Delphi-Entwicklung ohne Admin-Rechte sinnvoll möglich?

[freejay]

Hallo zusammen,

bei uns in der Firma wird es zunehmend schwerer Admin-Rechte für den PC zu bekommen.

Daher meine Frage: Kann man ohne große Probleme Delphi auch ohne Admin-Rechte betreiben?

Wie sieht es dabei z.B. mit der Installation von Fremdkomponenten aus?

Hat jemand damit Erfahrungen oder mach ich mir hier grundlos Gedanken?

Danke im Voraus!

Gruß

Freejay

[Der schöne Günther]

Ich habe in meinem Leben (mache jetzt seit über vier Jahren Delphi) die IDE vielleicht zwei mal mit Admin-Rechten gestartet. Beide male um das Verhalten einer Anwendung (die selbst zwingend Admin-Rechte benötigte) zu debuggen. Wofür sonst?

Ok, manche Setups wie TeeChart, FastReport (und ich meine JCL) installieren ihre DCU-Dateien gerne nach c:\programme\* und wollen dafür auch EINMAL Adminrechte für die Installation.


Aber Software-Entwicklern die Windows-Adminrechte wegzunehmen erstaunt mich ehrlich gesagt aber schon. Vielleicht war ich aber auch einfach noch nie in riesigen Mega-Konzernen mit paranoider straff organisierter IT...

[mensch72]

Wenn die IT keine Adminrechte herausrückt, dann nutze eben eine VM mit Delphi drin und da drinnen kannste ja selbst der Admin sein:)

[freejay]

Danke für die Antwort.

Ich meine jetzt nicht dieses: mit rechter Maustaste klicken und auf "mit Adminrechten ausführen", sondern generell als User ohne Admin-Rechte.

Kann mir vorstellen, dass es da bei einigen Komponenten bei der Installation schwierig wird...

Wir sind kein "Mega-Konzern" aber SW-Entwicklung ist nur ein kleinerer Teilbereich. Die Adminrechte sollen auch nicht speziell Entwicklern entzogen werden, sondern eigentlich allen. Man kann zwar eine Ausnahme davon beantragen, dann muss man aber schöne Dinge unterschreiben, wie, dass man im Zweifelsfall verantwortlich ist für die Einschleusung von Viren, Trojanern o.ä. ...

Und wenn jetzt alle sagen würden: "Delphi ohne Adminrechte: Null Problemo", dann würd ich mir diese Ausnahmeregelung auch gern sparen... ;-)

[Delphi-Laie]

Zitat:

Zitat von freejay (Beitrag 1365973)

Hallo zusammen,

bei uns in der Firma wird es zunehmend schwerer Admin-Rechte für den PC zu bekommen.

Daher meine Frage: Kann man ohne große Probleme Delphi auch ohne Admin-Rechte betreiben?

Wie sieht es dabei z.B. mit der Installation von Fremdkomponenten aus?

Hat jemand damit Erfahrungen oder mach ich mir hier grundlos Gedanken?

Die letzte Frage aufgreifend: Wer will denn hier etwas von wem?! Dein Brötchengeber doch Deine Leistung. Wenn er Dir Steine in den Weg legt, wird sich die Programmierung zumindest verzögern, teilweise sogar unmöglich werden.

Ich hätte in solchen Fällen ein ganz dickes Fell. Mehr als bescheidsagen, daß es unter diesen Umständen nicht möglich ist, womit der Bringeschuld Genüge getan wurde, gäbe es von meiner Seite nicht.

[SProske]

Um eine ISAPI.dll (unter Verwendung des IIS) debuggen zu können, muss die W3WP.exe mit Administratorrechten gestartet werden. Aus diesem Grund läuft bei einigen Projekten das Delphi immer mit Admin-Rechten. Ich weiß nicht, ob es diese Notwendigkeit auch für andere DLLs/Dienste/whatever gibt, könnte aber ein Grund sein, auf einer Sonderregelung zu bestehen.

