Gpo Software installation verbieten

Hallo,

Dann lautet die Devise " Ein Admin ist ein Admin ist ein Admin ist ein Admin". Auch wenn und falls du es schaffst den Admin das zu Verbieten, da er selber Admin ist, wie willst du verhindern das er sich das Recht wieder einräumt? Ein Admin ist ein Admin ist ein Admin ist ein Admin.

Du kennst ja sicherlich das Rechtsfahrgebot auch auf Autobahnen, aber ehrlich, wie oft tust du es nicht? Und warum nicht? Weil du es kannst. Ein Admin ist ein Admin ist ein Admin ist ein Admin....

Gruß,
Peter

Hallo,

Si

Dazu muss er ja nicht die GPO ändern, warum auch? Ein Außerkraftsetzung der angewendeten GPOs reicht doch. Ein Admin ist ein Admin ist ein Admin ist ein Admin...

Ihr habt eine Schließanlage für alle Türen. Der Cheffe hat als einziger den Schlüssel zur Haupt Tür. Du aber nur einen zum Hintereingang. Wie will dein Cheffe jetzt verhindern das du sein Büro durchwühlst, weil du als Admin natürlich per (dein) Schließanlagenschlüssel jederzeit in jedes Büro reinkommen darfst und musst. Ein Admin ist ein Admin ist ein Admin ist ein Admin und wenn nicht ist er kein Admin ansonsten ist er ein Admin ....

Gruß,
Peter

Das macht man eigentlich nicht mit GPO sondern mit dem ActiveDirectory Management Center oder dem snap-in Benutzer und Computer... Oder was meinst du genau?

Moin.
Gar nicht. Admin ist Admin, wie hier schon mehrfach geschrieben wurde.
Lokale User haben keine Admin-Rechte, basta.

Cheers,
jsysde

Hallo,

Ein Admin ist ein Admin ist ein Admin.... Ob deine Lokalen Admins das Wissen oder Fähigkeiten haben ist eine andere Frage. So wie du zwar ein Auto fährst aber nicht zwingend nur weil du ein Werkzeugkasten besitzt diesen auch selber Reparieren willst / tust / Modifizierst. Ein Admin ist ein Admin ist ein Admin. jemand der mehr als das kann was du vermutest kann so alles auf sein Blech tun was er will ohne das du es verhindern kannst. Er ist Gott über sein Blech...

http://blogs.technet.com/b/markrussinovich/archive/2005/04/30/circumven ...
http://blogs.technet.com/b/markrussinovich/archive/2005/12/12/circumven ...
http://www.grouppolicy.biz/2015/03/how-to-stop-local-administrators-fro ...

Ein Admin ist ein Admin ist ein Admin...

Was genau willst du per GPO da tun? Benutzer Verwalten fängt beim anlegen eines Benutzers an und hört beim Löschen des Benutzers auf und alle Aufgaben zwischendurch. Was also willst du tun?

Gruß,
Peter

Moin,

Das Problem liegt hier wohl darin, dass du nicht genau weißt, wie das Rechtesystem funktioniert.

Rechte geben und nehmen ist Adminsache, soweit wirst du bestimmt schon sein. Das Problem was du nun noch nicht erkennst ist: GPOs werden auf den Domain Controllern bestimmt und dann an die Clients verteilt. aber GPOs sind nun mal GruppenRICHTLINIEN nicht Gesetze. Jeder Client entscheidet dann ob und wie sie angewendet werden. Und die Einstellungsgewalt hat halt der lokale Admin.

Mal grob den Unterscheid zwischen lokalem Admin und Domänenadmin:
ein Domänenadmin kann Änderungen vornehmen, die die gesamte Domäne betreffen. Hierfür ändert er z.B. Gruppenrichtlinien. Außerdem sind Domänenadmins automatisch auch auf jedem Domänenclient lokale Admins.

Ein lokaler Admin ist für den lokalen Client verantwortlich und kann mit diesem ALLES tun, was er will. Auch aus der Domäne entfernen und eigene Gruppenrichtlinien definieren. (Denn es gibt auch lokale Gruppenrichtlinenen, das sind übrigens die einzigen denen ein lokaler Admin unterliegt.)

Erkennst du das Problem? Du kannst auf den Clients als Domänenadmin nur Softwareinstallieren, weil es der lokale Admin darf, da du als Domänenadmin automatisch auch lokaler Admin bist.

Und auch wenn du jetzt vielleicht schräg schaust und es für komisch hälst, es ist eigentlich sogar ein Sicherheitsfeature! :D

Denn diese Regelung stellt sicher, dass ein Angreifer dir nicht die komplette Kontrolle über dein Systemenziehen kann, wenn er ihn in seine Domäne hebt. Solange du einen lokalen Adminzugang hast, kommst du aus der Misere immer heraus. Das Szenario wirkt komisch und beinhaltet dass der Angreifer selbst nicht unbedingt die beste Variante wählt, aber zum verstehen des Konzepts trägt es vielleicht bei.


Um also deine Frage zu beantworten:
Gar nicht. Wenn die User adminrechte haben, kannst du ihnen nicht verbieten selbige auszuüben.

Gruß
Chris