WIN XP Prof: Eingeschränkten Benutzern die Rechte entziehen

[Dannyboy]

Seit über einem Jahr versuchte ich vergeblich eingeschränkten Benutzern von Windows XP Prof. Rechte zu entziehen, ohne dass der Administrator davon negativ beeinflusst wird. Leider ist letzteres nämlich der Fall, wenn man in der Datei <gpedit.msc> irgendwelche Rechte einschränkt. Warum eingeschränkte Rechte standardgemäß auch für einen eigentlich uneingeschränkten Admin gelten, kann ich mir nicht erklären.

Die Idee des Entzuges der Rechte war einfach folgende:
Ich möchte Freunde von mir gern an meinen Computer lassen, ohne mir Sorgen machen zu müssen, dass diese, versehendlich oder nicht, irgend etwas an meinem Rechner verstellen oder sogar kaputt machen. Sie sollen sich lokal anmelden können, ich stelle ihnen ein paar Spiele, Filme u. Musik zur Verfügung aber Dinge wie Systemsteuerung, Anzeige, Netzwerk, etc: Finger weg!!!

Folgendes Vorgehen ist unter Windows XP Professional möglich (unter XP Home geht dies nicht!) und bezieht sich auf das Arbeitsgruppenkonzept. Ich habe es mit dem Domänenkonzept noch nicht probiert.

Also:

1. Als Mitglied der Administratorengruppe anmelden (in meinem Fall einfach als DANNYBOY)

2. Legt nun ein paar eingeschränkte Konten an, denen die Rechte später entzogen werden sollen. (Systemsteuerung > Benutzerkonten > Neues Konto erstellen, ...)

3. Irgendeinen Ordner öffnen: Extras > Ordneroptionen > Ansicht > „Einfache Dateifreigabe (empfohlen)“ deaktivieren. Hierdurch wird die Registerkarte <Sicherheit> bei <Eigenschaften> von Dateien und Verzeichnissen angezeigt.

4. Arbeitsplatz > Rechtsklick > Verwalten > Lokale Benutzer und Gruppen (diesen Punkt gibt es NICHT bei XP Home!!!) > Gruppen > Aktion > Neue Gruppe

5. Gebt der neuen Benutzergruppe nun einen Namen und fügt die eingeschränkten Konten, die ihr im Punkt <2.> erstellt habt, dieser Gruppe hinzu.

6. Start > Ausführen > „gpedit.msc“(gibt’s auch nur unter XP Prof., nicht unter XP Home)

7. Nun in den Gruppenrichtlinien: Benutzerkonfiguration > Administrative Vorlagen

8. In den administrativen Vorlagen könnt ihr nun so ziemlich alles verbieten, was mit Systemsteuerung, Desktop, Bildschirmschoner, Netzwerk, Druckern, Startmenü und Taskleiste, dem System und Ordnerfreigabe zu tun hat. Doch Vorsicht, denn alles, was ihr hier jetzt ändert, hat auch sofortigen Effekt auf das nun angemeldete Administratorkonto. Verbaut Euch jetzt nicht den Weg zu Eurem Arbeitsplatz, denn da müssen wir gleich hin.

9. Versucht mal aus Spass folgendes in den bereits gewählten administrativen Vorlagen: Systemsteuerung > Anzeige > „Symbol Anzeige aus der Systemsteuerung entfernen“ aktivieren. Und nun macht mal auf dem Desktop einen Rechtsklick. Nun solltet ihr nicht mehr in die Anzeige hineinkommen. Nachdem ihr alles so eingeschränkt habt, wie ihr es wolltet, dürftet Ihr jetzt nichts mehr tun können, was ihr gerade eben eingeschränkt habt.

10. So far, so good. Nun öffnet mal mit dem Explorer das Verzeichnis <C:\Windows\system32>. Hier findet ihr den VERSTECKTEN Ordner <GroupPolicy>. (Vorraussetzung ist natürlich ein Einblenden der versteckten Dateien und Ordner). Nun auf <GoupPolicy> rechtsklicken > Eigenschaften > Sicherheit > und nun erfolgt der entscheidende Schritt:

11. Dem aktuellen Konto (bei mir ist das DANNYBOY) den Vollzugriff verweigern, d.h. ihr entzieht dem aktuellen Benutzer alle Lese – und Schreibrechte auf diesen Ordner (und auf die darin enthaltenen ADM.-Dateien für die Verwaltung von Gruppenrichtlinien). Das Einstellungsfenster für Sicherheit NICHT schließen.

