12
Domäne zu hause: lokale admin rechte auf eigenem pc: ja oder nein?
Hallo!
Ich habe seit einiger Zeit bei mir zuhause eine Windows Domäne (Server 2016 essentials) eingerichtet. Ich habe eine handvoll windows-clients in die Domäne (virtuelle und physische), und auf all diesen Clients verwende ich auch nur normale Domänen-user ohne lokale admin-Rechte (btw: ich habe keine server-gespeicherten Profile; also nur mit dem domänen user am PC angemeldet). Soweit so gut. Meinen Haupt-PC ist bis jetzt noch nicht in die Domäne aufgenommen, weil ich ihn neu aufsetzen will und einiges vorher aufzuräumen habe. Dieser PC wurde bisher mit einem lokalen Admin-Konto verwendet (das Konto, das beim Aufsetzen angelegt wird). Jetzt stellt sich mir folgende Frage: wenn ich diesen PC neu aufsetze und in die Domäne aufnehme:
Soll ich ab jetzt ganz normaler Standard-domänen-user sein oder mein domänen-konto zu den lokalen Administratoren hinzufügen? In meiner Firma gibts ein paar lokale admins, die so angelegt wurden, dass sich der domänen-admin-account am client angemeldet hat und in systemsteuerung-benutzer den domänen-user zur Gruppen der lokalen admins hinzugefügt hat. Soweit ich gelesen habe, ist es aber eleganter, das mit eingeschränkten Gruppen zu machen (muss noch genauer nachlesen, wie das geht).
Mir ist klar, dass lokale admin rechte ein Sicherheitsrisiko sind und ich will bei meiner domain eigentlich alles nach best practise machen, aber ich habe Bedenken, dass als standard user nicht mehr alles so läuft wie gewohnt. Damit meine ich, dass mir schon klar ist, dass ich dann bei jeder Software Installation Admin-user und pw eingeben muss, was OK wäre, aber auch einfache updates , zB Java sind doch ohne admin rechte nicht möglich und meine größte Befürchtung, dass vielleicht einige Programme ohne admin rechte gar nicht mehr richtig laufen.
Deswegen meine Frage an euch: wie handhabt ihr das bei euch zu Hause bei eurem eigenen user-account?
Wäre es vielleicht eine gute Idee, 2 domänen user anzulegen und 1 davon zum lokalen admin zu machen? Dann richte ich den PC mit diesem adminuser ein, fahre updates etc, und für den täglichen Gebrauch nehme nich den standard-user. Dabei stellt sich mir aber die Frage, wie ich es bewerkstelligen kann, dass diese beiden user die gleichen Programme haben (nicht jede Software bietet in der Installationsroutine eine Installation für alle Benutzer an). Ideal wäre Oberhaupt der gleiche desktop usw, also alles gleich bis auf die Rechte, aber das geht wohl nicht.
Ich bin euch super dankbar für eure Hilfe,
LG pixi
Ich habe seit einiger Zeit bei mir zuhause eine Windows Domäne (Server 2016 essentials) eingerichtet. Ich habe eine handvoll windows-clients in die Domäne (virtuelle und physische), und auf all diesen Clients verwende ich auch nur normale Domänen-user ohne lokale admin-Rechte (btw: ich habe keine server-gespeicherten Profile; also nur mit dem domänen user am PC angemeldet). Soweit so gut. Meinen Haupt-PC ist bis jetzt noch nicht in die Domäne aufgenommen, weil ich ihn neu aufsetzen will und einiges vorher aufzuräumen habe. Dieser PC wurde bisher mit einem lokalen Admin-Konto verwendet (das Konto, das beim Aufsetzen angelegt wird). Jetzt stellt sich mir folgende Frage: wenn ich diesen PC neu aufsetze und in die Domäne aufnehme:
Soll ich ab jetzt ganz normaler Standard-domänen-user sein oder mein domänen-konto zu den lokalen Administratoren hinzufügen? In meiner Firma gibts ein paar lokale admins, die so angelegt wurden, dass sich der domänen-admin-account am client angemeldet hat und in systemsteuerung-benutzer den domänen-user zur Gruppen der lokalen admins hinzugefügt hat. Soweit ich gelesen habe, ist es aber eleganter, das mit eingeschränkten Gruppen zu machen (muss noch genauer nachlesen, wie das geht).
