Benutzerkontensteuerung

Transkript

1 201 K A P I T E L 5 Benutzerkontensteuerung Die Benutzerkontensteuerung (User Account Control, UAC) unterteilt Windows-Aufgaben in zwei Gruppen: solche, die ein Standardbenutzer durchführen kann, und solche, die nur Administratoren ausführen können. Außerdem bewirkt die UAC, dass Administratorkonten die meiste Zeit als Standardkonten laufen. Wenn eine Aufgabe eingeleitet wird, die nur Administratoren erlaubt ist, wird dem Benutzer eine Eingabeaufforderung angezeigt, mit der er zeitweise seine Privilegien erhöhen kann, um diese eine Aufgabe durchzuführen. Falls der Benutzer mit einem Administratorkonto angemeldet ist, bekommt er die Berechtigung gewährt, die Aufgabe fortzusetzen. Falls der Benutzer dagegen mit einem Standardkonto angemeldet ist, muss er die Anmeldeinformationen eines Administrators eingeben (indem er ein Administratorkonto auswählt und ein Kennwort eingibt), um fortfahren zu können. Dieses Verfahren, dass auch ein Administrator normalerweise als Standardbenutzer agiert, wird als Administratorbestätigungsmodus (engl. admin approval mode) bezeichnet. In diesem Modus erfordern Anwendungen bestimmte Berechtigungen, wenn sie als Administratoranwendungen ausgeführt werden sollen. Eine solche Administratoranwendung ist eine Anwendung, die das Zugriffstoken (oder erhöhte Zugriffstoken) eines echten Administrators benötigt und dieselben Privilegien hat wie ein Administrator. Hinweis Administratorkonten In diesem Kontext verstehen wir unter einem Administratorkonto ein Konto, das zur lokalen Gruppe Administratoren hinzugefügt wurde. Die UAC schützt nicht das eingebaute Administratorkonto, weil der Administratorbestätigungsmodus auf dieses Konto standardmäßig nicht angewendet wird. Ein Benutzer, der mit administrativen Anmeldeinformationen angemeldet ist, aber eine Aufgabe auf Benutzerebene ausführt, erledigt das im Kontext eines Standardbenutzers. Falls dieser Benutzer dann eine Aufgabe auf Administratorebene einleitet, fordert das System (in der Standardeinstellung) die Berechtigung an, diese Aufgabe fortzusetzen. Der Benutzer muss dabei aber nicht erneut seine Anmeldeinformationen eingeben. Die UAC warnt sowohl Standard- als auch Administratorbenutzer, falls sie versuchen, eine Anwendung auszuführen, die nicht digital signiert ist. In diesem Kapitel abgedeckte Prüfungsziele: Konfigurieren und Problembehandlung der Benutzerkontensteuerung Lektion in diesem Kapitel: Lektion 1: Konfigurieren und Problembehandlung der Benutzerkontensteuerung

2 202 Kapitel 5: Benutzerkontensteuerung Bevor Sie beginnen Um die Lektionen in diesem Kapitel durcharbeiten zu können, müssen Sie folgende Vorbereitungen abgeschlossen haben: Sie müssen Windows Vista Ultimate Edition auf einem PC installiert haben, wie in Kapitel 1, Installieren eines Windows Vista-Clients, und Kapitel 2, Upgrades und Migrationen auf Windows Vista, beschrieben. Sie müssen ein Administratorkonto und Standardkonten angelegt und den Ausführen-Befehl im Startmenü aktiviert haben, wie in den Übungen 1, 2 und 3 von Kapitel 4, Konfigurieren und Problembehandlung des Internetzugangs, Lektion 1, Konfigurieren und Problembehandlung von Jugendschutz und Inhaltsratgeber, beschrieben. Für dieses Kapitel wird keine zusätzliche Konfiguration benötigt. Praxistipp Ian McLean Selbst unter erfahrenen Administratoren gibt es die Tendenz, erst einmal mit Skepsis zu reagieren, wenn in einem neuen Betriebssystem noch mehr und wieder neue Sicherheitsfeatures eingebaut sind. Manchmal wird aber ein Feature entwickelt, das sofortige und offensichtliche Vorteile verspricht und den Einarbeitungsaufwand schnell amortisiert. Ältere Windows-Clientbetriebssysteme machten es Benutzern einfach, Konten mit Administratorprivilegien zu konfigurieren. Folglich setzen viele Windows-Anwendungen voraus, dass der Benutzer ein lokaler Administrator ist. Aber wenn normale Benutzer fast immer Administratorzugriff haben, läuft auch jede Anwendung und jeder Dienst im System mit vollständigen Administratorprivilegien, also auch Würmer, Trojanische Pferde und andere Arten von Malware. Ältere Betriebssysteme, zum Beispiel Windows XP, stellten die runas-funktion zur Verfügung. Sie dient dazu, die Benutzerprivilegien zu erhöhen und so die Ausführung von Software zu ermöglichen, auch wenn das Anmeldekonto keine hohe Privilegebene hat. Letztlich war es aber nur ein Tropfen auf den heißen Stein. Es war umständlich, und viele Anwendungen konnten es einfach nutzen. Ich musste mehrmals Netzwerke untersuchen, von denen nur noch ein Wrack übrig war. In allen Fällen fiel auf, dass sämtliche Benutzer administrative Privilegien hatten. Sie brauchten das, wurde mir versichert, weil wir ausführen mussten. Windows Vista geht dieses Problem direkt an. Seine Architektur integriert eine Reihe von Technologien, die Microsoft speziell mit dem Ziel entwickelt hat, das System abzuschotten, aber trotzdem Kompatibilität anzubieten, sodass Anwendungen, die für ältere Betriebssysteme geschrieben wurden, auch weiterhin so gestartet und ausgeführt werden können wie bisher. Die Schlüsseltechnik in diesem Bereich ist die UAC. Die Sicherheitsvorteile durch UAC wiegen eine gelegentliche Gereiztheit des Benutzers wegen der Dialogfelder bei Weitem auf. Ich empfehle auf jeden Fall, sie zu verwenden. Hinweis Designed for Windows -Logo Jede Anwendung, die das Logo Designed for Windows 2000 / XP / Vista trägt, kann ausgeführt werden, ohne dass der Benutzer ein lokaler Administrator ist.

