56283
Oct 26, 2007, updated at Nov 03, 2007 (UTC)
6060
6
0
Adminrechte auf Clients wegen Programmen (Windows 2003 Server)
Hallo,
ich habe ein Problem mit der Rechtevergabe in einer Domäne unter Windows 2003 und der eingesetzten Programme auf den Clients.
Die Clients im Netzwerk sollten so wenig Rechte wie möglich haben, was aber leider durch manche Programme die genutzt werden nicht möglich ist da sie ohne Adminrechte gar nicht laufen würden. Ich bekomme aber Bauchschmerzen wenn ich dran denke, das zurzeit die ganzen User mit in der Gruppe Domänen-Admins sind. Was kann ich nun machen damit die Programme auf den Clients laufen und dabei die Sicherheit nicht leidet?
Danke für eure Hilfe
ich habe ein Problem mit der Rechtevergabe in einer Domäne unter Windows 2003 und der eingesetzten Programme auf den Clients.
Die Clients im Netzwerk sollten so wenig Rechte wie möglich haben, was aber leider durch manche Programme die genutzt werden nicht möglich ist da sie ohne Adminrechte gar nicht laufen würden. Ich bekomme aber Bauchschmerzen wenn ich dran denke, das zurzeit die ganzen User mit in der Gruppe Domänen-Admins sind. Was kann ich nun machen damit die Programme auf den Clients laufen und dabei die Sicherheit nicht leidet?
Danke für eure Hilfe
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 72036
Url: https://administrator.de/contentid/72036
Printed on: April 16, 2024 at 04:04 o'clock
6 Comments
Latest comment
Versuche es erstmal, dass die User auf den Programmordner Vollzugriff haben. Wenn die Apps auf dem lokalen PC liegen, dann bekommen die lokale Adminrecht, so läuft das im Allgemeinen. Ansonsten die Programme mit runus Scripte starten lassen. Die Kompelierst du zu einer exe mit einem Freewaretool und so können sie auch nicht mehr so einfach den Quellcode und Passwort rausfinden. Wenn du Fragen noch hast, einfach ne PM.
Hallo !!
Ich habe das gleiche Problem. Die Software benötigt zum ausführen Adminrechte.
Ich kann das dem Benutzer aber nicht zumuten, ständing unter ausführen als.. zu arbeiten.
Und Admin Rechte im Netzwerk sind ausgeschlossen.
Kannst Du das mit dem Tool mal näher beschreiben wie das genau funktioniert und wo ich dieses Tool bekomme?
Ich habe das gleiche Problem. Die Software benötigt zum ausführen Adminrechte.
Ich kann das dem Benutzer aber nicht zumuten, ständing unter ausführen als.. zu arbeiten.
Und Admin Rechte im Netzwerk sind ausgeschlossen.
Kannst Du das mit dem Tool mal näher beschreiben wie das genau funktioniert und wo ich dieses Tool bekomme?
Versuche es erstmal, dass die User auf den
Programmordner Vollzugriff haben.
Programmordner Vollzugriff haben.
Das habe ich schon versucht und das reicht leider auch nicht aus.
Wenn die
Apps auf dem lokalen PC liegen, dann bekommen
die lokale Adminrecht, so läuft das im
Allgemeinen.
Apps auf dem lokalen PC liegen, dann bekommen
die lokale Adminrecht, so läuft das im
Allgemeinen.
Hm kannst du da mal genauer werden? Ist richtig, dass ich dann den Benutzer am Server wieder in die Gruppe Domänen-Benutzer schiebe? Wie gehts dann genau weiter?
Danke für deine Antwort.
Gruss
*PUSH*
Wäre nett wenn ich noch eine Antwort bekommen könnte.
Danke
Wäre nett wenn ich noch eine Antwort bekommen könnte.
Danke
Na das mit den lokalen Adminrechten ist so eine Sache, würde es eher als eine Quick & Dirty Lösung ansehen, aber manchmal lässt sich sowas leider nicht vermeiden. Wenn die Leute lokale Adminrechte haben müllen die ganz schnell ihren eigenen PC zu und das will man ja eigentlich vermeiden. Mit einer GPO kann man das auch noch ein bisschen beschneiden, aber so richtig toll ist das auch nicht. Sonst schon mal die Anwendungen über ein grafisches
Rechte Mausklick auf Arbeitsplatz->Verweltung->Lokale Benutzer & Gruppen->Gruppen....
