nullpeiler
Goto Top

Gpo Software installation verbieten

Hallo Admins,
ich test gerade GPOs und ihre Auswirkungen.
Gesetz des falles alle User haben an einem Client lokale Admin Rechte und ich möchte dennoch einer Gruppe die Installation verbieten, wie kann ich per GPO das erreichen?

Wer kennt gute PDFs oder Bücher für GPO Anfänger?

Danke der Nullpeiler

Content-Key: 286561

Url: https://administrator.de/contentid/286561

Ausgedruckt am: 28.03.2024 um 21:03 Uhr

Mitglied: tomolpi
tomolpi 24.10.2015 aktualisiert um 12:08:24 Uhr
Goto Top
Guten Morgen nullpeiler,

schau doch mal hier: http://www.gruppenrichtlinien.de

Vielleicht wirst du dort fündig.

LG,

tomolpi
Mitglied: Pjordorf
Pjordorf 24.10.2015 um 14:08:21 Uhr
Goto Top
Hallo,

Zitat von @nullpeiler:
alle User haben an einem Client lokale Admin Rechte
Dann lautet die Devise " Ein Admin ist ein Admin ist ein Admin ist ein Admin". Auch wenn und falls du es schaffst den Admin das zu Verbieten, da er selber Admin ist, wie willst du verhindern das er sich das Recht wieder einräumt? Ein Admin ist ein Admin ist ein Admin ist ein Admin.

Du kennst ja sicherlich das Rechtsfahrgebot auch auf Autobahnen, aber ehrlich, wie oft tust du es nicht? Und warum nicht? Weil du es kannst. Ein Admin ist ein Admin ist ein Admin ist ein Admin....

Gruß,
Peter
Mitglied: nullpeiler
nullpeiler 24.10.2015 um 14:25:48 Uhr
Goto Top
Hallo tompoli danke für den Link schau ich mir mal an.

Hallo Peter
Da hast du recht aber ein Lokaler Admin kann keine GPO ändern wie soll er sich dann das Recht zum installieren wieder aktivieren?

MfG Nullpeiler
Mitglied: Pjordorf
Pjordorf 24.10.2015 um 14:37:34 Uhr
Goto Top
Hallo,

Zitat von @nullpeiler:
Da hast du recht
Si

aber ein Lokaler Admin kann keine GPO ändern wie soll er sich dann das Recht zum installieren wieder aktivieren?
Dazu muss er ja nicht die GPO ändern, warum auch? Ein Außerkraftsetzung der angewendeten GPOs reicht doch. Ein Admin ist ein Admin ist ein Admin ist ein Admin...

Ihr habt eine Schließanlage für alle Türen. Der Cheffe hat als einziger den Schlüssel zur Haupt Tür. Du aber nur einen zum Hintereingang. Wie will dein Cheffe jetzt verhindern das du sein Büro durchwühlst, weil du als Admin natürlich per (dein) Schließanlagenschlüssel jederzeit in jedes Büro reinkommen darfst und musst. Ein Admin ist ein Admin ist ein Admin ist ein Admin und wenn nicht ist er kein Admin ansonsten ist er ein Admin ....

Gruß,
Peter
Mitglied: nullpeiler
nullpeiler 24.10.2015 um 14:42:26 Uhr
Goto Top
Wie kann ich als lokaler Admin die Ausführung der GPO verhindern? neugierig...

Kann ich dann per GPO User verwalten?
Mitglied: tomolpi
tomolpi 24.10.2015 um 14:46:36 Uhr
Goto Top
Zitat von @nullpeiler:


Kann ich dann per GPO User verwalten?

Das macht man eigentlich nicht mit GPO sondern mit dem ActiveDirectory Management Center oder dem snap-in Benutzer und Computer... Oder was meinst du genau?
Mitglied: jsysde
jsysde 24.10.2015 um 14:46:58 Uhr
Goto Top
Moin.
Zitat von @nullpeiler:
Gesetz des falles alle User haben an einem Client lokale Admin Rechte und ich möchte dennoch einer Gruppe die Installation verbieten, wie kann ich per GPO das erreichen?
Gar nicht. Admin ist Admin, wie hier schon mehrfach geschrieben wurde.
Lokale User haben keine Admin-Rechte, basta. face-smile

Cheers,
jsysde
Mitglied: Pjordorf
Pjordorf 24.10.2015 um 14:58:38 Uhr
Goto Top
Hallo,