3 Lektion 1: Konfigurieren und Problembehandlung der Benutzerkontensteuerung 203 Lektion 1: Konfigurieren und Problembehandlung der Benutzerkontensteuerung Diese Lektion beschreibt, wie die UAC arbeitet, welche Arten von Aufgaben erhöhte Privilegien erfordern, die Unterschiede zwischen Standardkonten, Administratorkonten und dem eingebauten Administratorkonto, wie Sie Benutzerprivilegien erhöhen, wie Sie die UAC mithilfe lokaler Sicherheitsrichtlinien konfigurieren und wie Sie den sicheren Desktop deaktivieren. Sie geht auch auf Probleme im Zusammenhang mit der UAC ein und erklärt, wie Sie eine Problembehandlung für diesen Bereich durchführen. Am Ende dieser Lektion werden Sie in der Lage sein, die folgenden Aufgaben auszuführen: Erklären, wie die UAC die Sicherheit verbessert, dabei aber Abwärtskompatibilität gewährleistet Unterscheiden zwischen Standardkonten, Administratorkonten und dem eingebauten Administratorkonto Erhöhen von Benutzerprivilegien für einen Standardbenutzer Konfigurieren der UAC mithilfe der lokalen Sicherheitsrichtlinien Deaktivieren der UAC Deaktivieren des sicheren Desktops Verwenden des Programmkompatibilitäts-Assistenten, um ältere Programme in Windows Vista ausführen zu können Veranschlagte Zeit für diese Lektion: 85 Minuten Abbildung 5.1 Windows-Schildsymbol

4 204 Kapitel 5: Benutzerkontensteuerung Funktionsweise der Benutzerkontensteuerung Die UAC ist für Standardbenutzer wie auch Administratoren unsichtbar, solange sie nichtadministrative Aufgaben durchführen, zum Beispiel Microsoft Word-Dokumente anlegen und bearbeiten, Energieverwaltungseinstellungen ändern oder einen Drucker hinzufügen. Anders sieht es aus, wenn Sie sich mit einem Standardbenutzerkonto anmelden und dann versuchen, eine administrative Aufgabe auszuführen, zum Beispiel eine Anwendung installieren oder die Systemzeit ändern. Wie Sie in Abbildung 5.1 sehen, kennzeichnet Microsoft alle Elemente der Benutzeroberfläche (User Interface, UI), die erhöhte Privilegien erfordern, mit einem Schildsymbol. Wenn Sie auf dieses Symbol klicken, wird ein Dialogfeld geöffnet (Abbildung 5.2). Sie müssen darin ein Administratorkonto auswählen und das zugehörige Kennwort eingeben (oder eine Smartcard einstecken und die zugehörige PIN eingeben), um die ausgewählte Aufgabe ausführen zu können. Abbildung 5.2 Eingabeaufforderung für ein Administratorkennwort Falls Sie dagegen als Administrator angemeldet sind, wenn Sie auf ein Element mit dem Schildsymbol klicken, wird (in der Standardeinstellung) das Dialogfeld aus Abbildung 5.3 angezeigt. Sie brauchen Ihre Anmeldeinformationen nicht erneut einzugeben, sondern können auf Fortsetzen klicken. Hinweis Verbessern der UAC-Sicherheit Sie können die Sicherheit noch erhöhen, indem Sie Windows Vista so konfigurieren, dass es immer eine Eingabeaufforderung anzeigt, in die administrative Anmeldeinformationen eingegeben werden müssen, also auch dann, wenn der angemeldete Benutzer Administratorprivilegien hat. Sie nehmen diese Konfiguration in den Übungen am Ende dieser Lektion vor.

5 Lektion 1: Konfigurieren und Problembehandlung der Benutzerkontensteuerung 205 Abbildung 5.3 Gewähren der Berechtigung, sodass Windows die Aufgabe fortsetzen kann Falls ein Administrator versucht, eine Anwendung auszuführen, die nicht digital signiert oder validiert ist, erscheint das UAC-Dialogfeld aus Abbildung 5.4. Falls ein Standardbenutzer versucht, dieses Programm zu starten, muss er im UAC-Dialogfeld ein Administratorkonto auswählen und das zugehörige Kennwort eingeben. Abbildung 5.4 Einem unsignierten Programm die Berechtigung zum Ausführen gewähren Falls das Programm dagegen digital signiert ist, erscheint (in der Standardeinstellung) das UAC- Dialogfeld aus Abbildung 5.5, wenn der Benutzer mit einem Administratorkonto angemeldet ist. Benutzer, die mit einem Standardkonto angemeldet sind, müssen ein Administratorkonto auswählen und das zugehörige Kennwort eingeben.

