Leidiges Thema UAC versus Security auf Server OS

[Magroll 10]

Hallo zusammen,

ich weiß das ist der 5 Millionste Thread zu dem Thema UAC, aber leider finde ich vor lauter "UAC dekativieren" Einträgen kaum noch sinnvolle Informationen zu diesem Thema...  :mad:

Prinzipiell geht es mir darum eine vernünftige Lösung zu finden, um mit mehreren Admins im AD, remote, virtuelle Server zu verwalten. Ich möchte hier ein vernünftiges Maß an Security herstellen, daher hat jeder Admin seine eigene Kennung und keiner arbeitet mit dem lokalen Adminaccount auf den Servern.

 

Ich denke ich habe die Thematik als solche hinreichend verstanden. Explorer.exe läuft in eigenem Sicherheitskontext, daher keine "Als Administrator ausführen" möglich usw. Nach wie vor besteht das Problem das bei einigen Ordnern die Meldung kommt "Sie verfügen momentan nicht über die Berechtigung für den Zugriff auf diesen Ordner" und ich habe auch verstanden warum, aber es gibt eben auch Admins, die dann einfach auf "Fortsetzen" klicken und damit Ihren lokalen Account fest in die NTFS Rechtestruktur einbrennen, was absolute %$"§%&$ ist....

 

Ich habe hierzu bisher 3 Lösungsansätze :

 

1. Für Laufwerke ungleich C:\ gebe ich auf der Root einer AD Gruppe in welcher alle Administratoren enthalten sind, Vollzugriff auf die Root des Volumes. Dies kann ich für C:\ so leider nicht machen, da auf diversen Ordnern explizite Rechte vergeben sind (Windows, Programme usw.) das kann man nicht manuell anpassen, jedenfalls nicht nach meinem Kenntnisstand.

 

2. Ich starte einen alternativen Dateimanager wie z.B. "Q-Dir" via rechte Maustaste "Als Administrator ausführen" und arbeite somit im administrativen Kontext und kann auf alles zugreifen.

 

3. Die allgemeine Lösung für dieses Problem Forum / Google / usw. scheint UAC deaktivieren zu sein und nicht weiter drüber nachdenken, das kommt für mich aus Security Sicht aber eigentlich nicht in Frage.

 

Daher meine Frage an alle die diese Problematik gut kennen und auch auf Security wert legen :

Habt Ihr noch andere gute pragmatische Lösungen um mit mehrerern Adminaccounts remote auf Servern arbeiten zu können und die UAC nicht abzuschalten? Oder bin ich wirklich einer der ganz wenigen, die noch versuchen die UAC nicht einfach abzuschalten und sich damit graue Haare holen?

 

Danke und Gruß,

Mag

 

[h-d.neuenfeldt 21]

Ich hab schon graue Haare und hab UAC abgeschaltet ...

[Daniel -MSFT- 129]

Du kannst den Explorer auch als Admin starten: http://m.heise.de/ct/hotline/Explorer-mit-Administratorrechten-1258468.html

Die PrivBar-Empfehlung kann ich auch nur unterstreichen.

bearbeitet 15. April 2014 von Daniel -MSFT-

[Magroll 10]

Hallo Daniel,

hab zwar noch etwas suchen müssen, da der C't Artikel unter http://www.heise.de/ct/hotline/Explorer-mit-Administratorrechten-1258468.html verlinkt ist und es von der PrivBar eine neue Version unter http://blogs.msdn.com/b/aaron_margosis/archive/2011/09/01/privbar-update.aspx gibt, aber das war dann kein Problem mehr, funktioniert auch unter 2012. Ich teste das mal noch ein wenig und baue das dann evt. in meinen Master mit ein. 

 

Auf jeden Fall eine gute und sinnvolle Alternative!

 

Danke,

Mag

[Daniel -MSFT- 129]

Gern geschehen. Ich habe den Link noch korrigiert.