[Der schöne Günther]

Zitat:

Zitat von freejay (Beitrag 1365981)

Man kann zwar eine Ausnahme davon beantragen, dann muss man aber schöne Dinge unterschreiben, wie, dass man im Zweifelsfall verantwortlich ist für die Einschleusung von Viren, Trojanern o.ä.

So ein Blödsinn, als ob das etwas mit Adminrechten zu tun hätte.

Aber um beim Thema zu bleiben: Für Delphi an sich brauchst du es eigentlich nur einmalig für die Einrichtung. Wenn du niemals Adminrechte hast kannst du natürlich auch keine Dienste / Adminprozesse starten um diese dann zu debuggen ;-)

Aber: Abseits von Delphi könnte ich nicht ohne. So viel Hardware-Tools und Diagnose-Software braucht Adminrechte, da könnte ich echt nicht ohne.

Bildquelle

[Delphi-Laie]

Zitat:

Zitat von freejay (Beitrag 1365981)

Man kann zwar eine Ausnahme davon beantragen,

Beantragen? Wie schon gesagt, wer will denn hier etwas von wem?

Zitat:

Zitat von freejay (Beitrag 1365981)

dann muss man aber schöne Dinge unterschreiben, wie, dass man im Zweifelsfall verantwortlich ist für die Einschleusung von Viren, Trojanern o.ä. ...

Das ist Unfug und daher null und nichtig.

Entscheidend für die Haftbarmachung bzw. "Haftbarmachbarkeit" ist ausschließlich, ob ein Verschulden vorliegt. Vorsatz ohnehin, grobe Fahrlässigkeit vermutlich auch, einfache Fahrlässigkeit ist fraglich. Und das muß nachgewiesen werden. "Im Zweifelsfalle"...der ist nahezu immer vorhanden.

Der Arbeitgeber steht für derlei Sabotage in der Nachweispflicht, da sie auch arbeitsrechtlich relevant ist (Kündigungsschutz, Abmahnungen, fristlose Entlassung usw.). Er kann sich dieser Pflicht nicht einfach mit einer "halberzwungenen" Unterschrift des Angestellten entledigen.

Eine Unterschrift, mit der man sich pauschal vorab beschuldigt, ist eine unbillige Benachteiligung des Arbeitnehmers und daher eigentlich wertlos. Ärger kann sie einem natürlich dennoch machen, jedenfalls vorerst und wenn man sich nicht wehrt.

Allerdings hat man hier einen schönen Grund, bestimmte Arbeitsleistungen nicht zu erbringen, weil eine solche Unterschrift unzumutbar ist.


Seltsames Unternehmen...

[freejay]

Schönes Bild! ;-)

[freejay]

Ob die Regelung in unserer Firma gut, sinnvoll oder notwendig ist, kann und möchte ich hier nicht diskutieren...

Mir ging es nur um die Frage, ob das geht und wenn ja mit welchen Einschränkungen.

Da bin ich jetzt schon einen Schritt weiter.

Danke.

[Bernhard Geyer]

Bei neuen Delphi-Versionen braucht man nur für Delphi-Installation Admin-Rechte.
Bei alten Delphi (D6/7) macht es das leben einfacher wenn man Delphi nicht nach c:\Programme installiert.

[MichaelT]

Ohne Administrative Shell geht sowieso nicht viel unter Windows. Selbst wenn der Direktor mit seinem Blut unterschreibt, 'Was nicht geht, geht nicht'. Das prinzipiell. Die UAC ist an sich dazu da dem Standard User die Möglichkeit zu geben seine Rechte upzugraden.

Ob das noch geht weiß ich nicht. Du konntest zumindest noch unter Vista das Manifest der .exe modifizeren usw...

Delphi passt an sich zu den Vorstellungen eurer sehr undifferenzierten Sicherheitsarchitektur.
Ich persönlich hätte unter einem ganz normalen User kein Problem gehabt mit Delphi zu entwickeln und Programme laufen zu lassen.

IIS Express resp. http.sys ohne Zertifikat wäre ein Thema. Apache lokal zu debuggen ... müsste ich nachschauen. Da war was, aber was weiß ich nicht mehr.