6 206 Kapitel 5: Benutzerkontensteuerung Abbildung 5.5 Einem signierten Programm die Berechtigung zum Ausführen gewähren Digitale Signaturen Damit eine ausführbare Datei (zum Beispiel eine Anwendung, ein Treiber oder ein Makro) als vertrauenswürdig eingestuft wird, reicht es nicht aus, wenn sie einfach ein digitales Zertifikat hat, das von irgendeiner Quelle ausgestellt wurde, der Herausgeber muss auch vertrauenswürdig sein. Welche Herausgeber vertrauenswürdig sind, ist in einer Liste auf Ihrem Computer verzeichnet. Diese Liste kann seriöse Softwarehersteller, zum Beispiel die Microsoft Corporation, und vertrauenswürdige externe Zertifikatanbieter wie zum Beispiel Thwaite oder VeriSign umfassen. Selbst wenn ausführbarer Code digital signiert ist, ist er unter Umständen nicht validiert, weil die Signatur nicht von einer vertrauenswürdigen Quelle stammt. Falls Sie eine diesbezügliche Warnung erhalten, haben Sie die Wahl, ob Sie das Programm ausführen oder die Operation abbrechen wollen. Falls Sie dem Softwarehersteller vertrauen, können Sie ihn zur Liste der vertrauenswürdigen Herausgeber hinzufügen, indem Sie das Kontrollkästchen Anwendungen aus dieser Quelle immer vertrauen aktivieren. Weitere Informationen Digitale Signaturen Ausführliche Informationen über digitale Signaturen finden Sie unter com/windows/en-us/help/077238d3-2e c-6d mspx. Wenn irgendeines der UAC-Dialogfelder geöffnet wird, fertigt Windows Vista ein Bild Ihres Desktops an und schaltet zum sicheren Desktop um (der auch vom Willkommen-/Anmeldebildschirm von Windows Vista verwendet wird). Sie können mit Ihrem Computer keine anderen Operationen durchführen, bis Sie dieses Dialogfeld geschlossen haben. Microsoft implementiert die UAC auf diese Weise, weil die Sicherheitsexperten des Unternehmens die Ansicht vertreten, dass es möglich wäre, die UAC-Eingabeaufforderung zu fälschen, würde sie als normales Windows-Dialogfeld auf dem Bildschirm erscheinen. Und falls ein Benutzer etliche Fenster gleichzeitig geöffnet hat, könnte ein UAC-Dialogfeld in einem Standardfenster unter anderen Fenstern begraben werden, sodass der Benutzer nicht merkt, dass eine Autorisierung erforderlich ist.

7 Lektion 1: Konfigurieren und Problembehandlung der Benutzerkontensteuerung 207 Hinweis Die UAC verbessert den Jugendschutz Die UAC ermöglicht es Eltern, Standardbenutzerkonten für ihre Kinder einzurichten. Wenn zum Beispiel ein Kind eine Anwendung installieren will, können die Eltern die Anwendung erst überprüfen und ihre Anmeldeinformationen für die Installation nur dann eingeben, wenn sie überzeugt sind, dass die Anwendung sicher ist. Abwärtskompatibilität Die meisten Programme, die für ältere Betriebssysteme geschrieben wurden, zum Beispiel für Windows XP, funktionieren auch in Windows Vista. Allerdings kann es sein, dass manche alten Programme schlecht oder gar nicht laufen. Falls ein älteres Programm nicht richtig läuft, können Sie den Programmkompatibilitäts-Assistenten starten (Abbildung 5.6). Die Programmkompatibilität ist ein Windows-Modus, mit dem Sie Programme ausführen können, die für ältere Windows-Versionen entwickelt wurden. In Kapitel 2, Upgrades und Migrationen auf Windows Vista, wurde der Programmkompatibilitäts-Assistent bereits vorgestellt. In den Übungen am Ende dieser Lektion führen Sie diesen Assistenten aus. Abbildung 5.6 Der Programmkompatibilitäts-Assistent Hinweis Zwei Programmkompatibilitäts-Assistenten Es gibt auch einen vollautomatischen Programmkompatibilitäts-Assistenten, der als Windows- Feature ausgeführt wird, wenn das Betriebssystem ein Kompatibilitätsproblem beim Starten eines älteren Programms feststellt. Der hier erwähnte manuelle Programmkompatibilitäts-Assistent ist ein Tool, das Sie von Hand für ein Programm ausführen können, falls Sie Kompatibilitätsprobleme bemerken. Falls der vollautomatische Programmkompatibilitäts-Assistent das Programm nicht selbst reparieren kann, sollten Sie den manuellen Programmkompatibilitäts-Assistenten ausführen.

8 208 Kapitel 5: Benutzerkontensteuerung Vorsicht Einschränkungen für den Programmkompatibilitäts-Assistenten Verwenden Sie den Programmkompatibilitäts-Assistenten nicht, um zu versuchen, Antivirenprogramme, Datensicherungsprogramme, Datenträgertools oder andere Systemprogramme auszuführen. Das kann unter Umständen zu Datenverlust führen oder Sicherheitslücken öffnen. Weitere Informationen Aktualisieren von Treibern Manche Kompatibilitätsprobleme werden möglicherweise durch Treiber verursacht. Falls ein älterer Treiber Probleme verursacht, müssen Sie ihn von Hand aktualisieren. Weitere Informationen finden Sie im Thema Aktualisieren von Treibern: empfohlene Links in Windows-Hilfe und Support. In älteren Microsoft-Clientbetriebssystemen, zum Beispiel Windows XP, bekommen Anwendungen normalerweise die vollständige Kontrolle über das System, sodass sie Informationen überall in der Registrierung und im Dateisystem lesen und verändern können. Windows Vista sperrt dagegen die Registrierung und das Dateisystem. Um Abwärtskompatibilität zu ermöglichen, stellt UAC Virtualisierungsdienste für Registrierung und Dateisystem zur Verfügung, die Lese- und Schreiboperationen in geschützten Bereichen von Registrierung und Dateisystem im Hintergrund auf ungefährliche Speicherorte im Profil des Benutzers umleiten. Diese Speicherorte sind verborgen, und der gesamte Prozess läuft automatisch und für den Benutzer unsichtbar ab. Ausführen von Benutzerkonten als Standardbenutzer Die UAC verbessert die Sicherheit in Windows Vista, indem sie dafür sorgt, dass Administratorkonten normalerweise als Standardbenutzer laufen. Nur bei Bedarf werden die Kontoprivilegien erhöht, was der Benutzer dann bestätigen muss. Umgekehrt können Standardbenutzer die meisten (aber nicht alle) Administratoraufgaben ausführen, indem sie Anmeldeinformationen für ein Administratorkonto eingeben. Zum Beispiel kann ein Standardbenutzer Administratoranmeldeinformationen eingeben und dann die Systemzeit ändern. Aber Sie müssen tatsächlich als Administrator angemeldet sein, um die lokale Sicherheitsrichtlinie zu konfigurieren. In älteren Clientbetriebssystemen, die keine UAC haben (oder in Windows Vista, wenn die UAC deaktiviert ist), bekommt ein Administrator automatisch vollständigen Zugriff auf alle Systemressourcen gewährt. Die meisten Benutzer benötigen keine so hohe Zugriffsebene auf den Computer, und sogar Benutzer, die gelegentlich Administratoraufgaben ausführen, erledigen den Großteil ihrer Zeit nichtadministrative Aufgaben. Ohne die UAC kann ein Benutzer, der als Administrator angemeldet ist, Software installieren, wobei oft nicht einmal eine Eingabeaufforderung oder Warnung angezeigt wird. Das kann dazu führen, dass aus Versehen oder absichtlich ein böswilliges Programm installiert wird, das die Sicherheit des Computers unterläuft und alle Benutzer gefährdet. Im Administratorbestätigungsmodus von Windows Vista wurde das Zugriffssteuerungsmodell verändert, um dieses Problem zu verringern. In diesem Modus werden sowohl Administrator- als auch Standardbenutzerkonten normalerweise als Standardbenutzer ausgeführt. Falls ein Benutzer eine Administratoraufgabe ausführen will, muss er seine Privilegien erhöhen. Falls der Benutzer ein Administrator ist, fordert das UAC-Dialogfeld den Benutzer auf, die Schaltfläche Fortsetzen anzuklicken, wenn er versucht, eine Administratoranwendung zu starten. Erst nach dieser Bestätigung

