acula-md

Domänen Admin mit eingeschränkten Rechten

Hallo liebes Forum,

folgendes Problem:

Domänen-Admin hat innerhalb der Domäne alle Rechte und wird auf den Client-Rechnern der Lokalen Administratoren Gruppe hinzugefügt.
Meldet sich ein Domänen-Benutzer (mit eingeschränkten Rechten) an, habe ich die Möglichkeit die Eingabeaufforderung im Domänen-Admin-Kontext auszuführen. Von hier sollte ich meinem Verständnis nach alle Rechte besitzen. Führe ich aber beispielsweise den Befehl rundll32.exe shell32.dll, Options_RunDLL 1 aus, bekomme ich folgende Meldung: Der Vorgang wurde aufgrund von aktuellen Beschränkungen auf dem Computer abgebrochen. Wenden sie sich an den Systemadministrator.


Zur Umgebung:

Windows 2000 Domäne (ich weiß…Umstellung wird dieses Jahr noch durchgeführt).
Windows XP und Windows 7 Client


Kann das überhaupt funktionieren???
Gibt es Alternativen um innerhalb eines eingeschränkten Kontos Vollzugriff auf das System zu erhalten???


Hoffe auf zahlreiches Feedback.
Auf Facebook teilen
Auf X (Twitter) teilen
Auf Reddit teilen
Auf Linkedin teilen

Content-ID: 152011

Url: https://administrator.de/forum/domaenen-admin-mit-eingeschraenkten-rechten-152011.html

Ausgedruckt am: 10.06.2025 um 23:06 Uhr

Hubert.N
Hubert.N 29.09.2010 um 14:30:03 Uhr
Goto Top
Hallo face-smile

Ich gehe davon aus, dass du Richtlinien im Netzwerk aktiv hast, die die Benutzerprofile einschränken. (Wozu auch sonst der Versuch auf diesem Weg die Einstellungen der Taskleiste zu ändern ?!)

Duch ein "runas" kannst du eine solche Einstellung nicht aushebeln

Gruß

Hubert
Acula-MD
Acula-MD 29.09.2010 um 14:37:45 Uhr
Goto Top
Gibt es irgendwelche alternativen Möglichkeiten???
Hubert.N
Hubert.N 29.09.2010 um 15:04:07 Uhr
Goto Top
Die Richtlinie, die den Zugriff auf diese Funktiionen blockiert aufheben ?!
Acula-MD
Acula-MD 29.09.2010 um 15:26:12 Uhr
Goto Top
Nicht aufheben. Eher umgehen.
Den oben aufgeführten Befehl im Kontext des Domänen-Admins ausführen.
Hubert.N
Hubert.N 29.09.2010 um 15:47:06 Uhr
Goto Top
Nur weil du ein Programm mit den Rechten des Admin startest, wirst du die Richtlinien, die auf dem System für den angemeldeten Benutzer gelten (und der bleibt ja weiterhin angemeldet...) nicht abschalten.
Acula-MD
Acula-MD 29.09.2010 um 15:56:12 Uhr
Goto Top
Ich hatte mir das so vorgestellt:

Ich lasse die CMD mit Admin-Rechten laufen. Jedes Programm das ich von hier aus starte wird dann ebenfalls mit Admin-Rechten ausgeführt. Unabhängig von den Richtlinien für den angemeldeten User.

Würde doch theoretisch Sinn machen. Der Admin kann werkeln und der User hat keine Zugriffsmöglichkeit.

Scheinbar ist dem nicht so.

Vielen Dank für die Info.
goscho
goscho 29.09.2010 um 18:27:15 Uhr
Goto Top
Zitat von @Acula-MD:
Ich hatte mir das so vorgestellt:

Ich lasse die CMD mit Admin-Rechten laufen. Jedes Programm das ich von hier aus starte wird dann ebenfalls mit Admin-Rechten
ausgeführt. Unabhängig von den Richtlinien für den angemeldeten User.
Das geht so definitiv nicht. Wozu bräuchte man dann überhaupt noch Richtlinien, wenn alles an diesen Richtlinien vorbeiläuft?
Würde doch theoretisch Sinn machen. Der Admin kann werkeln und der User hat keine Zugriffsmöglichkeit.
Dann würde über kurz oder lang jeder (ungebetene Gast) mit den Credentials des admins 'werkeln', ob du ihn dazu aufgefordert hast oder nicht.

Kannst du mal kurz erkäutern, was du eigentlich genau vor hast?
Welches Programm oder welche Einstellung soll den mit höheren Rechten laufen?

Hast du dich mal mit GPOs beschäftigt? Dort kann viel (fast schon zu viel) für Client-PCs eingestellt werden, ohne dass User höhere Rechte benötigen.
filippg
filippg 29.09.2010 um 19:41:11 Uhr
Goto Top
Hallo,

Ich lasse die CMD mit Admin-Rechten laufen. Jedes Programm das ich von hier aus starte wird dann ebenfalls mit Admin-Rechten
ausgeführt. Unabhängig von den Richtlinien für den angemeldeten User.
Dein Denkfehler liegt in der Annahme, dass ein Admin alles dürfe. Das ist falsch. GPOs etwa schränken auch Admins ein.

Gruß

Filipp