Mir ist klar, dass lokale admin rechte ein Sicherheitsrisiko sind und ich will bei meiner domain eigentlich alles nach best practise machen, aber ich habe Bedenken, dass als standard user nicht mehr alles so läuft wie gewohnt. Damit meine ich, dass mir schon klar ist, dass ich dann bei jeder Software Installation Admin-user und pw eingeben muss, was OK wäre, aber auch einfache updates , zB Java sind doch ohne admin rechte nicht möglich und meine größte Befürchtung, dass vielleicht einige Programme ohne admin rechte gar nicht mehr richtig laufen.
Deswegen meine Frage an euch: wie handhabt ihr das bei euch zu Hause bei eurem eigenen user-account?
Wäre es vielleicht eine gute Idee, 2 domänen user anzulegen und 1 davon zum lokalen admin zu machen? Dann richte ich den PC mit diesem adminuser ein, fahre updates etc, und für den täglichen Gebrauch nehme nich den standard-user. Dabei stellt sich mir aber die Frage, wie ich es bewerkstelligen kann, dass diese beiden user die gleichen Programme haben (nicht jede Software bietet in der Installationsroutine eine Installation für alle Benutzer an). Ideal wäre Oberhaupt der gleiche desktop usw, also alles gleich bis auf die Rechte, aber das geht wohl nicht.
Ich bin euch super dankbar für eure Hilfe,
LG pixi
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 376796
Url: https://administrator.de/contentid/376796
Printed on: April 18, 2024 at 14:04 o'clock
12 Comments
Latest comment
Moin,
ehrlich gesagt: Wenn du eh immer direkt das DA-Passwort reinhämmerst komme was will macht es keinen Unterschied... Ich würde empfehlen IMMER nur als normaler Benutzer zu arbeiten und nur bei Bedarf (zb. Software-installation) höhere Rechte. Das sorgt auch dafür das du eben nich mit nem falschen Klick alles zerlegst, Viren/sonstiger Rotz gleich im ganzen Netz ist UND das du ggf. 2x überlegst was du tust.
ehrlich gesagt: Wenn du eh immer direkt das DA-Passwort reinhämmerst komme was will macht es keinen Unterschied... Ich würde empfehlen IMMER nur als normaler Benutzer zu arbeiten und nur bei Bedarf (zb. Software-installation) höhere Rechte. Das sorgt auch dafür das du eben nich mit nem falschen Klick alles zerlegst, Viren/sonstiger Rotz gleich im ganzen Netz ist UND das du ggf. 2x überlegst was du tust.
Hallo,
egal, ob Heimdomäne oder Firma, egal ob "kleiner Mitarbeiter" oder Aufsichtsratvorsitzender. Die Arbeit erfolgt unter dem normalen Benutzeraccount mit stark auf die zu nutzende SW abgestimmte und eingeschränkte Rechte.
Alles andere macht aus Sicherheitstechnischer Sicht (Fehlereindämmung) keinen Sinn.
Dazu kommt: Bevor das Admin PW eingegeben wird, wird nachgedacht.
Viele Grüße,
Christian
egal, ob Heimdomäne oder Firma, egal ob "kleiner Mitarbeiter" oder Aufsichtsratvorsitzender. Die Arbeit erfolgt unter dem normalen Benutzeraccount mit stark auf die zu nutzende SW abgestimmte und eingeschränkte Rechte.
Alles andere macht aus Sicherheitstechnischer Sicht (Fehlereindämmung) keinen Sinn.
Dazu kommt: Bevor das Admin PW eingegeben wird, wird nachgedacht.
Viele Grüße,
Christian
Ich würde empfehlen IMMER nur als normaler Benutzer zu arbeiten und nur bei Bedarf (zb. Software-installation) höhere Rechte.