9 Lektion 1: Konfigurieren und Problembehandlung der Benutzerkontensteuerung 209 kann die Anwendung das Zugriffstoken eines vollständigen Administrators verwenden. Der Benutzer hat die Möglichkeit, auf Abbrechen zu klicken, falls er Zweifel bezüglich der Operation hat. Falls der Benutzer kein Administrator ist, muss er die Anmeldeinformationen eines Administrators eingeben, um das Programm ausführen zu können. Weil im Administratorbestätigungsmodus auch ein Administrator Anwendungsinstallationen bestätigen muss, können sich unautorisierte Anwendungen nicht automatisch installieren. Sie brauchen die explizite Zustimmung eines Administrators. Administratoren erhalten immer eine Warnung und müssen den Vorgang erlauben, bevor irgendwelche Software installiert werden kann. Erhöhen von Benutzerprivilegien Die UAC gibt einem Benutzer in der Standardeinstellung die Möglichkeit, seine Privilegien zu erhöhen, um eine Administratoraufgabe auszuführen. Ein Standardbenutzer muss dazu das Kennwort für ein Administratorkonto eingeben. Ein Administrator braucht dem Programm lediglich die Berechtigung zum Fortsetzen zu gewähren. Sobald die Aufgabe abgeschlossen ist, kehrt das Benutzerkonto wieder in den Modus zurück, wo es als Standardkonto läuft. Wie Sie in Abbildung 5.7 sehen, gibt es vier Arten von Benutzerkonten: das vordefinierte Administratorkonto, Administratorkonten, Standardkonten und das vordefinierte Gastkonto. Abbildung 5.7 Typen von Benutzerkonten Das vordefinierte Gastkonto ist Mitglied der Gruppe Gäste. Windows Vista deaktiviert dieses Konto in der Standardeinstellung. Selbst wenn es aktiviert ist, können Benutzer, die mit dem Gastkonto angemeldet sind, keine Administratoraufgaben ausführen. Kapitel 4, Konfigurieren und Problembehandlung des Internetzugangs, beschreibt das Gastkonto genauer. Es erlaubt Benutzern, die kein ständiges Konto besitzen, den Computer zu verwenden. Sie bekommen dabei aber keinen Zugriff auf die persönlichen Dateien normaler Benutzer. Zum Beispiel können Sie das Gastkonto aktivieren, damit Schüler oder Teilnehmer an einem Volkshochschulkurs einen Computer verwenden können. Administratorkonten sind Mitglieder der Gruppen Administratoren und Benutzer, wie in Abbildung 5.8 zu sehen. Sie werden als Standardbenutzer ausgeführt, sofern sie nicht gerade Administratoraufgaben ausführen. Erst beim Ausführen einer solchen Aufgabe werden diese Konten als Administratoren mit erhöhten Privilegien ausgeführt.

10 210 Kapitel 5: Benutzerkontensteuerung Abbildung 5.8 Gruppenmitgliedschaften für ein Administratorkonto Standardkonten sind Mitglieder der Gruppe Benutzer, wie in Abbildung 5.9 zu sehen. Sie werden als Standardbenutzer ausgeführt. Falls ein Benutzer, der mit einem Standardkonto angemeldet ist, eine Administratoraufgabe ausführen will, muss er ein Administratorkonto auswählen und das zugehörige Kennwort eingeben. Diese Aufgabe wird dann unter den erhöhten Privilegien des Administratorkontos ausgeführt. Abbildung 5.9 Gruppenmitgliedschaften eines Standardkontos

