Administrator-Programm mit Benutzerrechten ausführen

[Poehli 10]

Hallo,

es mag nach einem trivialem Problem klingen, trotzdem komm ich nicht weiter.

 

System: W10 Prof,

Zugriff als: Domänen-Admin, Lokaler Admin, Domänen-Benutzer

 

wir haben hier ein Steuerprogramm für Hardware, zu dem es ein weiteres, eigenständiges " Konfigurationsprogramm" gibt. Das Steuerprogramm ist für W7 aufwärts ausgelegt und läuft tadellos mit normalen Benutzerrechten.

Damit nicht jeder die Konfiguration befummeln kann hat der Hersteller das " Konfigurationsprogramm" so ausgelegt das es scheinbar von Haus aus Administratorrechte benötigt um gestartet zu werden. Das Icon enthält serienmäßig so einen MS-Schutzschild mit dran.

Wenn man als Admin angemeldet ist erscheint nur der UAC Ja/Nein Dialog, was ja ok ist, aber als Standard benutzer wird halt Adminbenutzername und Passwort abgefragt.

Ich verstehe ja prinzipiell den Gedanke dahinter, nur macht das hier keinen Sinn, wieso muss der Mitarbeiter jedesmal den SysAdministrator rufen wenn er die Konfiguration seines Steuerprogramms ändern will.

 

Was ich versucht habe:

 

-Kompartibilitätsmodus - bringt nix, außerdem ist das Programm nicht so alt als das es Kompartibilität mit alten Betriebssystemen benötigt

- Rechtsklick/Als Administrator ausführen - geht natürlich, nur muss ich ja trotzdem jedesmal antanzen um Admin Benutzer & Kennwort einzugeben.

- im Kontextmenü der .exe/ Eigenschaften /Verknüpfung/ Erweitert / als  Administrator ausführen markiert,

Änderungen per AdminPasswort bestätigt....... bringt auch nichts, trotzdem wird bei Programmstart jedesmal die UAC Abfrage aufgerufen.

 

Im Prinzip benötigt das Programm gar keine erhöhten Rechte, es macht nichts am System. Aber vermutlich kann ich es ja nicht zwingen mit Benutzerrechten zu laufen. Wäre es aber möglich dem Programmstart die UAC Informationen einfach ..."mitzugeben"?

 

Das ist jetzt bereits das zweite oder dritte Programm hier was bei der Bedienung dieses Verhalten hat, so langsam wäre mal eine Lösung interessant....

Ich habe mich schon gefragt ob ich die Aufgabenplanung mittels "ausführen als Benutzer" dafür missbrauchen kann.

 

[NilsK 2.791]

Moin,

 

wenn das Programm einen UAC-Dialog anfordert, dann befolgt Windows das. Das ist im Programmcode (Manifest) so hinterlegt. Sinnvolle Umschiffungen gibt es nicht.

Du müsstest das also mit dem Hersteller klären.

 

Gruß, Nils

[daabm 1.189]

Man "könnte" das Manifest ändern lassen - durch den Hersteller. (Ich weiß nicht, ob ein application.exe.manifest das integrierte Manifest überschreibt - wenn ich raten soll: Nein)

 

Man "könnte" dem User, der das machen muß, einen zweiten Account mit lokalen Admin-Rechten geben.

 

Man könnte aber auch mal schauen, was im Manifest wirklich steht - ist das "requireAdministrator" oder "highestAvailable"? Im zweiten Fall kommt nämlich ebenfalls ein Anmeldedialog der UAC, nur könnte der User da dann seine eigenen Credentials eintippen. So macht das z.B. auch die Ereignisanzeige.

Wie man schaut? Exe mit Notepad öffnen - das Manifest kommt im Klartext relativ weit hinten. Oder mt.exe aus dem SDK.

[Weingeist 157]

Dein Freund ist der Prozess-Explorer von Sys-Internals sowie andere Tools der SysInternals. Damit kannst Du alle Zugriffe auf Registry, Dateien etc. Protokollieren. Normalerweise reicht es, wenn Du Schreib und ändern-rechte für die Keys, ordner etc. vergibst. --> z.B. per GPO an bestimmte Benutzergruppen wenn mehrere Rechner betroffen sind. Klappt meistens, aber nicht immer.

bearbeitet 4. Februar 2016 von Weingeist

[zahni 524]

Man könnte auch versuchen eine neue .manifest Datei in den Programmordner zu legen oder selbige mit einem Ressource-Editor zu ändern.

[Poehli 10]

Ok, also als kurzfristigen Workaround hilft natürlich erst mal die Sache mit dem zweiten Account.

 

Die Manifestgeschichte klingt genauso interessant wie möglicherweise aufwendig, das muss auf die TODO Liste.....

 

Danke!

[NilsK 2.791]

Moin,

 

natürlich kann man ein vorhandenes Manifest nicht einfach so ersetzen oder manipulieren. Das wäre schon eine Sache für den Hersteller.

 

Gruß, Nils

[zahni 524]

Über eine externe Datei geht das. Zumindest durfte ich das mal bei einer Anwendung  "probieren". Da war irgendein Assembly falsch verknüpft.

Wer ein Beispiel sucht: Bei Office 2010 gibt es eine msaccess.exe.manifest .

[NilsK 2.791]

Moin,

 

also, meines Wissens wird ein externes Manifest nur genutzt, wenn in der Applikation keins ist. Da das aber der Fall zu sein scheint ...

 

Aber an der Stelle kann ich jetzt nichts Ernsthaftes mehr beitragen.

 

Gruß, Nils

[Weingeist 157]

Habe mir diese Manifest-Geschichte auch mal angeschaut. Klingt interessant. Allerdings habe ich nichts gefunden wie man damit tatsächlich Programme im Kompatibilitäts-Modus ausführen kann für Pre-Vista. Entweder gibts keine GUID's dafür oder sie sind schlicht niemandem bekannt oder ich finde sie einfach ned =)

 

Sobald man einer EXE zusätzlich Kompatibilitäts-Infos hinzufügt, kommt wieder die UAC-Meldung und die Manifest-Einstellungen scheinen nicht zu greifen.

 

Des weiteren muss die Applikation in "System32" oder "Program Files" liegen damit der Flag für das verhindern der UAC-Meldung greift. (UiAccess="true") weil der nur in einem "sicheren Speicherort" funktioniert.

 

Bezüglich Deiner Frage mit der Aufgabenplanung: Jo, damit kann man auch einiges machen. Ist aber recht anfällig und unpraktisch wie ich finde.

 

 

Mit dem Microsoft Compatibility Administrator funktioniert hier ein sehr widerspenstiges Programm auf Anhieb:

- Anleitung: http://meridian.ws/wordpress/?p=306

- MS-Download: http://www.microsoft.com/en-us/download/details.aspx?id=7352

 

EDIT: Allerdings ist dabei fraglich ob du eben auch einen Kompatibilitätsproblem hast oder schlicht nur Zugriffsprobleme die sich mit anderen Settings vermeiden lassen. --> Herausfinden was die erhöhten Rechte erfordert.

bearbeitet 11. Februar 2016 von Weingeist