Programme starten im falschen Benutzerkontext

[Lurtz]

Ich habe hier ein seltsames Problem.

Windows 10 1903 Installation vom ISO
Rechner gehört einer Windows-Domäne an. Es existiert ein lokaler Adminuser, mit dem der Domänenjoin vorgenommen wurde. Der angemeldete User ist kein Admin, Rootrechte gibts per UAC-Prompt mit berechtigtem User aus der Domäne.

Funktioniert bei allen Rechnern einwandfrei. Nur der eine gerade neu installierte versucht ständig Programme unter dem angemeldeten Nicht-Admin-User im Kontext des Benutzers zu starten.
Beispiel: Task-Manager fragt nach Admin-Zugang und der angemeldete User ist voreingetragen. Schreibe ich manuell einen Admin-User und sein Passwort rein, startet der Task-Manager als Admin. Schreibe ich das Passwort des angemeldeten Users rein, startet der Task-Manager ohne Adminrechte im Kontext des Users. Wieso startet er standardmäßig nicht ohne UAC-Prompt im Kontext des angemeldeten Users?

Ein Setup, das als Admin unter C:\Programme installieren würde, installiert mit dem Passwort des Users dann irgendwo im Benutzerordner. Aber auch da sollte es sich wie bei allen anderen Rechnern verhalten, dass er direkt nach einem Adminuser fragt, und nicht den angemeldeten User voreinstellt.

Vor allem sollten im Userkontext ausführbare Programme wie der Task-Manager nicht erstmal einen UAC-Prompt bringen.
Starte ich eine Anwendung, die nur mit Adminrechten funktioniert, wie die Computerverwaltung, kommt gleich der UAC-Prompt, der nach Adminrechten ohne den voreingetragenen alten User fragt.

Hat jemand eine Ahnung aus meiner wahrscheinlich wirren Beschreibung, was da los ist und wie man es fixt?

[PatkIllA]

Die Computerverwaltung funktioniert auch ohne Adminrechte. (Größtenteils nur lesend)
Sowohl der Taskmanager als auch die Computerverwaltung fordern aber die höchstmöglichen Rechte an.
Installer die was im Benutzerorder packen laufen wahrscheinlich mit UAC Virtualization, die mit Vista eingeführt wurde um alte Programme kompatibel zu halten.

Eine wirkliche Lösung habe ich so nicht.
Als Workaround kann man die Umgebungsvariable __COMPAT_LAYER auf RunAsInvoker setzen. Dann wird nicht nach einer Rechteausweitung gefragt.

Es existiert ein lokaler Adminuser, mit dem der Domänenjoin vorgenommen wurde. Der angemeldete User ist kein Admin, Den Domänenjoin macht doch der Domänenadmin.
Bei den Rechnern wo es funktioniert muss aber schon explizit "Als Administrator ausführen" ausgewählt werden.

[Lurtz]

Den Domänenjoin macht doch der Domänenadmin.
Bei den Rechnern wo es funktioniert muss aber schon explizit "Als Administrator ausführen" ausgewählt werden.
Richtig. Aber eben ausgelöst vom bestehenden lokalen Adminkonto.

Hm, wahrscheinlich wäre Neuinstallieren einfacher als da Rumzudoktern :ugly: