Ich habe unter WinNT 4.0-SP6 zwei Partitionen, davon C:, wo alle Progs etc. liegen, für alle gesperrt (außer für ADMINISTRATOR: Vollzugriff). Jetzt können sich die BENUTZER aber nicht mehr anmelden (Kennwort wird offensichtl. akzeptiert, der Anmeldevorgang wird aber ständig wiederholt). Braucht ein normaler BENUTZER also bestimmte Verzeichnisse auf C:, auf die er Zugriffsrechte hat? Und reicht dann dafür Lesezugriff?
Vielen Dank für alle Hinweise
Ich habe auch schon einmal versucht, den Zugriff auf bestimmte Windows-System-Verzeichnisse, z.B. c:\winnt, zu sperren.
Mein Fazit:
Vergiß es!
NT trennt einfach nicht zwischen Betriebssystem und Daten, so daß viele Progs immer versuchen, irgendwelche Dateien unter dem Systemrootdir zu verändern oder anzulegen.
Wenn Du seehr viel Zeit hast, kannst Du einmal alle Rechte der Systemverzeichnisse auf nur lesen für alle User stellen, und dann von Hand Dateien und Verzeichnisse freigeben, die Programme benötigen (wenn Du denn herausfindest, welche das sind…
Ein Grundgerüst dafür ist folgendes:
cacls c:\winnt /T /P admin:F Administrator:F Ersteller-Besitzer:F Jeder:R System:F
cacls c:\winnt\repair /T /P admin:F Administrator:F
cacls c:\winnt\system /T /P admin:F Administrator:F Ersteller-Besitzer:F System:F Jeder:R
cacls c:\winnt\system32 /T /P admin:F Administrator:F Ersteller-Besitzer:F System:F Jeder:R
cacls c:\winnt\system32\config /T /P admin:F Administrator:F Ersteller-Besitzer:F System:F Jeder:R
rd /s c:\winnt\system32\DHCP
cacls c:\winnt\system32\drivers /T /P admin:F Administrator:F Ersteller-Besitzer:F System:F Jeder:R
rd /s c:\winnt\system32\RAS
rd /s c:\winnt\system32\OS2
cacls c:\winnt\system32\spool /T /P admin:F Administrator:F Ersteller-Besitzer:F Jeder:R System:F
rd /s /s c:\winnt\system32\wins
cacls c:\boot.ini /P admin:F Administrator:F System:F
cacls c:\ntdetect.com /P admin:F Administrator:F System:F
cacls c:\ntdlr /P admin:F Administrator:F System:F
cacls c:\autoexec.bat /P admin:F Administrator:F System:F jeder:R
cacls c:\config.sys /P admin:F Administrator:F System:F jeder:R
Wie kann man dann aber einigermassen verhindern, dass jeder BENUTZER Programme de-/installieren oder bestehende Installationen beschaedigt? -ich habe da naemlich so einige Erfahrung mit Win9x machen muessen…
Ich habe auch schon einmal versucht, den Zugriff auf bestimmte
Windows-System-Verzeichnisse, z.B. c:\winnt, zu sperren.
Mein Fazit:
Vergiß es!NT trennt einfach nicht zwischen Betriebssystem und Daten, so
daß viele Progs immer versuchen, irgendwelche Dateien unter
dem Systemrootdir zu verändern oder anzulegen.
Wie kann man dann aber einigermassen verhindern, dass jeder
BENUTZER Programme de-/installieren oder bestehende
Installationen beschaedigt? -ich habe da naemlich so einige
Erfahrung mit Win9x machen muessen…
Viel besser als Win9x ist WinNT da leider nicht. Der Schutzmechanismus funktioniert lediglich, wenn das Setup sich als solches zu erkennen gibt. Nur dann fordert WinNT Administratorrechte.
Ich würde Dir eine andere Methode vorschlagen: Schaffe Dir eine Software zum Clonen von Platteninhalten an (z.B: Norton Ghost oder Powerquest Driveimage). Nach einer sauberen Installation ziehst Du ein Image der Platte und kannst es in Minutenfrist wieder einspielen, falls notwendig (entweder regelmäßig oder, falls mal wieder etwas zerschossen ist).
In meinem Netz an der Uni clone ich so jeden Montag Morgen 25 Rechner. SIe werden via IP Multicast innerhalb von 10 Minuten von einem zentralen Server mit den benötigten Daten versorgt und sind anschließend wie frisch installiert. Ebenso kan man für einzelne PCs aber auch Images auf CD(s) vorhalten. Ich verwende diese Methode auch, um bei Bedarf andere Software auf alle Rechner zu verteilen - sehr praktisch(!).
CU
Markus
Wie kann man dann aber einigermassen verhindern, dass jeder
BENUTZER Programme de-/installieren oder bestehende
Installationen beschaedigt? -ich habe da naemlich so einige
Erfahrung mit Win9x machen muessen…
Da es kein eigenes Recht zur „Softwareinstallation“ gibt, nur sehr schwer, eben über die Rechte des Dateisystems.
Du kannst versuchen, ein Programm zu installieren und dann die Rechte für die User möglichst auf Lesen beschränken, dann könnnen sie zumindest nichts mehr kaputt machen.
Du kannst aber auch angeben, daß der Rechner nur bestimmte Programme ausführen soll. Das kannst Du mit einer Policy (Systemrichtlinie heißt die MS-Übersetzung, glaube ich…) erreichen. Wenn Du darin so etwas wie setup.exe nicht aufführst, sollte es klappen…
Was allerdings passiert, wenn Du z.B. das Ausführen von Netscape.exe erlaubst und ein vorwitzer User einfach eine setup.exe in Netscape.exe umbenennt weiß ich auch nicht…
Aber mit Win9x kannst Du Sicherheit ja ganz und gar vergessen, da darf jeder grunsätzlich alles…
hallo
das clonen hat sich auch bei mir (20 PC / 250 User) bestens bewährt. ein weiterer schutz bietet tweak ui von ms und das umstellen der nt user.dat in nt user.man wer ein nt user.man in seinem profil hat, kann keine dauerhaften änderungen am system vornehmen: beim nächsten boot sind alle änderungen wieder zurückgestellt…