Domain User temporär bzw. unkompliziert erweiterete Rechte geben

[Driver 10]

Hallo Commu,

 

ich habe eine Frage bezüglich Rechtevergabe für Softwareinstallationen oder Eingriffe die Adminstrator Rechte (Domain o. auch lokal) vorraussetzen.

 

Es geht darum das Domainuser zB. für eine Installation von xyz Software mehr Rechte zum Zeitpunkt der Installation erhalten können. Danach per GP o.ä wieder zum standard User degradiert werden.

 

Welche Lösungen bietet mir das AD dazu und sicher gibt es da mehrere Möglichkeiten oder? :wink2:

Ich hoffe es einigermaßen verständlich beschrieben zu haben :rolleyes:

 

 

Bin kein Experte im AD ! Ansonsten einfach noch fragen was für Infos zur Lösung benötigt werden...

[Christoph35 10]

Willkommen an Bo(a)rd!

 

Ich würd versuchen, die Software mit GPOs zuzuweisen. Das wird dann automatisch installiert (beim Hochfahren bzw. Anmelden) und die User können User bleiben.

 

Such mal hier im Board danach und schau Dir vielleicht auch mal diesen Link an:

How to assign software to a specific group by using a Group Policy

 

Wenn Du dann noch Fragen dazu hast (bestimmt ;) ), einfach hier posten.

 

Christoph

[Driver 10]

Ok per msi Packete wäre eine Lösung. Doch es sind weder die Resourcen noch die Zeit dazu da es über diesen Weg zu machen.

 

Darum halt eine Lösung eine User vorrübergehen die "nötigen" Rechte geben.

Mir fällt dazu jedenfalls keine brauchbare Lösung ein :(

 

Jedesmal direkt zur WS gehen und es lokal vorort machen müssen soll vermieden werden ;)

[IThome 10]

Zum Beispiel die eingeschränkten Gruppen oder die Gruppenrichtlinie "Immer mit erhöhten Rechten installieren" ...

[Christoph35 10]

Hmm, die einzige Möglichkeit, die mir dazu einfällt sind eingeschränkte Gruppen:

Microsoft Corporation

 

Aber beschäftige dich genau damit. Sonst kann s u.U. zu Problem kommen. Suche auch mal hier im Board danach.

/edit: mal wieder zu langsam :D

 

Kleine Anmerkung noch zu ITHomes zweitem Vorschlag (immer mit erhöhten Rechten installieren):

 

Zitat von einem MS-Technet-Artikel:

Microsoft Corporation

Hinweis

• Diese Richtlinie liegt sowohl im Ordner Computerkonfiguration als auch im Ordner Benutzerkonfiguration vor. Die Richtlinie tritt nur dann in Kraft, wenn Sie sie in beiden Ordnern aktivieren.

 

Christoph

[Driver 10]

Das mit den "Eingeschränken Gruppen" habe ich mir schon belesen hier im Forum ...klingt auch danach das einiges gut in die Hose gehe kann. Darum habe ich halt doch noch selber diese Frage gestellt ;) Zumal es auch nicht ganz das ist wonach ich suche ...aber danke für diesen Hinweis

 

 

Die Richlinie "Immer mit erhöhten Rechten installieren" beschränkt sich doch auch nur wieder auf msi Packte oder? Ich meine, es soll ja Zeitnah reagiert werden wenn eine Software installiert/deinstalliert werden soll.

[IThome 10]

Ja, das bezieht sich auf den Windows-Installer. Naja, zeitnah, Richtlinien werden per Default alle 90 Minuten vom Client abgerufen und wenn es mit eingeschränkten Gruppen gemacht wird, müsste der Benutzer sich erstmal ab- und wieder anmelden, damit die neue Gruppenzugehörigkeit wirkt.

Möglich wäre auch eine Ausführung der Installation via RUNAS, aber dafür müsste der Benutzer wenigstens das Kennwort eines lokalen Administrators wissen ...

Ehrlich gesagt verstehe ich aber auch gar nicht, warum der User manchmal Software installieren soll, danach aber wieder normaler User sein soll ...

[Driver 10]

Moin,

 

Ehrlich gesagt verstehe ich aber auch gar nicht, warum der User manchmal Software installieren soll, danach aber wieder normaler User sein soll ...

 

Weil die User es doch demnächst öfters brauchen und es auch noch mehr User werden.

Wie würdest du es machen, IThome, wenn Software installiert werden soll (hier halt der User selber) zu der es kein msi Packet gibt.

Eine Lösung mit "Eingeschränken Gruppen" ist ja auch was ...dauerhaftes, wie gesagt ich wollte halt eine Lösung (vllt per mmc/script etc) um dem User die Möglichkeit zu geben selbständig seine Software zu installieren.

 

Mal eine andere Frage, dieses RUNAS, kann man das nicht "verbiegen" das dort mit einem "Installkonto" Installationen als Adminstrator durchführt werden können, jedoch keine Rechte sich anzumelden etc. vorhanden sind.

[IThome 10]

Hm, normalerweise lasse ich die User was installieren oder nicht, aber nicht mal und mal nicht.

Wie läuft denn sowas ab, der User sagt Bescheid, dass er was installieren möchte oder er fängt einfach an ?

[emoCore 10]

Hm, normalerweise lasse ich die User was installieren oder nicht, aber nicht mal und mal nicht.

Wie läuft denn sowas ab, der User sagt Bescheid, dass er was installieren möchte oder er fängt einfach an ?

 

 

Vor allem in Großbetrieben hast du meist keine Zeit auf jede einzelne Anfrage eines User zu reagieren. Die einzige Möglichkeit die du dann hast ist, einen Auszubildenden einzustellen :D , oder die User mit den erforderlichen Rechten ausstatten. Hierbei triffst du allerdings wieder auf das Problem das DAU's ihren Arbeitsplatz dermaßen zumüllen, dass ein problemloses Arbeiten nicht mehr möglich ist.

Die beste mir bekannte Lösung ist die verwendung einer KaiserKarte. Dies ist eine Hardware basierte Lösung und wird meinst in Schule eingesetzt, wo am meisten Unsinn mit dem Systemen betrieben wird. Die Karte sichert Locale Festplatten, BIOS, MBR sowie die Registry.

Ein User kann nun auf seinem Arbeitsplatz machen was er will sobald der Rechner neu startet ist alles wieder so wie es Installiert bzw von der Domaine vorgegeben wurde.

Die Daten der User werden natürlich auf einen Server synchronisiert und dadurch vor der Karte geschützt.

Ist zwar ein finanzielle Frage, aber ich weiß nicht Driver, ob das mit den Rechten nur für eine Installation so 100%tig funktioniert.

[IThome 10]

Naja, in grossen Betrieben wird sowas doch eher mit einer automatischen Softwareverteilung gemacht. Was hätte der Admin zu tun, wenn die Benutzer das selbst machen dürften ...

[Driver 10]

Sorry, war paar Tage weg.

 

Also PC Wächter fällt ganz klar weg denn » A) Notebooks oder B) zusätzliche Kosten ;)

 

 

Hm, normalerweise lasse ich die User was installieren oder nicht, aber nicht mal und mal nicht.

Wie läuft denn sowas ab, der User sagt Bescheid, dass er was installieren möchte oder er fängt einfach an ?

 

Ja, ein User kommt und fragt nach und wenn es ok ist kann er es machen, ist es aber nun eine SW (kein MSI) die Administrator Rechte haben möchte für die Installation sollte es möglich sein dem User kurzerhand lokale Adminrechte einzuräumen.

 

Ansonsten was macht bzw. was kann der User "Kontenoperator" im AD alles tun?

 

THX