Dort die Gruppe Administratoren raussuchen und da die Domänenbenutzer, oder die Einzelnen User einfügen oder die Nutzer in eine Gruppe zusammenfassen und diese denn dort einfügen.
Die bessere Alternative wäre so ein Runas Tool, wo du einfach nur das Programm festlegen musst und den Beutzer. Dann gibst du nur noch das Passwort ein und das Tool verschlüsselt dieses. Dann kann der Anwender das Tool mit Adminrechten starten, ohne das Adminpasswort zu kennen, es sei denn, er knackt irgendwie die Verschlüsselung des Passwortes.
Habe eben noch "runusspc" gefunden, vielelicht ist es das, was ich meine. Lade es dir mal runter und teste es mal mit dem Tool.
Viel Erfolg dabei und schreib mal, obs funktioniert hat. ;)
Hier noch mal ein Script, womit ich eine Batch starte, die einen bestimmten VM-Ware Dienst pusht. Kann ich ja als User nicht , deswegen das Runusscript.....
runas /noprofile /env /savecrd /user:computerws\Administrator "C:\Software\VMWare_Workstation\VMWare_dienst.cmd"
runas /noprofile /env /savecrd /user:computerws\userxp "C:\Software\VMWare_Workstation\vmware.exe"
taskkill /F /IM cmd.exe
Hier wird nur einmalig das Passwort vom Admin (und vom Userxp glaub ich auch) abgefragt, danach merkt das Script es sich bzw Windows.
Rechte Mausklick auf Arbeitsplatz->Verweltung->Lokale Benutzer & Gruppen->Gruppen....
Dort die Gruppe Administratoren raussuchen und da die Domänenbenutzer, oder die Einzelnen User einfügen oder die Nutzer in eine Gruppe zusammenfassen und diese denn dort einfügen.
Die bessere Alternative wäre so ein Runas Tool, wo du einfach nur das Programm festlegen musst und den Beutzer. Dann gibst du nur noch das Passwort ein und das Tool verschlüsselt dieses. Dann kann der Anwender das Tool mit Adminrechten starten, ohne das Adminpasswort zu kennen, es sei denn, er knackt irgendwie die Verschlüsselung des Passwortes.
Habe eben noch "runusspc" gefunden, vielelicht ist es das, was ich meine. Lade es dir mal runter und teste es mal mit dem Tool.
Viel Erfolg dabei und schreib mal, obs funktioniert hat. ;)
Hier noch mal ein Script, womit ich eine Batch starte, die einen bestimmten VM-Ware Dienst pusht. Kann ich ja als User nicht , deswegen das Runusscript.....
runas /noprofile /env /savecrd /user:computerws\Administrator "C:\Software\VMWare_Workstation\VMWare_dienst.cmd"
runas /noprofile /env /savecrd /user:computerws\userxp "C:\Software\VMWare_Workstation\vmware.exe"
taskkill /F /IM cmd.exe
Hier wird nur einmalig das Passwort vom Admin (und vom Userxp glaub ich auch) abgefragt, danach merkt das Script es sich bzw Windows.
Danke!
Ich werde es das nächste mal wenn ich bei dem Kunden bin versuchen. Das mit dem zumüllen ist nicht so schlimm, da es der Rechner vom Chef des Unternehmens ist (er kennt ja eh alle Kennwörter). Was mir wichtig ist, ist die Sicherheit des ganzen Netzes wenn doch mal was auf dem Client passieren sollte. Aber mit lokalen Admin-Rechten wird er ja nicht weit kommen.
Ich werde es das nächste mal wenn ich bei dem Kunden bin versuchen. Das mit dem zumüllen ist nicht so schlimm, da es der Rechner vom Chef des Unternehmens ist (er kennt ja eh alle Kennwörter). Was mir wichtig ist, ist die Sicherheit des ganzen Netzes wenn doch mal was auf dem Client passieren sollte. Aber mit lokalen Admin-Rechten wird er ja nicht weit kommen.