Domänenbenutzer ohne lokale Admin-Rechte

[PatrickKByte 12]

Liebe Kollegen,

 

ich installiere gerade einen SBS2003 R2 mit Exchange in einem Unternehmen. Von der Geschäftsleitung ist gewünscht, dass die Mitarbeiter keine loaklen Administrationsrechte bekommen dürfen, damit Programme etc. nicht installiert werden (Moorhuhn & Co.)

 

Soweit kein Thema, einfach den lokalen Administrator aus der Kontoberechtigung löschen.

 

Wenn aber Windows bzw. WSUS oder andere Komponenten wie Virenscanner Updates machen, möchte ich das natürlich weiterhin erlauben. Reicht es, dem SYSTEM-Dienst lokale Administratorrechte zu verleihen?

 

Danke für eure Hilfe!

[lefg 276]

Ein Domänenbenutzer ist per Voreinstellung nicht Mitglied einer Administratorengruppe, hat also auch keine "Adminrechte". Dem System müssen keine extra Rechte verliehen werden. Eine "domänenübergreifende" AV-Lösung für die Anwendung im Unternehmen braucht nicht vom Benutzer aktualsiert werden.

[NorbertFe 2.174]

ich installiere gerade einen SBS2003 R2 mit Exchange in einem Unternehmen. Von der Geschäftsleitung ist gewünscht, dass die Mitarbeiter keine loaklen Administrationsrechte bekommen dürfen, damit Programme etc. nicht installiert werden (Moorhuhn & Co.)

 

Moorhuhn & Co. sind aber meist stinknormale .exe Dateien ohne Installationsroutine ;)

 

Soweit kein Thema, einfach den lokalen Administrator aus der Kontoberechtigung löschen.

 

Viel interessanter ist die Frage, was genau du da gelöscht hast. Denn per Default hat auch ein SBS Nutzer keine lokalen Adminrechte. Ausnahme man benutzt die dafür vorgesehene Gruppe.

 

Wenn aber Windows bzw. WSUS oder andere Komponenten wie Virenscanner Updates machen, möchte ich das natürlich weiterhin erlauben.

 

Das macht dann aber der Windows Update Agent und nicht der Benutzer. Genauso beim Virenscanner, damit hat ein Nutzer nichts zu tun.

 

Reicht es, dem SYSTEM-Dienst lokale Administratorrechte zu verleihen?

 

System hat immer alle Rechte (mehr als ein Administrator). Also laß die Finger davon, wenn du nicht genau weißt, was du da tust.

 

Bye

Norbert

[GuentherH 61]

Denn per Default hat auch ein SBS Nutzer keine lokalen Adminrechte.

 

.. als kleine Ergänzung.

Wird mit dem Assistenten für die Computerkonfiguration dem entsprechenden Client ein Benutzer zugewiesen, dann erhält der Benutzer auf seinem Client lokale Adminrechte.

Dies ist notwendig, damit der Loginscript mit der enthaltenen Clientsetup.exe abgearbeitet werden kann. Mit diesem Setup werden bei der ersten Anmeldung die notwendigen Clientanwendungen und das Outlook Profil erstellt.

 

LG Günther

[PatrickKByte 12]

Hallo die Herren, vielen Dank für eure Beiträge.

 

Ja, Günther, so hatte ich das in Erinnerung: Wenn man das SBS-Setup sauber durchlaufen lässt, erhält der User lokale Admin-Rechte.

Wie die beiden Vorredner schreiben, kann ich die aber -ggf. zusammen mit dem Loginscript- löschen, weil sie nicht nötig sind.

 

lefg, NorbertFe, vielen Dank, gelöscht habe ich noch nichts. Ich schaue erst, bevor's Probleme gibt!