Meinst du mit " bei Bedarf höhere Rechte" die Eingabe des da-passworts (und benurzers) während man als standard-user angemeldet ist, oder die Verwendung eines eigenen admin-kontos?
Meinst du mit " bei Bedarf höhere Rechte" die Eingabe des da-passworts (und benurzers) während man als standard-user angemeldet ist, oder die Verwendung eines eigenen admin-kontos?
OK, ist klar. Also arbeitet du selbst auch, obwohl domänen-admin, im Alltag mit einem standard-benutzer-konto?
Könnt ihrbauf die anderen Fragen auch noch eingehen bitte? Vor allem die Sache mit den 2 Benutzern ind den gleichen Programmen für beide Benutzer. Was haltet ihr davon? Ich meine, man könnte auch den domänen-admin dafür verwenden, aber sicherer wäre ein lokaler admin, weil der nur lokal admin-rechte hat.
Moin,
Du benötigst doch lokale Admin-Recht oder nicht und wir sprechen von Windows 10 als OS?
Dann verwende ein normales Domänenkonto und füge es zur Gruppe der lokalen Administratoren hinzu.
Stefan
Du benötigst doch lokale Admin-Recht oder nicht und wir sprechen von Windows 10 als OS?
Dann verwende ein normales Domänenkonto und füge es zur Gruppe der lokalen Administratoren hinzu.
Stefan
Ja
Zitat von @Pixi123:
OK, ist klar. Also arbeitet du selbst auch, obwohl domänen-admin, im Alltag mit einem standard-benutzer-konto?
OK, ist klar. Also arbeitet du selbst auch, obwohl domänen-admin, im Alltag mit einem standard-benutzer-konto?
Zitat von @Pixi123:
Könnt ihrbauf die anderen Fragen auch noch eingehen bitte? Vor allem die Sache mit den 2 Benutzern ind den gleichen Programmen für beide Benutzer. Was haltet ihr davon? Ich meine, man könnte auch den domänen-admin dafür verwenden, aber sicherer wäre ein lokaler admin, weil der nur lokal admin-rechte hat.
Du arbeitest nur mit Software die nur normale rechte braucht. Wenn es Mal mehr sein sollte gibst du die Passwörter ein. Sonst bist du normaler NutzerKönnt ihrbauf die anderen Fragen auch noch eingehen bitte? Vor allem die Sache mit den 2 Benutzern ind den gleichen Programmen für beide Benutzer. Was haltet ihr davon? Ich meine, man könnte auch den domänen-admin dafür verwenden, aber sicherer wäre ein lokaler admin, weil der nur lokal admin-rechte hat.
Moin,
1. Du brauchst keinen lokalen Admin mehr, wenn der Rechner erst einmal in der Domain ist. Du hast Domain-Admin-Rechte. Die sind höher als die des lokalen Admins und Du kannst mit diesen Rechten alles, was der lokale kann.
2. Es ist bei Todesstrafe ;) verboten, als Admin, ob nun lokal oder Domain-Admin, zu arbeiten. Wer das tut, kann auch gleich alle Firewalls und andere Sicherheitseinrichtungen abbauen. Die braucht er dann nämlich nicht mehr.
3. Wenn Programme nicht laufen, wenn Du keine Admin-Rechte hast, dann solltest Du sie durch andere Software, die auch unter eingeschränkten Usern funktioniert, ersetzen. Ich weiß, dass davon viele Spiele betroffen sind. Mit ein wenig Mühe kriegt man die aber auch zum Laufen. Meist liegt das daran, dass sie in Verzeichnisse unter "c:\program files" schreiben wollen. Die muss man nur herausfinden und entsprechend die Rechte setzen. Schon läuft das. Das habe ich früher bei meinem Sohn bei jedem Spiel gemacht und bei jedem ging es nach fünf Minuten bis zwei Stunden. ;)
Liebe Grüße
Erik
1. Du brauchst keinen lokalen Admin mehr, wenn der Rechner erst einmal in der Domain ist. Du hast Domain-Admin-Rechte. Die sind höher als die des lokalen Admins und Du kannst mit diesen Rechten alles, was der lokale kann.
2. Es ist bei Todesstrafe ;) verboten, als Admin, ob nun lokal oder Domain-Admin, zu arbeiten. Wer das tut, kann auch gleich alle Firewalls und andere Sicherheitseinrichtungen abbauen. Die braucht er dann nämlich nicht mehr.
3. Wenn Programme nicht laufen, wenn Du keine Admin-Rechte hast, dann solltest Du sie durch andere Software, die auch unter eingeschränkten Usern funktioniert, ersetzen. Ich weiß, dass davon viele Spiele betroffen sind. Mit ein wenig Mühe kriegt man die aber auch zum Laufen. Meist liegt das daran, dass sie in Verzeichnisse unter "c:\program files" schreiben wollen. Die muss man nur herausfinden und entsprechend die Rechte setzen. Schon läuft das. Das habe ich früher bei meinem Sohn bei jedem Spiel gemacht und bei jedem ging es nach fünf Minuten bis zwei Stunden. ;)
Liebe Grüße
Erik
Hallo.
Ob Deine Programme (oder bestimmte davon) nur mit Adminrechten laufen, mußt Du natürlich erstmal rausfinden.
Meiner Erfahrung nach ist das aber selten, und wenn, sehr ärgerlich, dem Programmierer/Hersteller gehört eigentlich eine Links-Rechts-Kombination
.
Ansonsten:
Ja, auch Updates von regelmäßig zu aktualisierendem, systemnahen Popelkram wie Java RE sind Setups, für die Du Admin sein mußt.
Es ist Deine Entscheidung , hier aus Bequemlichkeit Deinen ansich eingeschränkten Domänenaccount auf Deinem Haupt-PC generell über die lokale Benutzerverwaltung zugleich auch zum lokalen Admin zu machen oder nicht.
Ich würde es nicht tun, sondern mich in diesen Fällen als Admin (Domäne oder lokal ist dann wurstegal) anmelden, die Aktualisierungsarbeiten erledigen (sooo oft ist das ja wohl nicht) und mich danach wieder mit dem eingeschränkten Domänenaccount anmelden, um normal weiterzuarbeiten.
Viele Grüße
von
departure69
Ob Deine Programme (oder bestimmte davon) nur mit Adminrechten laufen, mußt Du natürlich erstmal rausfinden.
Meiner Erfahrung nach ist das aber selten, und wenn, sehr ärgerlich, dem Programmierer/Hersteller gehört eigentlich eine Links-Rechts-Kombination
.Ansonsten:
Ja, auch Updates von regelmäßig zu aktualisierendem, systemnahen Popelkram wie Java RE sind Setups, für die Du Admin sein mußt.
Es ist Deine Entscheidung , hier aus Bequemlichkeit Deinen ansich eingeschränkten Domänenaccount auf Deinem Haupt-PC generell über die lokale Benutzerverwaltung zugleich auch zum lokalen Admin zu machen oder nicht.
Ich würde es nicht tun, sondern mich in diesen Fällen als Admin (Domäne oder lokal ist dann wurstegal) anmelden, die Aktualisierungsarbeiten erledigen (sooo oft ist das ja wohl nicht) und mich danach wieder mit dem eingeschränkten Domänenaccount anmelden, um normal weiterzuarbeiten.
Viele Grüße
von
departure69
leute danke für die Antworten.
Eine ganz grundsätzliche frage hätte ich noch.
Ich gehe jetzt von Win 8.1 als OS aus:
Wenn ich einen Domänen-benutzer manuell zum lokalen Admin machen will, kann ich das machen über
1.) Systemteuerung --> Benutzerkonten -> Benutzerkonten verwalten -> hinzufügen
oder
2.) Systemsteuerung -> Verwaltung -> Computerverwaltung -> Lokale Benutzer und Gruppen -> Gruppen -> Administratoren -> hinzufügen.
Das Ergebnis ist soweit ich das beurteilen kann, das gleiche, bis auf den (optischen) Unterschied, dass bei Variante 1 der neue lokale Admin bei den Benutzerkonten drinn steht und bei Variante 2 nicht; bei Variante 2 steht der neue lokale Admin "nur" in der Gruppe der Administratoren.
