hallo!
Ich betreue in einer Schule ein NT-Netzwerk. Bis vor kurzem glaubte ich, dass alles i.O.sei. Leider musste ich nun feststellen, dass normale User Programme wie winamp installieren können. Liegt das am Installer der Software (einige Programme können diese User dann wiederum nicht installieren)? Was kann ich tun damit alle User wirklich keine Software mehr installieren können?
Vielen Dank für die Hilfe
Simon
Das ist gar nicht einfach, da es keine Berechtigung „Software installieren gibt“.
Ich habe in einer Newsgroup vor einiger Zeit folgenden Artikel gefunden, dem eigentlich nichts hinzufügen ist:
Hallo,
Installation von Software ist keine Systemoption an sich. Vielmehr handelt
es sich dabei um das Recht, verschiedenen Systemeinstellungen zu aendern,
Dateien in Verzeichnisse zu kopieren und die Registry zu veraendern.
„Vernuenftig“ programmierte Software fuer Windows NT stellt ihre
.dll-Dateien in das Systemverzeichnis, %systemroot%\system bzw.
%systemroot%\system32. Wenn die Zugriffsberechtigungen entsprechend gesetzt
sind, können nur die berechtigten Personen, i.A. Admins, dort Dateien
hinkopieren. Die Installationsroutinen von manchen Programmen ueberpruefen
vor dem Start der Installation auch, ob man Administratorrechte hat, und
brechen ggfs. die Installation ab.
Fuer Programme, die aus einem einzelnen Verzeichnis heraus gestartet werden
koennen, wie z.B. ICQ, taugt das natuerlich nichts.
Da hilft aber die radikale Methode:
in den Richtlinien gibt es fuer Benutzer die Option
„System\Zugriffsbeschraenkungen\Nur zugelassene Anwendungen
ausfuehren:Liste zugelassener Anwendungen“. Programme, die nicht in dieser
Liste stehen, koennen dann nicht gestartet werden, also auch „setup.exe“
oder „install.exe“ nicht. Ueber die psychologischen Auswirkungen der
Meldung „Die Anwendung kann aufgrund von Restriktionen, die fuer Sie
gelten, nicht ausgefuehrt werden. Wenden Sie sich an einen
Systemadministrator“ und den Stress fuer einen Admin mag ich allerdings
keine Prognose abgeben.
(Was passiert eigentlich, wenn ein User ein Programm umbenennt?)
Ausserdem laesst sich mit regedt32.exe der Zugriff auf die Registry
beschraenken. Ist aber muehsam.
In den Richtlinien lassen sich auch in diversen Schaerfen die
Moeglichkeiten der Bearbeitung diverser anderer Einstellungen sperren bzw.
reglementieren.
Der erste Schritt muß aber sein, den Zugriff auf Systemroot zu
beschraenken, denn damit haelt man sich schon eine Menge Aerger vom Hals.
Vermutlich kann man auch durch geeignete Zugriffsbeschraenkungen auf den
Schluessel HKLM\SOFTWARE\Classes\inffile\shell\Install\command die
Installation von Software ueber inf.-Dateien unterbinden. Habe ich aber
nicht ausprobiert!
Dies alles funktioniert natuerlich nur, wenn das System auf einer
NTFS-Partition sitzt. Ist es FAT, darf jeder grundsaetzlich immer alles,
wie bei Win 95/98.
Vielleicht hilft’s.
Vielen Dank für den profunden Bericht. Ich denke mit dem Beschränken der Zugriffsrechte auf system32 kann ich das Meiste regeln.
Dazu die Frage:Reicht für normale User lesen oder braucht speziell konfigurierte ‚‚beschränkte Zugriffe‘‘?
cu Simon
Hallo Simon
Vielen Dank für den profunden Bericht. Ich denke mit dem
Beschränken der Zugriffsrechte auf system32 kann ich das
Meiste regeln.
Dazu die Frage:Reicht für normale User lesen oder braucht
speziell konfigurierte ‚‚beschränkte Zugriffe‘‘?
Ich habe mich auch gerade mit dem Problem auseinandersetzten müssen (war eine Maschinen-Steuerung und die haben da dann noch Spiele installiert, bis nichts mehr ging !).
Viele Programme speichern ihre Einstellungen (z.B. zuletzt geöffnete Datei) in der Registry (wurde ja mal von MS so empfohlen) und dazu braucht es die Schreib-Erlaubnis. Du kannst aber auch nur Teilschlüssel freigeben und den Rest auf Nur-Lesen einstellen.
MfG Peter(TOO)
Hallo
dann setze ich am besten auf system32nur lesen und beziehe die unterverzeichnisse nicht ein?