Wenn das Ausführen von Installern nicht mehr erlaubt wäre ... Dann ab in die Box. Eine Box ist an sich gescheiter.

Schauen wir wie lange eure IT das durchhält :-D. Die weltgrößten Konzerne schaffen das nicht, aber tut nur.

Zitat:

Zitat von freejay (Beitrag 1365981)

.

Und wenn jetzt alle sagen würden: "Delphi ohne Adminrechte: Null Problemo", dann würd ich mir diese Ausnahmeregelung auch gern sparen... ;-)

[p80286]

Welche Frage.
D2006 zickt zwar immer herum er wolle noch etwas installieren, aber sonst geht das ohne Probleme, wenn man D7 (und alle anderen Versionen nicht unter C:\Programme installiert)

Und wie oft muß man Komponenten installieren?

Gruß
K-H

[Daniel]

Also einige von Euch tun gerade so, als wäre es völlig absurd, mit den Admin-Rechten zu geizen.
Wenn jemand beispielsweise eine Kassen-Software entwickelt, dann benötigt er erstmal keinerlei Admin-Rechte. Eine Spiel-Datenbank bekommt der Entwickler gestellt, die müsste nicht mal zwingend auf seinem Rechner laufen. Packages lassen sich in Delphi auch ohne Admin-Rechte installieren und das Setup eines Komponenten-Herstellers muss einerseits nicht täglich aufgerufen werden und mit Blick auf mögliche Inkompatibilitäten würde ich derlei auch nicht zum Tageswerk eines einzelnen Entwicklers zählen. Wenn es sein soll, dann steigt das gesamte Team um und alle Arbeitsplätze würden synchron aktualisiert.

Klar lassen sich Szenarien finden, die Admin-Rechte erfordern, aber derlei ging aus der Beschreibung erstmal nicht hervor.

[DeddyH]

Ich persönliche programmiere in einer VM als Normaluser und komme damit prima klar. Im Gegenteil, so merke ich direkt zur Entwicklungszeit, ob ich mir ein Ei ins Nest lege, wenn ich irgendetwas einbaue, für das Adminrechte erforderlich sind, und kann ggf. entsprechend reagieren.

[MichaelT]

Das Szenario heißt Realität.

Den Fall den du schilderst ist ein HTL-Strebi frisch von der Schule der mitten in der Pampas vor einem Eclipse sitzt, jeden Tag 3 - 5 Codezeilen einer Anforderung umsetzt und dazwischen 7mal am Tag ein Dokument an die Projektleitung zurückschickt und dieses wegen ästhetischer Unvollkommenheit und Unausgewogenheit nicht akzeptiert.:wink: Über die 3 - 5 lass ich mit mir verhandeln.

Theoretisch stimme ich dir auch zu.

Entwicklung passt keinen Tag zu einer Inhouse IT und aus Sicht der Kostenrechnung auch nicht. Bei der Beschäftigung entlang der Grenzproduktivität wird immer versucht das mindestnotwendig verhinderte Talent 40 Stunden zu beschäftigen. In der IT hast aber eher das größtmöglich notwendige Talent bei der Arbeit. Du selbst wirst nicht sagen, 'Ich stelle Mitarbeiter ein und schmeiße eine produktives Werkzeug raus, damit die Mitarbeiter einer von mir bereitgestellten Assemblergeneierungsmaschine beim arbeiten zusehen'.

Deswegen bist oft auch verdammt in der Entwicklung Support mitzumachen. Dann ist Entwickler eher der letzte den die Hunde beißen und die stehen dann mit fletschenden Zählen vor dem Kätzchen und sagen - schnell, schnell, schnell. Urgenzen.

Beschäftigung ist der Versuch Aktivitäten im Rahmen des Verweilens auf einem Betriebsgelände Arbeit zuzurechnen. Bei einem Klein- und Mittelstandsbetrieb fällt noch nicht so auf und erstgenannten Fall gar nicht.

