Ich weiß, dass ich mit NetLocalGroupAdd eine neue Benutzergruppe erstellen kann. Nur wie kann ich den Benutzern in dieser Gruppe Sachen verbieten und erlauben? Also zum Beispiel erlauben, dass sie die Systemzeit ändern dürfen, aber keine Software installieren und in HKLM schreiben oder so.

Im PSDK habe ich dazu nichts gefunden.

Mein Usermanager muckelt nämlich etwas und der braucht dringend neue Features.

Hallo Luckie,

in meinem PSDK steht es unter dem Stichwort Access Control [Security] und dort im Abschnitt Privileges. Die API-Funktion nennt sich LsaAddAccountRights().

Grüße vom marabu

Bist du dir sicher? Da ist immer von Account die Rede:

Zitat:

The LsaAddAccountRights function assigns one or more privileges to an account.

Ist damit eine Benutzergruppe gemeint?

Sicher bin ich mir schon. Nicht, dass ich der Experte im Umgang mit dem Local Security Account wäre, aber an mehreren Stellen im PSDK wird darauf hingewiesen, dass ein account nicht einfach ein Synonym für einen einzelnen Benutzer ist:

Zitat von Microsoft:

The LSA provides several functions that applications can call to enumerate or set privileges for user, group, and local group accounts.

marabu

Bei LsaAddAccountRights muss man eine SID angeben, ich nehme an, darüber wird dann die Gruppe identifiziert. Das heißt, ich muss erstmal im nächsten Schritt die SID der Gruppe ermitteln. Wie man ein PolicyHandle bekommt ist ja im PSDK beschrieben. Wenn ich das alles zusammenhaben, kann ich weiterarbeiten.

Ich werde mal gucken, wie ich an die SID der Gruppe drankomme, aber wer hier jetzt schon eine Idee hat...