11 Lektion 1: Konfigurieren und Problembehandlung der Benutzerkontensteuerung 211 Wie Abbildung 5.10 beweist, ist das vordefinierte Administratorkonto nur Mitglied der Gruppe Administratoren. In der Standardeinstellung wird dieses Konto nicht als Standardbenutzerkonto ausgeführt, sondern hat immer erhöhte Privilegien. Die UAC schützt dieses Konto in der Standardeinstellung nicht. Sie sollten das vordefinierte Administratorkonto nur aktivieren oder verwenden, wenn zwingende Gründe vorliegen. Abbildung 5.10 Gruppenmitgliedschaften des vordefinierten Administratorkontos Wichtig Umbenennen und Schützen des vordefinierten Administratorkontos Selbst wenn Sie vorhaben, das vordefinierte Administratorkonto niemals zu aktivieren, sollten Sie es umbenennen und ihm ein komplexes Kennwort zuweisen. Ein Konto namens Administrator, das kein Kennwort hat und über dauerhaft erhöhte Privilegien verfügt, ist ein gefährliches Element. Es muss nur ein Kontrollkästchen verändert werden, und schon ist es aktiviert. Konfigurieren der Benutzerkontensteuerung über lokale Sicherheitsrichtlinien Falls Ihr Windows Vista-PC im eigenständigen Modus oder als Teil einer Arbeitsgruppe eingerichtet ist (also kein Mitglied einer Active Directory-Verzeichnisdienst-Domäne ist), können Sie die UAC mithilfe der Konsole Lokale Sicherheitsrichtlinie konfigurieren (Abbildung 5.11). In den Übungen am Ende dieser Lektion wird das Verwenden dieser Konsole genauer beschrieben. Wenn Sie gleich einen Blick darauf werfen wollen, können Sie das Feld Ausführen öffnen, den Befehl Gpedit.msc eingeben und auf Fortsetzen klicken, um das UAC-Dialogfeld zu schließen. Erweitern Sie die Knoten Computerkonfiguration, dann Windows-Einstellungen, Sicherheitseinstellungen und Lokale Richtlinien. Klicken Sie schließlich auf Sicherheitsoptionen. Stattdessen können Sie auch im Suchfeld des Startmenüs den Begriff Lokale Sicherheitsrichtlinie eingeben und das daraufhin ange-

12 212 Kapitel 5: Benutzerkontensteuerung zeigte Programm anklicken. Erweitern Sie dann die Knoten Sicherheitseinstellungen sowie Lokale Richtlinien und klicken Sie schließlich auf Sicherheitsoptionen. Abbildung 5.11 Die Konsole Lokale Sicherheitsrichtlinie Folgende UAC-Einstellungen sind unter Lokale Richtlinien/Sicherheitsoptionen aufgeführt: Benutzerkontensteuerung: Administratorbestätigungsmodus für das integrierte Administratorkonto Benutzerkontensteuerung: Verhalten der Benutzeraufforderung mit erhöhten Rechten für Administratoren im Administratorbestätigungsmodus Benutzerkontensteuerung: Verhalten der Anhebungsaufforderung für Standardbenutzer Benutzerkontensteuerung: Anwendungsinstallationen erkennen und erhöhte Rechte anfordern Benutzerkontensteuerung: Nur ausführbare Dateien heraufstufen, die signiert und validiert sind Benutzerkontensteuerung: Nur erhöhte Rechte für UIAccess-Anwendungen, die an sicheren Orten installiert sind Benutzerkontensteuerung: Alle Administratoren im Administratorbestätigungsmodus ausführen Benutzerkontensteuerung: Bei Benutzeraufforderung nach erhöhten Rechten zum sicheren Desktop wechseln Benutzerkontensteuerung: Datei- und Registrierungsschreibfehler an Einzelbenutzerstandorte virtualisieren

13 Lektion 1: Konfigurieren und Problembehandlung der Benutzerkontensteuerung 213 Administratorbestätigungsmodus für das integrierte Administratorkonto Diese Einstellung legt fest, ob der UAC-Administratorbestätigungsmodus auf das vordefinierte Administratorkonto angewendet wird. Die Standardeinstellung ist Deaktiviert. In der Standardeinstellung kann sich ein Benutzer mit dem vordefinierten Administratorkonto im Windows XP-kompatiblen Modus anmelden und standardmäßig alle Anwendungen mit dauerhaft erhöhten Privilegien ausführen. Falls die Einstellung Aktiviert ist, kann sich der Benutzer im Administratorbestätigungsmodus mit dem vordefinierten Administratorkonto anmelden. In diesem Modus wird für jede Operation, die erhöhte Privilegien erfordert, eine Bestätigung angefordert, sodass der Benutzer auf Fortsetzen oder Abbrechen klicken kann. Verhalten der Benutzeraufforderung mit erhöhten Rechten für Administratoren im Administratorbestätigungsmodus Diese legt fest, was passiert, wenn Administratoren eine Operation einleiten, die erhöhte Privilegien erfordert. Die Standardeinstellung ist Aufforderung zur Eingabe der Zustimmung. Es stehen folgende Optionen zur Auswahl: Aufforderung zur Eingabe der Zustimmung Wenn eine Operation eine Erhöhung der Privilegien erfordert, wird der Benutzer aufgefordert, entweder Fortsetzen oder Abbrechen anzuklicken. Falls der Administrator Fortsetzen wählt, wird die Operation mit erhöhten Privilegien ausgeführt. Aufforderung zur Eingabe der Anmeldeinformationen Wenn eine Operation eine Erhöhung der Privilegien erfordert, wird der Administrator aufgefordert, ein Kennwort einzugeben. Falls der Benutzer gültige Anmeldeinformationen eingibt, wird die Operation mit erhöhten Privilegien ausgeführt. Erhöhte Rechte ohne Eingabeanforderung Der Administrator kann eine Operation, die erhöhte Privilegien erfordert, ohne Bestätigung oder Eingabe von Anmeldeinformationen ausführen (XP-kompatibler Modus). Bei dieser Einstellung verhält sich die Oberfläche genauso wie bei der Benutzung des vordefinierten Administratorkontos in seiner Standardeinstellung. Der Benutzer könnte versehentlich Malware installieren, ohne eine Eingabeaufforderung oder Warnung zu erhalten. Aus diesem Grund sollten Sie diese Option nur verwenden, wenn dafür ein wirklich zwingender Grund vorliegt. Verhalten der Anhebungsaufforderung für Standardbenutzer Diese Einstellung legt fest, was passiert, wenn Standardbenutzer versuchen, eine Operation auszuführen, die erhöhte Privilegien erfordert. Die Standardeinstellung in Windows Vista Ultimate besteht darin, die Eingabe von Anmeldeinformationen anzufordern. Es stehen folgende Optionen zur Auswahl: Aufforderung zur Eingabe der Anmeldeinformationen Wenn eine Operation erhöhte Privilegien erfordert, wird der Benutzer aufgefordert, ein Administratorkonto auszuwählen und das zugehörige Kennwort einzugeben. Falls der Benutzer gültige Anmeldeinformationen eingibt, wird die Operation mit erhöhten Privilegien ausgeführt. Anforderungen für erhöhte Rechte automatisch ablehnen Bei dieser Option bekommt ein Standardbenutzer die Fehlermeldung, dass der Zugriff verweigert wurde, wenn er versucht, eine

