiv zu einem ADMIN befördert. Oder aus dem Leben gegriffen:
Der INSTALLER hat sich zum ADMIN mit ADMIN hochgeschlafen und "CHEF-ADMIN" hat ihn zum für ihn "gleichberechtigten" Ehepartner gekürt.

Dadurch kann der angeheiratete auch (Voll)Zugriff auf das andere (Giro)konto erhalten.

Wie RalphS schrieb, könnte man es über die "Verweigern"-Option lösen, aber dem Grundprinzip entspricht das nicht und führt die ganze Sache für mich ad absurdum.

Dieser Beitrag wurde von Candlebox bearbeitet: 24. Februar 2013 - 19:49

[RalphS]

Was für ein Gleichnis

[halaX]

Hallo username1,
Es gibt da noch die Benutzergruppe "Hauptbenutzer", die Mitglieder dieser Gruppe
verfügen über eingeschränkte Administratorrechte.
Wenn man nun einen Standardbenutzer der Gruppe Hauptbenutzer hinzufügt,ließe
sich dein Problem vielleicht lösen.
Möglicherweise können so die Rechte der Standardbenutzer genau bestimmt werden.
MfG.halaX
EDIT:
Editor für Gruppenrichtlinien(gpedit.msc) unter ->"Administrative Vorlagen"->Windows Komponeneten
->Windows Installer ->Immer mit erhöhten Rechten installieren< wäre event. ein anderer Ansatz.

Dieser Beitrag wurde von halaX bearbeitet: 24. Februar 2013 - 22:08

[username1]

Zitat (Candlebox: 24. Februar 2013 - 17:59)

auch der "Installer" darf dann ALLES. Er brauch das angebliche Chef-Admin-PW welches bei der Installation angegeben wurde - NICHT! Er kann das Chef-Admin-PW löschen oder auch das Konto einfach löschen, ohne bekanntsein des Chef-Admin-PW

Genau, da ist das Problem, er kann alles ändern/entfernen und löschen wie ihm es passt. Und genau das will ich unterbinden.

Zitat (RalphS: 24. Februar 2013 - 18:34)

Eigentlich müßte das doch gehen, wenn man:

- Einen zusätzliches Konto anlegt.

- Diesem Konto per Sicherheitsrichtlinie das Login verbietet, aber Software-Installs erlaubt, und es als Option zur UAC-Authentifizierung zuläßt.


Oder nicht? Die Sicherheitsrichtlinien sind da doch eigentlich recht mächtig...

Kannst du das bitte etwas genauer erklären? Wo kann ich einstellen dass er Software-Installs erlaubt und es in der UAC zulässt?

Zitat (halaX: 24. Februar 2013 - 21:25)

Hallo username1,
Es gibt da noch die Benutzergruppe "Hauptbenutzer", die Mitglieder dieser Gruppe
verfügen über eingeschränkte Administratorrechte.
Wenn man nun einen Standardbenutzer der Gruppe Hauptbenutzer hinzufügt,ließe
sich dein Problem vielleicht lösen.
Möglicherweise können so die Rechte der Standardbenutzer genau bestimmt werden.
MfG.halaX
EDIT:
Editor für Gruppenrichtlinien(gpedit.msc) unter ->"Administrative Vorlagen"->Windows Komponeneten
->Windows Installer ->Immer mit erhöhten Rechten installieren< wäre event. ein anderer Ansatz.

Hallo halaX, die Ideen lesen sich gut, aber es hat leider beides nicht funktioniert. Jedes mal hat er nach dem PW gefragt.
Ist es möglich die Rechte der Hauptbenutzer weiter anzupassen?

[halaX]

@username1,
Ich hatte unter Windows XP Prof. mal so einen Hauptbenutzer angelegt,da konnte man
auch Anwendungen Installieren.
Nun bei den nachfolgenden Windowsversionen scheint das nicht mehr möglich,habe
ich vorhin von Google erfahren,leider.
Bei meinem Tip unter "EDIT"(gpedit) sollte eigentlich,wenn man diese Einstellung
>Immer mit erhöhten Rechten installieren< "aktiviert",nach einem Systemneustart in der
Benutzerkontensteuerung beim betreffenden User zusätzl. Rechte ersichtlich sein.
Soweit aus der Info zu >Immer mit erhöhten Rechten installieren< in "gpedit".
MfG.halaX

[username1]

Zitat (halaX: 24. Februar 2013 - 23:11)

Bei meinem Tip unter "EDIT"(gpedit) sollte eigentlich,wenn man diese Einstellung
>Immer mit erhöhten Rechten installieren< "aktiviert",nach einem Systemneustart in der
Benutzerkontensteuerung beim betreffenden User zusätzl. Rechte ersichtlich sein.

ok, einen Systemneustart habe ich nicht gemacht, muss ich morgen dann nochmals testen!

[halaX]

@username1,
Falls Mißerfolg.
Könnte folgendes dein Problem lösen?
>>Info hier<<
>>Download hier<<
MfG.halaX

[Candlebox]

Ich möchte hier nochmals zu bedenken geben, daß bei solchen Spielerein nicht nur gewolltes installiert werden kann, sondern sich damit auch wieder ungewollt Schädlinge (selbst) installieren lassen/können.

Genau davor schützt einen das Standardkonto bei Nichtkennung des Passwortes.

Zitat (username1: 24. Februar 2013 - 15:49)

@Candlebox; Wenn das System zerschossen werden würde, wäre es kein Problem. Wichtige Daten werde täglich gesichert, ein Image wäre innerhalb einer halben Stunde eingespielt.

Und das bringt dann was, wen du da zufällig auch nicht zuhause bist?
Mein Rat: belasse es wie es ist, ich verweise nochmal auf RDP, vnc etc.

Dieser Beitrag wurde von Candlebox bearbeitet: 25. Februar 2013 - 08:52

[username1]

Also mit "gpedit" funktioniert es nicht, er fragt auch weiterhin nach dem PW.
Wie meinst du das mit dem Programm? - es dient doch nur dazu, dass Programme starten können, aber keine Installationen - oder täusche ich mich da?

[halaX]

@username1,
Also wenn ich >>Das hier<<
und >>Das hier<< vollständig lese und richtig verstehe,
sollten damit auch Anwendungs-Installationen möglich sein.
Habe das selbst jedoch nicht getestet.
MfG.halaX

[joe13]

Ich hab sowas noch nicht probiert könnte mir aber Folgendes vorstellen:
Alle Benutzer erhalten Admin-Berechtigung. Und allen (außer Dir) wird in der Registry der Zugriff auf die Systemsteuerung untersagt. Oder halt nur auf den Benutzer-Zweig.