12. Das Gleiche solltet ihr ihr jetzt noch für die Gruppe <Administratoren> tun (falls diese Gruppe nicht angezeigt wird, dann müsst ihr sie <hinzufügen>, es sei denn, ihr möchtet dem versteckten Admin-Konto auch Rechte entziehen. Also: Der Gruppe <Administratoren> auch den Vollzugriff auf den Ordner <groupPolicy> verweigern.

13. Alles schließes, aktuelles Konto abmelden.

14. Was geschieht nun? – Die Gruppenrichtlinien und die damit verbundenen, eingeschränkten Rechte werden beim Öffnen eines eingeschränkten Benutzerkontos aus dem Ordner <groupPolicy> geladen und somit korrekt an diese Benutzer verteilt, d.h. deren Rechte sind eingeschränkt. Wenn man sich aber nun wieder als Admin anmeldet, so können diese eingeschränkten Rechte aus <groupPolicy> nicht für den Admin geladen haben, da wir jeglichen Zugriff auf diesen Ordner gesperrt haben. Tja, und da keine Einschränkungen für den Admin geladen werden konnten, erteilt das Betriebssystem ihm eben einen Vollzugriff (so wie sich das für den Admin gehört). Wir haben uns also durch eine Einschränkung mehr Rechte verschaffen können.

Sonstige Hinweise:
Für jeden weiteren Benutzer, der von den eingeschränkten Rechten nicht beeinflusst werden soll, müssen auch einfach die Rechte auf das Verzeichnis <GroupPolicy> entzogen werden. Wundert Euch nicht, wenn ihr nun versucht mit dem Admin die Datei „gpedit.msc“ zu öffnen und der Zugriff verweigert ist. Ihr müsst dann einfach dem Admin die Rechte auf <GroupPolicy> während der Bearbeitung des Gruppenrichtlinieneditors geben, damit der Editor die Rechte der ADM.-Dateien lesen kann. Wie es mit unterschiedlichen Rechten zwischen eingeschränkten Konten aussieht, weiss ich noch nicht. Bin aber bereits dabei, dies zu erörtern. Mir war es erst mal wichtig, dass ich eine eingeschränkte Benutzergruppe habe, der ich Rechte entziehe und einen Admin, der alles darf. Viel Spass.

Check this out.

DANNYBOY

[MathiasSimmack]

Den Gruppenrichtlinien-Editor benutze ich nur, wenn ich bestimmte Einstellungen für alle Benutzer will. Etwa eingeschränkte IE-Einstellungen, oder ausgeblendete Desktop-Symbole, usw. Für so was nehmen die meisten normalerweise REG- oder INF-Dateien, die aber immer nur für den aktuellen Benutzer (HKCU) gelten. Nachteil: hat man mehrere Benutzer, muss man den ganzen Quatsch mehrmals machen.

Im Gruppenrichtlinien-Editor stehen die meisten dieser so genannten Tweaks auch zur Verfügung und betreffen dann auch sofort alle Benutzer. Vllt. ist das ja dein Denkfehler, @Dannyboy.

[Dannyboy]

Zitat von MathiasSimmack:

Den Gruppenrichtlinien-Editor benutze ich nur, wenn ich bestimmte Einstellungen für alle Benutzer will. Etwa eingeschränkte IE-Einstellungen, oder ausgeblendete Desktop-Symbole, usw. Für so was nehmen die meisten normalerweise REG- oder INF-Dateien, die aber immer nur für den aktuellen Benutzer (HKCU) gelten. Nachteil: hat man mehrere Benutzer, muss man den ganzen Quatsch mehrmals machen.

Im Gruppenrichtlinien-Editor stehen die meisten dieser so genannten Tweaks auch zur Verfügung und betreffen dann auch sofort alle Benutzer. Vllt. ist das ja dein Denkfehler, @Dannyboy.

Wie genau machst Du das mit den REG und INF Dateien mit der Rechtevergabe? Wie und wo kann man das Einstellen? Das wäre nämlich eine gute Ergänzung für dieses Tut. Damit wäre nämlich auch erklärt, wie man verschiedenen Benutzergruppen verschiede Rechte vergibt.

[Assarbad]

Zitat von Christian Seehase:

Und wie, ohne in einem Netzwerk mit Active Directory?

Lokale oder Domain-Policy ist Windows eigentlich schnuppe!