14 214 Kapitel 5: Benutzerkontensteuerung Operation auszuführen, die erhöhte Privilegien erfordert. Diese Einstellung wird normalerweise in einer Unternehmensumgebung verwendet, wo die Clients Mitglieder einer Active Directory- Domäne sind und die Benutzer keine Administratoraufgaben durchführen. Schnelltest Sie wollen sicherstellen, dass Standardbenutzer keine Aufgaben durchführen dürfen, für die erhöhte Privilegien benötigt werden, und auch nicht aufgefordert werden, Administratoranmeldeinformationen einzugeben, wenn sie versuchen, solche Aufgaben durchzuführen. Welche UAC-Einstellung sollten Sie konfigurieren? Antwort zum Schnelltest Stellen Sie in Benutzerkontensteuerung: Verhalten der Anhebungsaufforderung für Standardbenutzer die Option Anforderungen für erhöhte Rechte automatisch ablehnen ein. Anwendungsinstallationen erkennen und erhöhte Rechte anfordern Diese Einstellung legt fest, ob bei der Installation von signierten und unsignierten Anwendungen eine UAC-Eingabeaufforderung zur Erhöhung der Privilegien angezeigt wird. Die Einstellung gilt für das gesamte System. Auf einem Windows Vista Ultimate-Client, der in einer Arbeitsgruppe läuft, ist die Standardeinstellung Aktiviert. Es stehen folgende Optionen zur Auswahl: Aktiviert Die UAC erkennt Anwendungsinstallationspakete, die erhöhte Privilegien erfordern, und zeigt die entsprechende Anhebungseingabeaufforderung an. Welche Eingabeaufforderung angezeigt wird, hängt davon ab, ob der Benutzer mit einem Standard- oder einem Administratorkonto angemeldet ist und ob die Anwendung signiert ist. Deaktiviert Normalerweise deaktiviert ein Domänenadministrator diese Einstellung in einer Unternehmensumgebung mit Standardbenutzerdesktops, die Techniken für delegierte Installation einsetzen, zum Beispiel GPSI (Group Policy Software Install) oder SMS (Systems Management Server). In diesem Fall ist die Erkennung von Installern unnötig. Weitere Informationen GPSI und SMS Ausführliche Informationen über GPSI finden Sie unter kb/816102, Informationen über SMS unter Diese Technologien dürften aber kaum in der Prüfung abgefragt werden. Nur ausführbare Dateien heraufstufen, die signiert und validiert sind Diese Einstellung legt fest, ob die UAC für alle interaktiven Anwendungen, die erhöhte Privilegien anfordern, eine Signaturüberprüfung durch die Infrastruktur für öffentliche Schlüssel (Public Key Infrastructure, PKI) erzwingt. Falls eine solche Überprüfung erzwungen wird, können nur signierte Anwendungen bei ihrer Installation eine UAC-Eingabeaufforderung zur Anhebung von Privilegien anzeigen lassen und sich die Berechtigung gewähren lassen, die Operation fortzusetzen. Auf einem Windows Vista Ultimate-Client, der in einer Arbeitsgruppe läuft, ist die Standardeinstellung Deaktiviert. Es stehen folgende Optionen zur Auswahl:

15 Lektion 1: Konfigurieren und Problembehandlung der Benutzerkontensteuerung 215 Deaktiviert Die UAC erzwingt nicht die Überprüfung der PKI-Zertifikatkette, bevor eine ausführbare Datei gestartet werden kann. Ein Benutzer mit erhöhten Privilegien kann unsignierte ausführbare Dateien auf dem Computer ausführen. Aktiviert Die Überprüfung der PKI-Zertifikatkette ist erforderlich, bevor eine ausführbare Datei gestartet werden kann. Diese Einstellung eignet sich für eine Unternehmensumgebung, in der ein Domänenadministrator PKI-Zertifikate im Zertifikatspeicher für vertrauenswürdige Herausgeber auf dem lokalen Computer pflegt, die festlegen, welche Programmdateien ausgeführt werden dürfen. Weitere Informationen Infrastruktur für öffentliche Schlüssel Weitere Informationen über eine Infrastruktur für öffentliche Schlüssel und die Signierung von Anwendungen finden Sie unter default.mspx. Es ist aber äußerst unwahrscheinlich, dass in der Prüfung tiefgehende Kenntnisse zu PKI verlangt werden. Nur erhöhte Rechte für UIAccess-Anwendungen, die an sicheren Orten installiert sind Diese Einstellung erzwingt, dass sich Anwendungen, die eine Ausführung mit einer UIAccess-Integritätsebene anfordern, an einem sicheren Speicherort im Dateisystem befinden müssen. Sichere Speicherorte sind nur die folgenden Verzeichnisse: \Programme\ inklusive Unterverzeichnissen \Windows\system32\r- \Programme (x86)\ inklusive Unterverzeichnissen (für 64-Bit-Windows-Versionen) Die Standardeinstellung ist Aktiviert. Es stehen folgende Optionen zur Auswahl: Aktiviert Eine Anwendung kann nur dann mit UIAccess-Integritätsstufe ausgeführt werden, wenn sie sich an einem sicheren Speicherort im Dateisystem befindet. Deaktiviert Eine Anwendung kann auch mit UIAccess-Integritätsstufe ausgeführt werden, wenn sie sich nicht an einem sicheren Speicherort im Dateisystem befindet. Hinweis PKI-Signaturüberprüfungen für UIAccess-Anwendungen Windows Vista erzwingt eine PKI-Signaturüberprüfung für alle interaktiven Anwendungen, die eine Ausführung in der UIAccess-Integritätsstufe anfordern, und zwar unabhängig von der Konfiguration dieser Sicherheitseinstellung. Hinweis Automatisieren der Benutzeroberfläche und das UIAccess-Attribut Ausführliche Informationen über die UI-Automatisierung und das UIAccess-Attribut finden Sie unter Es ist aber unwahrscheinlich, dass in der Prüfung tiefgehende Kenntnisse zu diesem Thema verlangt werden.

