temporäre Adminrechte

[HeldImZelt]

Hallo,
ich habe in Vista ein Konto runtergestuft zum Standardbenutzer. Jetzt möchte ich einen Explorer mit Adminrechten starten. In XP habe ich das hiermit gemacht:
@runas /user:administrator "explorer.exe /e,d:\"
Dazu muss man sicherstellen, dass vorher der Explorer des Adminkontos die Funktion 'Ordnerfenster in einem eigenen Prozess starten' aktiviert hat.

Probiere ich das Gleiche in Vista, passiert nichts. Versuche ich eine Explorer.exe Verknüpfung zu erstellen mit 'Als Administrator starten', bekomme ich scheinbar keine Adminrechte, bzw. kann diverse Dateien nicht löschen im Windowsordner. Es wird auch nicht nach einem Passwort gefragt. UAC ist deaktiviert. Eine 'Öffnen als...' Funktion scheint es nicht mehr zu geben. Ich möchte aber nicht ständig den Benutzer wechseln.

Wie kann ich jetzt einen 'Superexplorer' in Vista als Standardbenutzer starten? Oder bieten sich andere (ergonomisch sinnvolle) Konzepte an?

[nobex]

Sollte UAC nicht Dein Problem lösen?

[MooN]

Da die ursprüngliche Quelle down ist, kann ich nur das hier (http://www.rokop-security.de/index.php?showtopic=15433&view=findpost&p=214688) anbieten

runas hat unter Vista eine etwas andere Funktion als in XP.

Auf der Kommandozeile konnte in XP mit runas ein Programm unter Privilegienerhöhung gestartet werden. Dies ist in Vista nicht mehr möglich. Hier lassen sich mit runas zwar Programme unter anderem Account starten, aber nur mit gleichen oder geringeren Rechten.

Protected Mode Als Shell-Erweiterung für den Explorer fügt runas nicht mehr den Eintrag "Ausführen als…" hinzu, sondern "Als Administrator ausführen". Das ist sehr praktisch, um alle Dateitypen, für die ein weiter runas-Eintrag vorhanden ist, unter Privilegienerhöhung starten zu können.

Der Explorer und der Internet Explorer10 lassen sich gar nicht mehr unter Privilegienerhöhung starten. Alternativ läßt sich der Total Commander nutzen. Das gibt die Möglichkeit, mehrere Dateien nacheinander mit erhöhten Privilegien auszuführen, ohne jedesmal die UAC-Abfrage beantworten zu müssen und sich dennoch an das LUA-Prinzip zu halten.


Frag mich nicht, wie der Verfasser auf "InternetExplorer10" kommt...

[Gast]

genau dafür hat MS in vista UAC erfunden.

[HeldImZelt]

UAC kann wohl kaum mit einem Passwort versehen werden. Es geht darum einen Benutzer oder einen öffentlichen Computer in die Schranken zu weisen.

Protected Mode Als Shell-Erweiterung für den Explorer fügt runas nicht mehr den Eintrag "Ausführen als…" hinzu, sondern "Als Administrator ausführen". Das ist sehr praktisch, um alle Dateitypen, für die ein weiter runas-Eintrag vorhanden ist, unter Privilegienerhöhung starten zu können.
Wo sind diese runas Einträge?

[nobex]

UAC kann wohl kaum mit einem Passwort versehen werden.
Wozu? Soll bspw. eine Datei im Windows-Ordner gelöscht werden (wie im Eröffnungspost beschrieben), so merkt UAC, dass die Rechte des Anwenders nicht ausreichen und fragt nach dem Admin-Kennwort.

[_Gast]

Du brauchst "sudo" für Vista: http://www.vistablog.at/stories/28710/

[HeldImZelt]

Wozu? Soll bspw. eine Datei im Windows-Ordner gelöscht werden (wie im Eröffnungspost beschrieben), so merkt UAC, dass die Rechte des Anwenders nicht ausreichen und fragt nach dem Admin-Kennwort.
Klingt ganz gut, schau ich mir mal an. Auf das UAC würde ich aber nach Möglichkeit verzichten wollen.

Du brauchst "sudo" für Vista: http://www.vistablog.at/stories/28710/
sudo format c: << yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy :D

Das wär's natürlich... schau ich mir an.

[Monger]

Probiere ich das Gleiche in Vista, passiert nichts. Versuche ich eine Explorer.exe Verknüpfung zu erstellen mit 'Als Administrator starten', bekomme ich scheinbar keine Adminrechte, bzw. kann diverse Dateien nicht löschen im Windowsordner.Welche Dateien denn genau?
Im Windows Verzeichnis hat standardmäßig selbst der Admin keine Rechte, sondern nur bestimmte Dienste wie der Trusted Installer...