Sollte das so fuktionieren??
vielen Dank Simon
Da hilft aber die radikale Methode:
in den Richtlinien gibt es fuer Benutzer die Option
„System\Zugriffsbeschraenkungen\Nur zugelassene Anwendungen
ausfuehren:Liste zugelassener Anwendungen“. Programme, die
nicht in dieser
Liste stehen, koennen dann nicht gestartet werden, also auch
„setup.exe“
oder „install.exe“ nicht. Ueber die psychologischen
Auswirkungen der
Meldung „Die Anwendung kann aufgrund von Restriktionen, die
fuer Sie
gelten, nicht ausgefuehrt werden. Wenden Sie sich an einen
Systemadministrator“ und den Stress fuer einen Admin mag ich
allerdings
keine Prognose abgeben.(Was passiert eigentlich, wenn ein User ein Programm
umbenennt?)
Leider das, was zu befürchten ist: Darf winword.exe ausgeführt werden und setup.exe nicht, kann der Benutzer setup.exe einfach in winword.exe umbenennen. Unverständlicherweise werden nämlich nur Dateinamen und nicht etwa ganze Zugriffspfade in die Erlaubnisliste aufgenommen.
Der erste Schritt muß aber sein, den Zugriff auf Systemroot zu
beschraenken, denn damit haelt man sich schon eine Menge
Aerger vom Hals.
Du meinst nicht etwa, den Zugriff auf C:\ einschränken?
VORSICHT!
Hast Du ein NT-System, das Du nicht mehr benötigst, dann vergib mal das Recht ‚Jeder - kein Zugriff‘ in C:\ .
Läßt Du die Rechte gleich noch in die Unterverzeichnisse kopieren, ist Dein System mit Bordmitteln nicht mehr zu retten. Es bleibt Dir ein grauer Bildschirm mit leerem Startmenü.
NT reagiert teilweise sehr allergisch auf Einschränkungen. Insbesondere mit Beschränkungen im Systemverzeichnis muß man (leider) vorsichtig sein.
CU
Markus
NT reagiert teilweise sehr allergisch auf Einschränkungen.
Insbesondere mit Beschränkungen im Systemverzeichnis muß man
(leider) vorsichtig sein.
Da gebe ich Dir vollständig recht!
Ich habe mal folgendes versucht, was eigentlich eine ziemliche Sicherheit bringen sollte:
cacls c:\winnt /T /P admin:F Administrator:F Ersteller-Besitzer:F Jeder:R System:F
cacls c:\winnt\repair /T /P admin:F Administrator:F
cacls c:\winnt\system /T /P admin:F Administrator:F Ersteller-Besitzer:F System:F Jeder:R
cacls c:\winnt\system32 /T /P admin:F Administrator:F Ersteller-Besitzer:F System:F Jeder:R
cacls c:\winnt\system32\config /T /P admin:F Administrator:F Ersteller-Besitzer:F System:F Jeder:R
rd /s c:\winnt\system32\DHCP
cacls c:\winnt\system32\drivers /T /P admin:F Administrator:F Ersteller-Besitzer:F System:F Jeder:R
rd /s c:\winnt\system32\RAS
rd /s c:\winnt\system32\OS2
cacls c:\winnt\system32\spool /T /P admin:F Administrator:F Ersteller-Besitzer:F Jeder:R System:F
rd /s /s c:\winnt\system32\wins
cacls c:\boot.ini /P admin:F Administrator:F System:F
cacls c:\ntdetect.com /P admin:F Administrator:F System:F
cacls c:\ntdlr /P admin:F Administrator:F System:F
cacls c:\autoexec.bat /P admin:F Administrator:F System:F jeder:R
cacls c:\config.sys /P admin:F Administrator:F System:F jeder:R
Leider läuft dann so gut wie kein Programm mehr (weil alle auf irgendwelche Dateien in oder unterhalb %WINNT% schreiben wollen), aber dies ist zumindest ein GRUNDGERÜST.
Wer viel Zeit hat, kann ja versuchen herauszufinden, welche Dateien welches Programm zum schreiben öffnen muß und für dieses die Rechte dann nachsetzen.
Denn anders als Unix reicht es, wenn man für diese eine Datei die Rechte ändert, und nicht für den ganzen Pfad bis dahin.
Ich glaube aber doch immer noch, daß man es aufgrund der ganzen Probleme nicht hinbekommt, NT wirklich sicher zu machen…
Übrigends, für Probierfreudige: Beim Resource-Kit gibt es ein Programm, mit dem die NT-Standarddateirechte wieder herstellen kann, falls nach dem rumprobieren nichts mehr geht… 
Michael
1 „Gefällt mir“