Was ist hier die best practise?
(nur Ineresse, ich verfolge bei mir daheim den auch von euch angeratenen Ansatz, nicht mehr als lokaler Admin unterwegs zu sein.)
Ich habe übrigens auch was zum Them "eingeschränkte Gruppen gelesen", und dabei war auch die Info, dass die GPO Group Policy Preferences der bessere Ansatz ist, um lokale Admin-Rechte (oder remotedesktop-Rechte usw) zu vergeben:
Computerkonfiguration -> Einstellungen -> Systemsteuerungseinstellungen -> lokale Benutzer und Gruppen: neu -> lokale Gruppe -> Administratoren (integriert) auswählen (für lokale Admin -Rechte) -> hinzufügen (vorher erstellte globale Sicherheitsgruppe "lokale Admins").
GPO an passende OU verknüpfen und fertig.
Könnt ihr das so bestätigen, dass das besser ist als "eingeschränkte Gruppen", vor allem wegen der möglichen Zielgruppenadressierung.
Eine ganz grundsätzliche frage hätte ich noch.
Ich gehe jetzt von Win 8.1 als OS aus:
Wenn ich einen Domänen-benutzer manuell zum lokalen Admin machen will, kann ich das machen über
1.) Systemteuerung --> Benutzerkonten -> Benutzerkonten verwalten -> hinzufügen
oder
2.) Systemsteuerung -> Verwaltung -> Computerverwaltung -> Lokale Benutzer und Gruppen -> Gruppen -> Administratoren -> hinzufügen.
Das Ergebnis ist soweit ich das beurteilen kann, das gleiche, bis auf den (optischen) Unterschied, dass bei Variante 1 der neue lokale Admin bei den Benutzerkonten drinn steht und bei Variante 2 nicht; bei Variante 2 steht der neue lokale Admin "nur" in der Gruppe der Administratoren.
Was ist hier die best practise?
(nur Ineresse, ich verfolge bei mir daheim den auch von euch angeratenen Ansatz, nicht mehr als lokaler Admin unterwegs zu sein.)
Ich habe übrigens auch was zum Them "eingeschränkte Gruppen gelesen", und dabei war auch die Info, dass die GPO Group Policy Preferences der bessere Ansatz ist, um lokale Admin-Rechte (oder remotedesktop-Rechte usw) zu vergeben:
Computerkonfiguration -> Einstellungen -> Systemsteuerungseinstellungen -> lokale Benutzer und Gruppen: neu -> lokale Gruppe -> Administratoren (integriert) auswählen (für lokale Admin -Rechte) -> hinzufügen (vorher erstellte globale Sicherheitsgruppe "lokale Admins").
GPO an passende OU verknüpfen und fertig.
Könnt ihr das so bestätigen, dass das besser ist als "eingeschränkte Gruppen", vor allem wegen der möglichen Zielgruppenadressierung.
Hallo,
meiner Meinung ist es am besten den Benutzer zu der Gruppe der lokalen Administratoren hinzuzufügen.
Das kann man auch schön über die GPO machen.
In kleinen Umgebungen erstelle ich gerne eine Gruppe "Domänen-Lokaler-Administrator" was ich einmal auf allen PCs hinzufüge.
Damit kann ich auf dem Server einem Benutzer zum lokalen Admin machen ohne was an seinem PC zu fummeln.
Er hat dann natürlich auf allen PCs Admin-Rechte.
Stefan
meiner Meinung ist es am besten den Benutzer zu der Gruppe der lokalen Administratoren hinzuzufügen.
Das kann man auch schön über die GPO machen.
In kleinen Umgebungen erstelle ich gerne eine Gruppe "Domänen-Lokaler-Administrator" was ich einmal auf allen PCs hinzufüge.
Damit kann ich auf dem Server einem Benutzer zum lokalen Admin machen ohne was an seinem PC zu fummeln.
Er hat dann natürlich auf allen PCs Admin-Rechte.
Stefan