Zitat von @nullpeiler:
Wie kann ich als lokaler Admin die Ausführung der GPO verhindern? neugierig...
Ein Admin ist ein Admin ist ein Admin.... Ob deine Lokalen Admins das Wissen oder Fähigkeiten haben ist eine andere Frage. So wie du zwar ein Auto fährst aber nicht zwingend nur weil du ein Werkzeugkasten besitzt diesen auch selber Reparieren willst / tust / Modifizierst. Ein Admin ist ein Admin ist ein Admin. jemand der mehr als das kann was du vermutest kann so alles auf sein Blech tun was er will ohne das du es verhindern kannst. Er ist Gott über sein Blech...

http://blogs.technet.com/b/markrussinovich/archive/2005/04/30/circumven ...
http://blogs.technet.com/b/markrussinovich/archive/2005/12/12/circumven ...
http://www.grouppolicy.biz/2015/03/how-to-stop-local-administrators-fro ...

Ein Admin ist ein Admin ist ein Admin...

Kann ich dann per GPO User verwalten?
Was genau willst du per GPO da tun? Benutzer Verwalten fängt beim anlegen eines Benutzers an und hört beim Löschen des Benutzers auf und alle Aufgaben zwischendurch. Was also willst du tun?

Gruß,
Peter
Mitglied: Sheogorath
Lösung Sheogorath 25.10.2015, aktualisiert am 29.10.2015 um 15:05:51 Uhr
Goto Top
Moin,

Das Problem liegt hier wohl darin, dass du nicht genau weißt, wie das Rechtesystem funktioniert.

Rechte geben und nehmen ist Adminsache, soweit wirst du bestimmt schon sein. Das Problem was du nun noch nicht erkennst ist: GPOs werden auf den Domain Controllern bestimmt und dann an die Clients verteilt. aber GPOs sind nun mal GruppenRICHTLINIEN nicht Gesetze. Jeder Client entscheidet dann ob und wie sie angewendet werden. Und die Einstellungsgewalt hat halt der lokale Admin.

Mal grob den Unterscheid zwischen lokalem Admin und Domänenadmin:
ein Domänenadmin kann Änderungen vornehmen, die die gesamte Domäne betreffen. Hierfür ändert er z.B. Gruppenrichtlinien. Außerdem sind Domänenadmins automatisch auch auf jedem Domänenclient lokale Admins.

Ein lokaler Admin ist für den lokalen Client verantwortlich und kann mit diesem ALLES tun, was er will. Auch aus der Domäne entfernen und eigene Gruppenrichtlinien definieren. (Denn es gibt auch lokale Gruppenrichtlinenen, das sind übrigens die einzigen denen ein lokaler Admin unterliegt.)

Erkennst du das Problem? Du kannst auf den Clients als Domänenadmin nur Softwareinstallieren, weil es der lokale Admin darf, da du als Domänenadmin automatisch auch lokaler Admin bist.

Und auch wenn du jetzt vielleicht schräg schaust und es für komisch hälst, es ist eigentlich sogar ein Sicherheitsfeature! :D

Denn diese Regelung stellt sicher, dass ein Angreifer dir nicht die komplette Kontrolle über dein Systemenziehen kann, wenn er ihn in seine Domäne hebt. Solange du einen lokalen Adminzugang hast, kommst du aus der Misere immer heraus. Das Szenario wirkt komisch und beinhaltet dass der Angreifer selbst nicht unbedingt die beste Variante wählt, aber zum verstehen des Konzepts trägt es vielleicht bei.


Um also deine Frage zu beantworten:
Zitat von @nullpeiler:
Gesetz des falles alle User haben an einem Client lokale Admin Rechte und ich möchte dennoch einer Gruppe die Installation verbieten, wie kann ich per GPO das erreichen?
Gar nicht. Wenn die User adminrechte haben, kannst du ihnen nicht verbieten selbige auszuüben.

Gruß
Chris
Mitglied: nullpeiler
nullpeiler 29.10.2015 um 15:06:23 Uhr
Goto Top
Ok also sollte der User in meinem test kein Admin sein... Danke euch
Mitglied: Pjordorf
Pjordorf 29.10.2015 um 15:25:01 Uhr
Goto Top
Hallo,

Zitat von @nullpeiler:
kein Admin sein...
So ist es.

Gruß,
Peter