---

Du startest gedanklich immer bei einem Standardimage. Dann brauchst du noch einen Software Delivery Service der Open Source Tools anbietet. Die Schnittmenge der Tools die im Budget für Benutzer vorgesehen sind geschnitten mit jenen die er oder sie benötigt ist außerhalb der dessen was der kleinste gemeinsame Nenner am Standardimage bietet exakt die Leere Menge. Benutzer werden erfinderisch, keine Sorge.

---

Vereinfacht, du brauchst mehr Rechte damit du damit einen eingeschränkten Subset aus welchem Motiv auch immer vergibst.

Eine Software darf ja nicht sagen welche Rechte sie braucht, ala. Software mit Command-Line Parameter starten und die Software ermittelt die fehlenden Berechtigungen ... Das geht bei mir da im Office, aber sonst lasst dich so etwas keiner mehr installieren.

Bevor eine Security Abteilung/Security Team dir ein Recht vergibt musst du mal den Nachweis erbringen, dass es benötigt wird. Vorher, nachher - Screenshot für Doku.

Es läuft ja nicht so, dass das eine User bei einem Security Team anruft, die einen Berechtigungstrace machen und das Recht vergeben. Das läuft heut über Security Team, Helpdesk, User und Entwickler.

Aus der Sicht des Security Teams ist, wenn etwas nicht funktioniert die Welt in Ordnung. Ähnlich wenn ein Constraint auf einer Datenbank die Änderung eines Datensatzes verhindert. Bedrohung abgewehrt vs. funktioniert nicht.

In der Statik schaut alles super aus. Aber in der Praxis wird gerne geschaut, dass eine gewisse Prozentzahl der Benutzerschaft in einem Aufwischen erschlagen grad bei Änderung der Berechtigung und der Rest läuft über den Helpdesk. Der Helpdesk ist zumeist sogar noch der Gegenpart zur Security. Der Helpdesk exekutiert die Berechtigungsanforderung resp. bestätigt diese.

Du hast heute mind. ein 4 Augen Prinzip. Organisationen welche darüber hinausgehen sind dafür bekannt, dass tobende Benutzerschaften mit Heugabelen am Werksgelände in Richtung Rechenzentrum marschieren.

Zitat:

Zitat von Daniel (Beitrag 1365997)

Also einige von Euch tun gerade so, als wäre es völlig absurd, mit den Admin-Rechten zu geizen.
Klar lassen sich Szenarien finden, die Admin-Rechte erfordern, aber derlei ging aus der Beschreibung erstmal nicht hervor.

[zeras]

Ich programmiere nur nebenberuflich mit Delphi, bin daher mein eigener Herr auf meinem Rechner. Trotzdem habe ich für das "normale" Programmieren noch nie Admin Rechte benötigt. Wenn ich etwas installieren will, dann nutze ich einen anderen User und dann schalte ich wieder zurück.
Wenn natürlich jemand Treiber programmiert, dann sind diese vielleicht nötig???? Aber in meinem Falle fahre ich ohne Admin Rechte ganz gut.

[Delphi-Laie]

Zitat:

Zitat von zeras (Beitrag 1366023)

Wenn natürlich jemand Treiber programmiert,

Wohl kaum mit Delphi.

Zitat:

Zitat von zeras (Beitrag 1366023)

dann sind diese vielleicht nötig????

(Wahrscheinlich) ja!

[himitsu]

Zitat:

Zitat von Delphi-Laie (Beitrag 1366024)

Wohl kaum mit Delphi.

Jain.

Es gibt das DDDK (Delphi Driver Development Kit) womit man mit "älteren" Delphis bedingt Kernel-Mode-Treiber schreiben kann.

Seit Vista gibt es auch User-Mode-Treiber und die könnte man sehr wohl mit Delphi programmieren, aber dafür braucht man nicht unbedingt Adminrechte.

[Jumpy]

Zitat:

Zitat von zeras (Beitrag 1366023)

Trotzdem habe ich für das "normale" Programmieren noch nie Admin Rechte benötigt. Wenn ich etwas installieren will, dann nutze ich einen anderen User und dann schalte ich wieder zurück.