[Assarbad]

Zitat von Dannyboy:

Wie bereits erwähnt bin ich selbst verwundert darüber, dass der Administrator von den in der <Gpedit.msc> eingestellten Einschränkungen ebenfalls betroffen ist.

Gib mal den Output von

net user dannyboy

[Dannyboy]

Zitat von Assarbad:

Zitat von Dannyboy:

Wie bereits erwähnt bin ich selbst verwundert darüber, dass der Administrator von den in der <Gpedit.msc> eingestellten Einschränkungen ebenfalls betroffen ist.

Gib mal den Output von
net user dannyboy

Bin gerade auf'nem anderen Rechner. Welche Punkte von <net use Dannyboy> willst Du haben? Ich schreibe sie dann ab. Bitte nicht alle.


Nachtrag:

Ich glaub's nicht ... habe nun das <net send> auf eine CD kopiert und so übertragen.
Also:

Code:

Microsoft Windows XP [Version 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

C:\Dokumente und Einstellungen\Dannyboy>net user dannyboy
Benutzername                        Dannyboy
Vollständiger Name
Beschreibung
Benutzerbeschreibung
Ländereinstellung                   000 (Standardsystemvorgabe)
Konto aktiv                         Ja
Konto abgelaufen                    Nie

Letztes Setzen des Kennworts        1/11/2005 10:01 PM
Kennwort läuft ab                   Nie
Kennwort änderbar                   1/11/2005 10:01 PM
Kennwort erforderlich               Ja
Benutzer kann Kennwort ändern       Ja

Erlaubte Arbeitsstationen           Alle
Anmeldeskript
Benutzerprofil
Basisverzeichnis
Letzte Anmeldung                    1/14/2005 2:42 PM

Erlaubte Anmeldezeiten              Alle

Lokale Gruppenmitgliedschaften      *Administratoren
Globale Gruppenmitgliedschaften     *Kein
Der Befehl wurde erfolgreich ausgeführt.


C:\Dokumente und Einstellungen\Dannyboy>

[MathiasSimmack]

Zitat von Dannyboy:

Wie genau machst Du das mit den REG und INF Dateien mit der Rechtevergabe?

Du hast mich missverstanden. Du kennst sicher die diversen INF- und REG-Dateien, mit denen irgendwelche Systemeinstellungen geändert werden. Etwa, dass Windows keine Berichte sendet, usw. Macht XP-AntiSpy IMHO auch nicht anders. Und das jetzt für jeden Benutzer machen zu müssen (wg. HKCU-Schlüssel in der Registry), wäre mir zu aufwändig. Darum nehme ich den Gruppenrichtlinien-Editor und ändere es einmal für alle. Logischerweise wirkt sich eine Änderung auch auf die Administratoren aus!

[Dannyboy]

Zitat von MathiasSimmack:

Zitat von Dannyboy:

Wie genau machst Du das mit den REG und INF Dateien mit der Rechtevergabe?

Du hast mich missverstanden. Du kennst sicher die diversen INF- und REG-Dateien, mit denen irgendwelche Systemeinstellungen geändert werden. Etwa, dass Windows keine Berichte sendet, usw. Macht XP-AntiSpy IMHO auch nicht anders. Und das jetzt für jeden Benutzer machen zu müssen (wg. HKCU-Schlüssel in der Registry), wäre mir zu aufwändig. Darum nehme ich den Gruppenrichtlinien-Editor und ändere es einmal für alle. Logischerweise wirkt sich eine Änderung auch auf die Administratoren aus!

Ja, genau so tue ich es auch und außerdem nehme ich halt eben dann noch den Admin aus den Einschränkungen raus, indem ich dem Admin den Zugriff auf <groupPolicy> verweigere.

[Luckie]

Aber das kann nicht die Lösung sein. Was spuckt denn net user dannyboy aus?

[Dannyboy]

Zitat von Luckie:

Aber das kann nicht die Lösung sein. Was spuckt denn net user dannyboy aus?

Ich darf nicht doppelt posten, oder?

[Assarbad]

Zitat von Luckie:

Aber das kann nicht die Lösung sein. Was spuckt denn net user dannyboy aus?

Er hatte oben seinen Beitrag editiert um die gewünschten Infos einzufügen. Also er ist definitiv Admin. Jetzt müßte man noch seine anderen Gruppenmitgliedschaften in Erfahrung bringen.

Apropos: in der GPEDIT.MSC gibt es Computer-bezogene und Benutzer-bezogene Einstellungen. Du benutzt schon die korrekten?