looser27
Sep 16, 2019
view1441
view12
0
Goto Top

Upgrade Windows 10 1903 und Office 2010 Problem mit Userzertifikaten

GermansolvedQuestionWindows 10Microsoft
Guten Morgen,

ich habe bei uns ein Phänomen in o.g. Kombination festgestellt, welches nach dem Inplace-Upgrade auf 1903 auftritt.

Wir verwenden signierte Macros für diverse Dokumente. Die Userzertifikate werden per GPO bei der CA angefordert und verteilt.

Nach dem Upgrade werden die Dokumente jedoch mit der Warnung "Makros deaktiviert" geöffnet und funktionieren somit nicht.

Mein bisheriger Lösungsweg ist hier:

- Anmelden als Administrator am Client
- einmaliges Öffnen eines "Makro-Dokuments"
- Abmelden

Anschließend funktionieren die Dokumente wieder bei jedem Kollegen, der sich am PC anmeldet.

Vielleicht hat hier jemand das selbe Problem und einen eleganteren Lösungsweg.

Mittelfristig werde ich MS Office 2010 durch 2016 ersetzen, doch das wird erst im nächsten Jahr sein.

Gruß

Looser

P.S.: Wir führen immer Inplace-Upgrades an den Clients durch und es ist das erste Mal, dass dieses Phänomen auftritt.
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 495374

Url: https://administrator.de/contentid/495374

Printed on: April 28, 2024 at 05:04 o'clock

12 Comments
Latest comment
Goto Top
Member: emeriks
emeriks Sep 16, 2019 updated at 07:20:54 (UTC)
Goto Top
Hi,
Zitat von @Looser27:
Mein bisheriger Lösungsweg ist hier:
- Anmelden als Administrator am Client
Derselbe Benutzer, bloß Office als "als Administrator" gestartet?
Oder anderes Benutzerkonto, welches lokale Administrator-Rechte hat?

E.
Member: Looser27
Looser27 Sep 16, 2019 at 07:40:27 (UTC)
Goto Top
Anmeldung als Domain-Admin mit allen Rechten. Wir haben keine lokalen Admin-Accounts.
Member: emeriks
emeriks Sep 16, 2019 at 07:52:20 (UTC)
Goto Top
Könntest Du bitte meine Fragen beantworten?
Member: Looser27
Looser27 Sep 16, 2019 at 08:18:59 (UTC)
Goto Top
Hab ich doch..... face-wink

Ich melde mich als Domain-Admin am Client an.
Starte z.B. Excel 2010 und öffne ein Dokument mit Makros.
Dann schließe ich alles wieder und der Kollege kann sich wieder anmelden und wie gewohnt arbeiten.

Gruß

Looser
Member: emeriks
emeriks Sep 16, 2019 at 08:25:32 (UTC)
Goto Top
Zitat von @Looser27:
Hab ich doch..... face-wink
Nein, hast Du nicht.
Aber ich reime mir zusammen ...
Zitat von @emeriks:
Derselbe Benutzer, bloß Office als "als Administrator" gestartet?
Oder anderes Benutzerkonto, welches lokale Administrator-Rechte hat?
Nein. Ein anderer Benutzer, welcher lokale Adminrechte hat, meldet sich an und startet ohne "als Administrator ausführen" Excel und danach kann sich wieder ein "normaler" Benutzer (Nicht-Admin) anmelden und hat keine Probleme mehr.

Ist UAC aktiviert oder deaktiviert?
Member: Looser27
Looser27 Sep 16, 2019 at 09:17:58 (UTC)
Goto Top
Ein anderer Benutzer, welcher lokale Adminrechte hat, meldet sich an und startet ohne "als Administrator ausführen" Excel und danach kann sich wieder ein "normaler" Benutzer (Nicht-Admin) anmelden, und hat keine Probleme mehr.

Korrekt.

UAC ist deaktiviert.
Member: emeriks
Solution emeriks Sep 16, 2019 updated at 09:21:36 (UTC)
Goto Top
Zitat von @Looser27:
UAC ist deaktiviert.
Das erklärt.
Beim Ausführen mit einem Konto mit lokalen Admin-Rechten wird offensichtlich etwas im HKLM geändert. Das musst Du herausfinden (z.B. mittels PROCMON) und dann einfach per GPO auf die Computer verteilen.
Member: Looser27
Looser27 Sep 16, 2019 at 09:58:07 (UTC)
Goto Top
Das verwunderliche ist aber, dass es mit den neueren Office-Versionen 2013 und 2016 nicht zu diesem Phänomen kommt.