Wie so oft, hört sich das spontan erstmal nach einer brutalen Vergewaltigung des Rechtesystems an. Was konkret willst du denn eigentlich tun?

[Gast]

Klingt ganz gut, schau ich mir mal an. Auf das UAC würde ich aber nach Möglichkeit verzichten wollen.wieso?

es macht genau das was ausführen als gemacht hat nur viel komfortabler...um die passwortabfrage zu bekommen darf dein user natürlich nicht mitglied der administratorengruppe sein und der built in administrator muss ein passwort gesetzt haben

[Gast]

UAC kann wohl kaum mit einem Passwort versehen werden. Es geht darum einen Benutzer oder einen öffentlichen Computer in die Schranken zu weisen.

dann sollte dieser benutzer wohl kaum irgendwelche adminrechte bekommen. UAC ist für ein single-user-system, wo der einzige user auch admin ist, aber im normalfall trotzdem eingeschränkte rechte hat.

gerade den explorer sollte man nicht mit höchsten rechten laufen lassen, da diese weitervererbt werden.

wenn also eine anwendung von einem explorer mit adminrechten aus gestartet wird, hat diese automatisch auch adminrechte.

[HeldImZelt]

Das mit dem UAC ist schon nicht schlecht. Es ist eigentlich nur ein kosmetisches Problem, was mich daran stört. Der betroffene Benutzer soll von Passworteingabemöglichkeiten am besten gar nicht erst was erfahren. Dann will er das Passwort haben und die ganze Geschichte macht keinen Sinn mehr.

Konkret geht es darum einen technisch unerfahrenen Computeranwender vor destruktiver Bedienung zu schützen. Wenn nicht er das System platt macht, sind es die allwissenden Freunde und Bekannte. Daher werden jetzt aus Sicherheitsgründen die Adminrechte entzogen.

Die ganzen Rechteanhebungen sind ausschließlich für mich als unterstützende Werkzeuge gedacht. Diese habe ich meist in einem Ordner als Verknüpfungen auf dem Desktop, wie Explorer, Shell, Verwaltung, Systemsteuerung, msconfig, regedit, usw. Natürlich müsste ich auch Programme und Spiele (nach Möglichkeit im gleichen Benutzerkontext) mit Adminrechten ausführen können.

[Sephiroth]

Die Quelle gibt es noch, nur der link bei Rokop Security war nicht ganz richtig

http://dr-luthardt.de/vista.htm#run

Wo sind diese runas Einträge?
keine. das ist fehler bei der übernahme des original textes. ;)

Das mit dem UAC ist schon nicht schlecht. Es ist eigentlich nur ein kosmetisches Problem, was mich daran stört. Der betroffene Benutzer soll von Passworteingabemöglichkeiten am besten gar nicht erst was erfahren. Dann will er das Passwort haben und die ganze Geschichte macht keinen Sinn mehr.
Dann stell UAC auf silent, so dass automatisch die höheren Rechte verweigert werden.

Nachtrag
Es gibt auch noch das Elevation PowerToy for Vista (http://technet.microsoft.com/en-us/magazine/cc510320.aspx)

[HeldImZelt]

Ich habe den angemeldeten Benutzer eingeschränkt (>>Benutzer) und UAC (mit Passworteingabe) erscheint ordnungsgemäß wenn Adminrechte benötigt werden. Dort gebe ich derzeit das Passwort eines anderen Adminaccounts an.

Kann man es auch so gestalten, dass der Benutzerkontext nicht gewechselt wird und trotzdem eine Passwortaufforderung kommt (z.B. das eigene Passwort)? Man kann ja Autologon aktivieren, damit ohne Eingabe angemeldet wird.

Es geht an sich auch so, aber manche Programme speichern ihre Settings bei der Installation (mit Adminrechten) in die Benutzerumgebung des Admins.

[nobex]

Der User müsste für die Zeit der Installation also in die Admin-Gruppe. Dies wird nicht möglich sein, da Windows in einer laufenden Sitzung die Gruppenzugehörigkeit und somit die eff. Rechte des Users nicht aktualisiert.

[HeldImZelt]

An sich geht es schon als Admin mit UAC, es kommt lediglich keine Passworteingabe. Das müsste irgendwie erzwungen werden.

[nobex]

An sich geht es schon als Admin mit UAC, es kommt lediglich keine Passworteingabe.
Als Admin haste Du Dich ja schon bei der Anmeldung beglaubigt, es kommt also nur die Warnung. Als User startest Du mit der Kennwort-Eingabe eine 2. (Admin-)Sitzung. Darum werden die Einstellungen, welche dort getätigt werden, für das Admin-Konto übernommen (wie in Deinem vorletzten Posting bemängelt).