16 216 Kapitel 5: Benutzerkontensteuerung Alle Administratoren im Administratorbestätigungsmodus ausführen Diese Einstellung steuert das Verhalten aller UAC-Richtlinien für das gesamte System. Sie legt fest, ob alle Administratorkonten im Administratorbestätigungsmodus laufen, in dem UAC-Eingabeaufforderungen bestätigt werden müssen, um Administratoraufgaben auszuführen. Die Standardeinstellung ist Aktiviert. Der Administratorbestätigungsmodus und alle anderen UAC-Richtlinien hängen davon ab, ob diese Einstellung aktiviert ist. Wenn Sie diese Einstellung deaktivieren, schalten Sie praktisch die UAC aus. In diesem Fall werden Sie vom Sicherheitscenter benachrichtigt, dass die Sicherheit des Betriebssystems verringert wurde. Damit eine Änderung an dieser Einstellung wirksam wird, ist ein Neustart erforderlich. Schnelltest Sie möchten verhindern, dass ein Standardbenutzer irgendwelche Administratoraufgaben ausführen kann, selbst wenn er Administratoranmeldeinformationen kennt. Welche beiden UAC-Einstellungen können das verhindern? Antwort zum Schnelltest Setzen Sie Benutzerkontensteuerung: Alle Administratoren im Administratorbestätigungsmodus ausführen auf den Wert Deaktiviert. Damit wird die UAC deaktiviert. Setzen Sie Benutzerkontensteuerung: Verhalten der Anhebungsaufforderung für Standardbenutzer auf Anforderungen für erhöhte Rechte automatisch ablehnen. Diese Einstellung bewirkt, dass ein Standardbenutzer die Fehlermeldung über einen verweigerten Zugriff erhält, wenn er versucht, eine Operation auszuführen, die erhöhte Privilegien erfordert. Bei Benutzeraufforderung nach erhöhten Rechten zum sicheren Desktop wechseln Diese Einstellung legt fest, ob die sichere Desktopumgebung erscheint, wenn das System eine UAC- Eingabeaufforderung anzeigt, und ob die Eingabeaufforderung für die Privilegienanhebung auf dem Desktop des interaktiven Benutzers oder dem sicheren Desktop angezeigt wird. Die Standardeinstellung ist Aktiviert. Warum der sichere Desktop sinnvoll ist, wurde weiter oben in diesem Kapitel erläutert. Falls Sie diese Einstellung deaktivieren, könnte Ihr Computer gegen externen Angriffe verwundbar werden, die ein UAC-Dialogfeld fälschen. Praxistipp Ian McLean Wenn die Betaversion eines neuen Betriebssystems erscheint, habe ich unter anderem die Aufgabe, einen Bericht über die neuen Features zu schreiben, der an die Kollegen verteilt wird. Normalerweise werden solche Berichte innerhalb weniger Tage oder sogar Stunden erwartet, nachdem ich die Software in die Finger bekomme.

17 Lektion 1: Konfigurieren und Problembehandlung der Benutzerkontensteuerung 217 Natürlich brauche ich Bildschirmfotos. Ich melde mich also an, leite eine Administratoraufgabe ein und drücke fröhlich die DRUCK-Taste, um das angezeigte UAC-Dialogfeld zu kopieren. Natürlich funktioniert das nicht. Der sichere Desktop blockiert alle Anwendungen, auch die Funktion zum Kopieren des Bildschirminhalts. Der Aufbau von Kameras zum Abfotografieren des Monitors ist zeitaufwendig und kompliziert, und ich bekomme damit auch kaum jemals gute Ergebnisse. Fotografie ist nicht gerade eine meiner starken Seiten. Ich gebe aber nicht auf, und schließlich habe ich einige Fotos mit mäßiger Qualität vorliegen. Dann sehe ich mir die UAC-Konfigurationsoptionen an und sofort springt mir die Richtlinie Benutzerkontensteuerung: Bei Benutzeraufforderung nach erhöhten Rechten zum sicheren Desktop wechseln ins Auge. Hoppla! Die Moral von der Geschicht : Egal, wie eilig es ist, recherchieren Sie immer erst, was ein neues Feature tun kann, bevor Sie es verwenden. Datei- und Registrierungsschreibfehler an Einzelbenutzerstandorte virtualisieren Diese Einstellung legt fest, ob die UAC die Registrierung und das Dateisystem für Legacyanwendungen virtualisiert, die versuchen, in kritischen Teilen des Systems zu lesen oder schreiben. Die Standardeinstellung ist Aktiviert, das heißt, dass Schreiboperationen von Legacyanwendung in der Registrierung und dem Dateisystem auf Speicherorte im Profil des Benutzers umgeleitet werden. Dieses Feature erlaubt es einem Benutzer, Legacyanwendungen auszuführen, die früher immer im Kontext des Administratorkonto liefen und Anwendungsdaten während der Laufzeit entweder in %ProgramFiles%, %WinDir%, %WinDir%\system32 oder HKLM\Software\ schrieben. Dank der Virtualisierung können Anwendungen ausgeführt werden, die vor Windows Vista entwickelt wurden und andernfalls nicht laufen würden. Ein Administrator, der nur Windows Vista-kompatible Anwendungen verwendet, kann dieses Feature deaktivieren (auch wenn davon abgeraten wird). Wenn das Feature deaktiviert ist, können Anwendungen, die Daten in geschützte Speicherorte schreiben, nicht laufen, genauso wie in älteren Windows-Versionen. Hinweis Deaktivieren Sie die Richtlinie Datei- und Registrierungsschreibfehler an Einzelbenutzerstandorte virtualisieren nicht Aus Kompatibilitätsgründen empfiehlt Microsoft, dass Sie diese Richtlinie nicht deaktivieren. Schnelltest Sie haben eine Anwendung, die eine Benutzeroberfläche anzeigt, von C:\Programme\MyApp in D:\MyStuff\MyApp verschoben und auf Ihrem Desktop eine Verknüpfung zu dieser Anwendung angelegt. Sie stellen fest, dass die Anwendung nicht mehr läuft. Welche UAC- Einstellung könnte dafür verantwortlich sein?

