Benutzer Teilweise administrative Rechte zuweisen

[Kellykiller 0]

Hey Leute,

 

ich muss euch noch einmal stören :-)

 

Ich habe bei einem Kunden eine neue Mitarbeiterin, die auf einige Programme zwingend Domänen-Admin rechte braucht. Nun will ich natürlich nicht das die gute Frau mit Admin rechten durch die Gegend rennt. Gibt es eine Möglichkeit das sie auf einige Programme mit Domänen-Admin Rechten zugreifen darf, aber sie selbst noch in der Gruppe der Domänen-Benutzer verbleibt um keinen Unheil zu stiften?

Ich hatte zuerst an die Aufgabenplanung gedacht, da die Programme aber keine Ereignis-ID senden fällt das als Trigger ja flach.

 

Grüße

 

Kellykiller

[NorbertFe 1.981]

Auf welche PRogramme braucht man zwingend DOmänen-Admin Rechte? Die braucht man zum Administrieren der Domäne. Deswegen heißt die Gruppe auch so.

 

Bye

Norbert

[lefg 276]

Hallo,

 

es gibt keine Adminrechte.

 

Was braucht sie also wirklich worauf? Was ist das eigentliche Problem? Um welche Programme handelt es sich?

 

Berechtigungen erhalten Benutzer und Sicherheitsgruppen mit Einträgen in die Access Control Lists von Dateien, Verzeichnissen und Schlüssel.

 

 

Ich schildere es mal so:

 

Vor Jahren hatte ich auf den Schulungsrechnern eines Kooperationspartners für unsere Nutzung das Lexware Financial Office Pro zu installieren. Der Hausadmin ließ mir ausrichten, der User müsse in die Gruppe der lokalen Administratoren aufgenommen werden, sonst könne der die Anwendung nicht starten. Nun, tatsächlich reichte es, den User in die Grupper der Hauptbenutzer aufzunehmen. Eine andere Möglichkeit war, dem Benutzer Rechte auf das Startverzeichnis des Programms zu geben.

 

Warum war das so? Die Anwendung war gedacht für den Betrieb auf Einzelrechnern, nicht für die Domäne.

 

In einem anderen Fall war zusätzlich das Manipulieren eines Registrykeys nötig.

 

Falls man die Sache analysieren muss, dann hilft der Processmonitor.

bearbeitet 5. September 2014 von lefg

[Dr.Melzer 191]

Ich habe bei einem Kunden eine neue Mitarbeiterin, die auf einige Programme zwingend Domänen-Admin rechte braucht. Nun will ich natürlich nicht das die gute Frau mit Admin rechten durch die Gegend rennt. Gibt es eine Möglichkeit das sie auf einige Programme mit Domänen-Admin Rechten zugreifen darf, aber sie selbst noch in der Gruppe der Domänen-Benutzer verbleibt um keinen Unheil zu stiften?

Entweder hat sie DomänenAdmin Rechte, oder sie ist normaler Benutzer. Beides geht nicht.

 

Wie heißen denn diese Programm die unbedingt so hohe Rechte benötigen?

 

Lade dir den ProcessMonitor runter (http://technet.microsoft.com/de-de/sysinternals/bb896645) und prüfe damit wohin diese Programme lesend und schreibend zugreifen wollen. In der Regel funktioniert es solchen Programmen auf die entsprechenden Bereiche (und nur auf diese) die nötigen Lese- und Schreibrechte zu geben.

[Kellykiller 0]

Hey,

danke für die vielen antworten.

das ist irgend so eine Branchensoftware. Außerdem soll Sie den Abteilungsleiter, der gleichzeitig ein Freund ist und auf dem Papier deren Systemadministrator, ab und an vertreten.

Ich hab mich mal ein wenig mit Ihm bequatscht und sind zu dem Schluss gekommen das es wohl ausreicht den Domänenbenutzer der guten Dame auf Ihrem Rechner zusätzlich in die Gruppe der lokalen Administratoren zu schubsen.

Das muss ich mir noch genau anschauen ob das funktioniert wie es soll. Trotzdem danke für die ganzen Beiträge.

 

Gruß

[lefg 276]

Gerne geschenem

[Sunny61 804]

das ist irgend so eine Branchensoftware. Außerdem soll Sie den Abteilungsleiter, der gleichzeitig ein Freund ist und auf dem Papier deren Systemadministrator, ab und an vertreten.

Ich hab mich mal ein wenig mit Ihm bequatscht und sind zu dem Schluss gekommen das es wohl ausreicht den Domänenbenutzer der guten Dame auf Ihrem Rechner zusätzlich in die Gruppe der lokalen Administratoren zu schubsen.

Das muss ich mir noch genau anschauen ob das funktioniert wie es soll. Trotzdem danke für die ganzen Beiträge.

 

Es gibt den ProzessMonitor von MS. Schnapp dir den, starte ihn als Admin und lass die gute Frau arbeiten. Anschließend siehst Du nach welche Berechtigungen fehlen, die dann explizit zuweisen.

 

 

Wenn ein ERP-System im Jahr 2014 noch Adminrechte zum 'normalen' arbeiten benötigt, ist es hoffnungslos veraltet und muß so schnell als möglich ausgetauscht werden. Und nein, du brauchst jetzt keine Begründungen dagegen liefern. ;)