28.03.2017

8284

Nicht Administratoren Installation von Software erlauben

Hallo zusammen,

gibt es eine Möglichkeit einem User ohne Adminrechte das Installationsrecht zu gewähren?

Möchte in Zukunft allen Usern die Adminrechte entziehen.

Allerdings benötigen manche User immer wieder bestimmte Tools oder diese Tools wie bsp. PDF24 wollen ein Update machen.

Wir Admins können nicht zu jedem User dann hin und die Admindaten eintragen.

Wäre gut wenn es dafür eine Richtlinie gibt bzw. eine lokale Einstellungsmöglichkeit an die jeweiligen Rechnern.

Im Internet fand ich leider nichts berauschendes dazu.

Clients sind W7 und 10

Hoffe auf Tipps.

Lg.

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 333433

Url: https://administrator.de/contentid/333433

Ausgedruckt am: 22.11.2024 um 15:11 Uhr

15 Kommentare

Neuester Kommentar

Moin,

du möchtest also ein Feuer mit Feuer löschen?

Du merkst schon das dein Vorhaben Blödsinn ist?

Gruß

Moin,

schau dir mal RunAsSpc an.

Gruß

Zitat von @Kraemer:

Moin,

du möchtest also ein Feuer mit Feuer löschen?

Du merkst schon das dein Vorhaben Blödsinn ist?

Gruß

Ich denke das dein Kommentar eher Blödsinn ist und unnötig.

Weder ein Vorschlag noch eine Lösung.

Das hätte man sich auch sparen können.

Gruß

Moin,

Wir Admins können nicht zu jedem User dann hin und die Admindaten eintragen.

habt ihr schon mal an eine Softwareverteilung ala WSUS Package Publisher gedacht?
Ich denke mit Stichwörtern wie Silver bzw. Golden Ticket ist das Thema schnell vom Tisch.

Gruß,
Dani

Ja daran dachte ich auch schon.

Aber es gibt ja einige User die Tools benötigen die sonst keiner hat.
Da möchte ich nicht für jeden dieser User immer wieder nach Updates schauen.

Teilweise müssen Tools direkt installiert werden während der Kunde dabei ist. Da würde nicht viel Zeit Übrig bleiben bis ein Admin
Zeit hat und mal schauen kann.

Lg

1. Wenn es eine Domäne ist, füge die Gruppe "Domänen Benutzer" der Gruppe "Domänen Admins" hinzu.
2. Wenn es eine Arbeitsgruppe ist, füge an jedem Rechner den "Authentifizierten Benutzer" der Gruppe "Administratoren" hinzu.
3. Bereite Dich für einen Sturm der riesigen Probleme vor.
4. Halte einen Rücksack für den schnellen Auslandsflucht oder Knastgang bereit.

Zitat von @WinLiCLI:
Weder ein Vorschlag noch eine Lösung.

mein Kommentar ist exakt beides! Du brauchst nichts ändern weil sich nichts ändert!

Zitat von @AlexWenok:

1. Wenn es eine Domäne ist, füge die Gruppe "Domänen Benutzer" der Gruppe "Domänen Admins" hinzu.

UM GOTTES WILLEN!!! Da kann er sich gleich die Kehle durchschneiden und von der Klippe springen.

2. Wenn es eine Arbeitsgruppe ist, füge an jedem Rechner den "Authentifizierten Benutzer" der Gruppe "Administratoren" hinzu.

Wird ja immer besser

3. Bereite Dich für einen Sturm der riesigen Probleme vor.

Der Weltuntergang ist nahe

4. Halte einen Rücksack für den schnellen Auslandsflucht oder Knastgang bereit.

Lebenslange Diät auf Wasser und Brot hat so ein Admin redlich verdient !!

Geb den Jungs eine VM, darin können sie sich austoben.

Gruß p.

Aber es gibt ja einige User die Tools benötigen die sonst keiner hat. Da möchte ich nicht für jeden dieser User immer wieder nach Updates schauen.

Einen Tod muss du sterben... Sicherheit vs. Bequemlichkeit. Und solche Tools wie Kollege @nikoatit genannt hat, bringen keinen (großen) Sicherheitsgewinn. Denn du musst das Design so flexibel halten, dass jede beliebige Datei ausgeführt werden kann. Somit kannst du die lokalen Administrator-Rechte beibehalten und die Zeit sinnvoll nutzen (z.B. das schöne Wetter heute im Kaffee genießen).

Teilweise müssen Tools direkt installiert werden während der Kunde dabei ist. Da würde nicht viel Zeit Übrig bleiben bis ein Admin

Zeit hat und mal schauen kann.
Wenn es zu einem Sicherheitsvorfall kommt geht es am Ende des Tages um deinen Arsch! Im Zeitalter von Datendiebstahl, Malware, Golden/Silver Tickets sollte jede IT-Abteilung den Schuss gehört haben. Solche Vorschläge wie Kollege @AlexWenok genannt hat, vergisst du bittte ganz schnell.

Gruß,
Dani

Hallo,

Zitat von @WinLiCLI:
Aber es gibt

Ein aber gibt es immer

Da möchte ich nicht für jeden dieser User immer wieder nach Updates schauen.

Mal bei Beyondtrust und ihr Powerbroker vorbeigeschaut. Die können das was du willst. Waschen aber sich nicht nassmachen

https://www.beyondtrust.com/products/powerbroker-for-windows/

Gruß,
Peter

Ich dachte sowieso, er ist Lemming-Admin: nach dem Punkt 1, kann er dann an die Klippe.

Schau mal den Application Manager von AppSense an. Der kann das. Dort hast du auch die Möglichkeit zu bestimme welche exe ausgeführt werden dürfen. z.B nur von MS zertifizierte, je nach Metadaten oder kannst auch einen Hash erstellen und die exe zu Verfügung stellen.

twisters

Diese Frage kommt ständig und die vorgeschlagenen Wege und Diskussionen sind stets die selben - hast Du die Forensuche benutzt?
Such mal in der Forensuche nach "powerbroker".

Mich würde mal interessieren, welche Tools das alles so sind.
Und warum der eine User das haben darf/soll, der andere aber nicht.

Bei uns werden auch unterschiedliche Tools benutzt, weil es unterschiedliche Bereiche in einem Unternehmen gibt. Dennoch haben alle Rechner den selben Aufbau an Software....weil es einfach mehr Sinn macht, alle Rechner gleich zu haben, zumindest, was die Standardtools angeht.
Spezialsoftware, wie CAD-Software, wird natürlich nur in den Beriechen ausgebracht, wo es nötig ist...aber Tools...die kommen alle drauf und gut ist.
So kann ich bei Bedarf auch mal schnell Rechner austauschen....und muss nicht großartig nachsehen, was der User grad für ne Konfiguration hat und was ich zum Win7 bzw. 10 noch alles nachziehen muss, damit der User glücklich ist.

Spart ne Menge Zeit....