Aber ich werde das mal testen. Für diese Upgrade-Session bin ich nämlich schon durch.
Mitglied: 140913
140913 Sep 16, 2019 updated at 10:19:01 (UTC)
Goto Top
Zitat von @Looser27:

Anmeldung als Domain-Admin mit allen Rechten. Wir haben keine lokalen Admin-Accounts.
Und dazu dann noch die UAC ausgeschaltet, da kann man eigentlich nur den Kopf schütteln, vor allem wenn man dann noch versucht mit Zertifikaten die Sicherheit auf den Clients zu erhöhen ... Obwohl mit der Anmeldung eines "Domain-Admin" an einem nicht vertrauenswürdigen Client die Sicherheit schon vollkommen im A. ist und damit die gesamte Domain gefährdet ist. Da wurde offensichtlich nicht konsequent zu Ende gedacht, sorry.
Das ist wie wenn du vor dem Haus eine 10M Mauer hoch ziehst, aber im Garten die Terrassentüre offen stehen lässt.
Member: emeriks
emeriks Sep 16, 2019 updated at 10:59:40 (UTC)
Goto Top
Zitat von @140913:
Und dazu dann noch die UAC ausgeschaltet, da kann man eigentlich nur den Kopf schütteln, vor allem wenn man dann noch versucht mit Zertifikaten die Sicherheit auf den Clients zu erhöhen ...
Was hat das Eine mit dem Anderen zu tun?
UAC erhöht nicht die Sicherheit, nur das Empfinden derselben.
Obwohl mit der Anmeldung eines "Domain-Admin" an einem nicht vertrauenswürdigen Client die Sicherheit schon vollkommen im A. ist und damit die gesamte Domain gefährdet ist.
Das ist m.E. Quatsch, was Du da schreibst. Mit einem Domänen-Benutzer kann man sich nur an einem Domänenmitglied anmelden. Warum sollte ein Domänenmitglied nicht vertrauenswürdig sein? Eher das Gegenteil ...
Da wurde offensichtlich nicht konsequent zu Ende gedacht, sorry.
Von Dir jetzt, oder wie?
Mitglied: 140913
140913 Sep 16, 2019 updated at 11:09:37 (UTC)
Goto Top
Zitat von @emeriks:

Zitat von @140913:
Und dazu dann noch die UAC ausgeschaltet, da kann man eigentlich nur den Kopf schütteln, vor allem wenn man dann noch versucht mit Zertifikaten die Sicherheit auf den Clients zu erhöhen ...
Was hat das Eine mit dem Anderen zu tun?
Mit der Sicherheit allgemein.
UAC erhöht nicht die Sicherheit, nur das Empfinden derselben.
Obwohl mit der Anmeldung eines "Domain-Admin" an einem nicht vertrauenswürdigen Client die Sicherheit schon vollkommen im A. ist und damit die gesamte Domain gefährdet ist.
Das ist m.E. Quatsch, was Du da schreibst. Mit einem Domänen-Benutzer kann man sich nur an einem Domänenmitglied anmelden. Warum sollte ein Domänenmitglied nicht vertrauenswürdig sein? Eher das Gegenteil ...
Ein Login eines "Domain-Admins" an einem Client der Domain dem man nicht vollkommen vertrauen kann (kann kompromitiert sein und Hashes abgreifen und somit im schlimmsten Fall die Domäne übernehmen), ist ein absolutes NO-GO. Domain-Admin-Konten verwendet man keinesfalls zur Wartung von Client-Rechnern dafür erstellt man sich optimalerweise temporär aktivierte lokale Admin-Konten und Accounts.

Da wurde offensichtlich nicht konsequent zu Ende gedacht, sorry.
Von Dir jetzt, oder wie?
Nö. Beschäftige dich mal mit GoldenTicket, Mimikatz&Co. dann verstehst du worauf ich hinaus will.
Member: emeriks
emeriks Sep 16, 2019 at 11:14:15 (UTC)
Goto Top
Zitat von @140913:
Ein Login eines "Domain-Admins" an einem Client der Domain dem man nicht vollkommen vertrauen kann (kann kompromitiert sein und Hashes abgreifen und somit im schlimmsten Fall die Domäne übernehmen), ist ein absolutes NO-GO. Domain-Admin-Konten verwendet man keinesfalls zur Wartung von Client-Rechnern dafür erstellt man sich optimalerweise temporär aktivierte lokale Admin-Konten und Accounts.
Ganz anderes Thema, und in Deinen Steno-Kommentaren nicht erkennbar.

Nö. Beschäftige dich mal mit GoldenTicket, Mimikatz&Co. dann verstehst du worauf ich hinaus will.
Da bin ich zuhause face-wink
GermansolvedQuestionWindows 10Microsoft
Hotly discussed
admtechDeveloper diary: Release 6.1admtechDaniEnd of availability for classic Teams clientDani