Und das ist ja genau das Problem in größeren Firmen. Da hast du keinen anderen User und musst für sowas die IT anrufen. Beispiel was bei uns lästig ist: Unsere Mitarbeiter können an so online Word/Excel-Tutorial teilnehmen, dazu wird im Browser aktuelles Flash benötigt und wenn ein neues Flash Update vorliegt meckert der Browser immer und der Nutzer muss in der IT anrufen, dass die ihm das Update durchführen.

[p80286]

@MichaelT
Und was soll mir das jetzt sagen?
a)ich habe keine Probleme als "Normaluser" mit Delphi zu arbeiten!
b)bekomme ich eine Berechtigung nicht, die ich für eine Aufgabe benötige, - warum auch immer-, macht das eben jemand anders. Auch wenn dem Chef-Rumpelstielzchen das nicht passt.
c)"Das kann ich jetzt aber nicht nachvollziehen" ist als Antwort vom Helpdesk immer sehr beliebt, wenn der Helpdeskmitarbeiter mit allen möglichen und unmöglichen Rechten ausgestattet, versucht einen Fehler zu reproduzieren.

Wenn die sog. "IT" ein Rechtekonzept erstellt hat, und das wurde von der Geschäftsführung so abgesegnet, dann ist das so. Das ist wie Wetter, es ist wie es ist.

Gruß
K-H

[DeddyH]

:thumb:

[zeras]

Zitat:

Zitat von Jumpy (Beitrag 1366038)

Beispiel was bei uns lästig ist: Unsere Mitarbeiter können an so online Word/Excel-Tutorial teilnehmen, dazu wird im Browser aktuelles Flash benötigt und wenn ein neues Flash Update vorliegt meckert der Browser immer und der Nutzer muss in der IT anrufen, dass die ihm das Update durchführen.

Das hatten wir vor einigen Jahren in der Firma auch. Seit längerem gibt es nun das Softwarecenter und da wird vieles automatisch verteilt. Die IT präpariert solche "Pakete" und dann sollten die "normalen" Updates immer automatisch kommen.

[Rollo62]

Wenn du Admin-Rechte brauchst, diese aber nicht bekommst ...

Dann wäre vielleicht auch ein Build-Server wie Jenkins od. FinalBuilder eine Lösung für dich.

Rollo

[himitsu]

Zum Compilieren sollten niemals Rechte nötig sein.
Erstmal haben alle Zielverzeichnisse schreibrechte zu besitzen (das kann man auf ein Verzeichnis beschränken)
und der Rest ohne Schreibrechte ist vorkompiliert und wird nicht von die neu kompiliert.

Ein Build-Server nur wegen der Zugriffsrechte lohnt sich nicht und bringt keinerlei Vorteile.

[Rollo62]

Ja richtig, ich installiere RadStudio auch immer unter d:\Prg,
erstens um die Pfade kurz zu halten, und zweitens um keine Zugriffsprobleme zu haben.
(Das kann aber auch wieder Probleme mit festdefinierten Pfaden geben, z.B. bei den Demos ...).

Aber wie schon vorher gesagt es könnten ja bestimmte Komponenten spezielle Zugriffsrechte brauchen, also von 3rd Party DB über System zu speziellen Hardwarekomponenten, o.ä.

In dem Fall wäre ein Buildserver eine Option die man nicht ausschliessen sollte.

Rollo

[himitsu]

Zitat:

Zitat von Rollo62 (Beitrag 1366117)

und zweitens um keine Zugriffsprobleme zu haben.
(Das kann aber auch wieder Probleme mit festdefinierten Pfaden geben, z.B. bei den Demos ...).

In C:\Programme sind seit 2006 keine Pfade mehr, wo man Schreibrechte braucht. (außer bei kranken Setups einiger Fremdkomponenten)

Aber da sollte man den "Bug" in der Komponente beheben, anstatt im System.
Ansonsten kannst du auch gleich als Admin arbeiten und das UAC deaktivieren, weil es auch bei anderen Programmen Probleme geben könnte.

Abgesehn davon, dass die Demos inzwischen via SVN aktualisiert werden können, liegen sie schon länger nicht mehr im Programme-Verzeichnis.