Laden der Gruppenrichtlinie unterbinden ?

[MarcoW75 10]

Hallo!

Folgendes Problem:Ich befinde mich zur Zeit in einer Maßnahme in einem Bildungsinstitut,welches noch im Aufbau ist. Da ich selbst auch aus der IT-Richtung komme (Datenbankadmin), wurde ich ersatzweise dazu verdonnert,beim Aufbau des neuen PC-Kabinettes mitzuwirken,welches das alte Kabinett...allemal besser,als sich mit Word und Excel für Anfänger zu langweilen. Natürlich existiert auch ein Server,an den momentan auch die Rechner des alten PC-Kabinetts (alles Rechner mit PII 500Mhz und Win2k drauf*hust*) hängen. Momentan ist da aber noch nicht so viel zu tun und ich konnte mich nach langer Zeit mal mit Domänen,Active Directory und Gruppenrichtlinien zu beschäftigen. Die alten Client-Rechner ziehen die Gruppenrichtlinien offenbar vom Server,bevor man zum eigentlichen Login kommt. Da ich Win2k in Sachen eigene Anwendung komplett übersprungen habe,stellt sich mir folgende Frage: Inwiefern ist es für beschränkte User eigentlich möglich,sich ohne wirksame Gruppenrichtlinien anzumelden ? Und ist es möglich,als eingeloggter Admin das Laden der Gruppenrichtlinie lokal (also am Client) für einzelne User abzuschalten ? Wenn ja,wie ?

 

Marco

[robotto7831a 10]

Hallo,

 

Gruppenrichtlinien kann ein einfacher Benutzer oder lokaler Admin nicht ausschalten.

 

Man kann nur, wenn man die nötigen Rechte hat, die Gruppenrichtlinie so ändern, dass diese an Client PC X47 nicht angewendet wird.

 

Frank

[MarcoW75 10]

Hallo,

 

Gruppenrichtlinien kann ein einfacher Benutzer oder lokaler Admin nicht ausschalten.

 

Man kann nur, wenn man die nötigen Rechte hat, die Gruppenrichtlinie so ändern, dass diese an Client PC X47 nicht angewendet wird.

 

Frank

 

Danke für deine Antwort. Aber wie stellt der lokale Admin das praktisch an ?

[robotto7831a 10]

Nochmal das hat jetzt nichts mit lokaler Admin oder nicht lokaler Admin zu tun.

 

Ein Domänenadministrator oder ein Benutzer der das Recht bekommen hat kann nur die Gruppenrichtlinie im AD bearbeiten.

 

Frank

[IThome 10]

Der lokale Admin gar nicht (jedenfalls nicht einfach so), der Domänenadmin kann das und soll das auch, wenn es denn notwendig ist. Wenn lokale Benutzer die aus bestimmten Gründen angewendeten Richtlinien einfach ignorieren könnten, würden sie irgendwie keinen Sinn haben.

Der Domänenadmin z.B. kann durch eine Sicherheitsfilterung der Gruppenrichtlinien erreichen, dass Richtlinien nur für gewisse Benutzer und/oder Computer gültig sind.

Zu dem Thema "Wie umgehe ich Domänenrichtlinien (wenn ich kein dazu berechtigter Benutzer bin)" wirst Du hier keine Antwort erhalten. Möchtest Du allerdings nur wissen, wie man sowas steuert, sind wir natürlich gerne bereit, Dir Deine Fragen zu beantworten. :)

[NorbertFe 1.812]

Ein Admin ist ein Admin ist ein Admin. Natürlich kann der lokale Admin verhindern, dass die Gruppenrichtlinien ausgeführt werden. Wie er das anstellt, muß er natürlich wissen. Man kann es ihm erschweren, aber es komplett zu verhindern geht einfach nicht.

 

Bye

Norbert

[MarcoW75 10]

Zu dem Thema "Wie umgehe ich Domänenrichtlinien (wenn ich kein dazu berechtigter Benutzer bin)" wirst Du hier keine Antwort erhalten. Möchtest Du allerdings nur wissen, wie man sowas steuert, sind wir natürlich gerne bereit, Dir Deine Fragen zu beantworten. :)

 

Genau das wollte ich wissen.

Es geht mir nicht darum, selbst Domänenrichtlinien zu umgehen, es geht mir lediglich darum zu erfahren, ob und wie sowas möglich ist. Im Gegensatz zu den meisten Usern hier bin ich "nur" ein kleiner Datenbankadministrator und kann nur mit den nötigsten Prüfungen aufwarten,auch wenn mein Wissen wesentlich breiter gefächert ist und ich auch mehr Prüfungen problemlos schaffen würde. Würde ich vielleicht auch tun, wenn mir was an überflüssigem Papierkram liegen würde. Auch wenn einige User vielleicht anderer Meinung sein mögen: Niemand kann ALLES über den IT-Bereich wissen, auch ich nicht...sonst hätte ich nicht gefragt. Ich habe in den letzten 2 Jahren die meiste Zeit in erster Linie bei einem ausbeuterischen, pedantischen Chef mehr oder weniger sinnvolle Datenbanken zusammengeklimpert....aber das ist eine andere Geschichte. Sachen wie Active Directory,Domänen und Gruppenrichtlinien waren zwar ein Teil meiner Ausbildung,aber nur ein sehr kleiner Teil. Da ist gerade genug Zeit,um das Notwendigste zu lernen...wie richtet man Gruppenrichtlinien ein,wie weist man sie Usern/Usergruppen zu usw. Da ist aber keine Zeit, die Sache mal aus der Sicht des Users oder gar eines Angreifers zu sehen. Um den "Feind" zu bekämpfen,muss man mögliche Angriffspunkte kennen oder lernen,wie man sie erkennt. Sowas lernt man im Normalfall erst in der Praxis, so man die "Macht" über ein eigenes Netzwerk bekommt.Ich hatte in diesen 2 Jahren zwar technisch gesehen die Rechte im Netzwerk,aber ganz einfach nicht die Zeit,um da selbst großartig Erfahrungen außerhalb meines Berufes zu sammeln. Wenn hier also jemand fragt,ob es denn Möglichkeiten gibt, als User oder lokaler Admin am Clientrechner etwas am Umfang oder der Wirksamkeit der Gruppenrichtlinien zu ändern,muss das nicht automatisch immer mit unlauteren Absichten zu tun haben. Es kann auch einfach Wissbegier eines Kollegen sein,der seinen Horizont erweitern will. Denkt mal drüber nach.

[Dr.Melzer 191]

@MarcoW75:

 

Bitte schreibe doch in Zukunft leserlicher! Ein Text der einfach, ohne Absätze, als Block da steht ist nur schwer zu lesen, was die Bereitschaft zu helfen deutlich senkt.

[IThome 10]

Das sehe ich ja alles ein und ich unterstelle Dir ja auch nichts. Allerdings können wir Dir hier trotzdem keine Anleitung zur Umgehung der Anwendung von Richtlinien (oder zur Umgehung von was auch immer) posten. Wie u.a. Norbert schon geschrieben hat, ist es möglich, da der Administrator weitreichende Befugnisse hat.

Wir können Dir beschreiben, wie die Richtlinienfunktionalität auf "normalem" Wege funktioniert und das ist alles, was ich geschrieben habe ...