18 218 Kapitel 5: Benutzerkontensteuerung Antwort zum Schnelltest Die Richtlinie Benutzerkontensteuerung: Nur erhöhte Rechte für UIAccess-Anwendungen, die an sicheren Orten installiert sind ist in der Standardeinstellung aktiviert. Das bewirkt, dass Anwendungen, die auf Benutzeroberflächen zugreifen, nur dann ausgeführt werden können, wenn sie in einem sicheren Speicherort installiert sind (zum Beispiel einem Unterverzeichnis von Programme). Sie können diese UAC-Einstellung zwar ändern, aber das ist im Allgemeinen schlechte Taktik, weil es Auswirkungen auf die Sicherheit aller solcher Anwendungen hätte. Wahrscheinlich ist es am besten, wenn Sie die Anwendung wieder an ihren ursprünglichen Speicherort verschieben. Prüfungstipp Die UAC ist ein besonders wichtiges neues Feature in Windows Vista. Die Prüfung enthält wahrscheinlich viele Fragen zur UAC und insbesondere zu UAC-Richtlinieneinstellungen. Stellen Sie sicher, dass Sie mit diesen Einstellungen vertraut sind. Problembehandlung für UAC und Programmkompatibilität Manchmal passieren bei der Bedienung von Windows Vista Dinge, die Sie nicht erwarten. Benutzer werden aufgefordert, Anmeldeinformationen einzugeben, wenn sie das nicht erwarten. Umgekehrt müssen sie keine Anmeldeinformationen eingeben, wenn sie es eigentlich erwarten. Programme laufen nicht und Software kann nicht installiert werden. Oder es laufen Programme, denen die Ausführung eigentlich verboten sein sollte. Hinweis Prüfen Sie, ob Einschränkungen eingehalten werden Wenn Benutzern die Privilegien fehlen, etwas zu tun, was sie möchten, oder Software zu installieren und auszuführen, die sie gerne verwenden möchten, beschweren sie sich recht schnell. Anders sieht es aus, wenn sie mehr Privilegien haben als erwartet, wenn sie nicht aufgefordert werden, Anmeldeinformationen einzugeben, und Software installieren und ausführen können, von der sie eigentlich erwarten, dass sie verboten sein müsste. Als IT-Experte sollten Sie regelmäßig prüfen, ob Benutzer nicht mehr tun können, als ihnen eigentlich erlaubt sein sollte. Falls Sie zum Beispiel unsignierte Programme blockiert haben, sollten Sie sicherstellen, dass solche Programme wirklich nicht ausgeführt werden können. Benutzer melden Fehler, die bewirken, dass sie etwas nicht tun können, was sie benötigen. Dagegen ist es Ihre Aufgabe, festzustellen, ob die Benutzer mehr tun können, als sie eigentlich benötigen. Überprüfen der Gruppenmitgliedschaft In einer Domänenumgebung wird die Mitgliedschaft im Allgemeinen durch die Domänen-Admins streng kontrolliert. In einer Arbeitsgruppenumgebung gibt es nach wie vor eine (bedauerliche) Tendenz, einem Benutzer auf seiner Arbeitsstation Administratorrechte zu gewähren. Falls Sie im Rahmen eines Supportvertrags ein Heimnetzwerk betreuen müssen, ist mindestens eine Person im Haushalt ein Administrator.

19 Lektion 1: Konfigurieren und Problembehandlung der Benutzerkontensteuerung 219 Prüfen Sie in einer solchen Situation die Mitgliedschaft in der lokalen Administratorengruppe. Möglicherweise haben die Eltern das Konto eines Kindes zu dieser Gruppe hinzugefügt, weil sie nicht ständig anwesend sein konnten, um ein Administratorkennwort einzugeben. Das Kind hat dann unter Umständen bestimmte Computereinstellungen umkonfiguriert. Falls ein Benutzer nicht aufgefordert wird, auf Fortsetzen zu klicken, wenn er Administratoraufgaben ausführt, sollten Sie prüfen, ob das vordefinierte Administratorkonto aktiviert wurde. Überprüfen des Softwarestatus Falls ein Benutzer versucht, Software mithilfe eines unsignierten Setupprogramms zu installieren, hängt das weitere Vorgehen davon ab, ob das Programm signiert ist. Falls die Einstellung Benutzerkontensteuerung: Nur ausführbare Dateien heraufstufen, die signiert und validiert sind den Wert Aktiviert hat, wird unsignierte Installationssoftware nicht ausgeführt. Es ist aber aufwendig, Software zu validieren und eine digitale Signatur zu besorgen, daher geben selbst seriöse Softwarehersteller manchmal unsignierte Programme heraus. Falls sich Software verhält, als wäre sie unsigniert, ist sie aller Wahrscheinlichkeit nach tatsächlich unsigniert. Falls sie aus einer seriösen und vertrauenswürdigen Quelle stammt, dürfte kaum die Gefahr bestehen, dass sie Ihrem Computer schadet. In der Standardeinstellung legt die UAC fest, dass UIAccess-Anwendungen nur dann mit erhöhten Privilegien ausgeführt werden, wenn sie in sicheren Speicherorten installiert sind. Diese Einschränkung gilt unabhängig davon, ob die Anwendung digital signiert ist oder nicht. Standardmäßig sind solche Anwendungen in sicheren Speicherorten installiert, aber gelegentlich werden sie verschoben oder kopiert. Falls eine solche Anwendung Probleme verursacht, sollten Sie ihren Speicherort überprüfen. Windows Vista kann die meisten älteren Programme ausführen, die für ältere Betriebssysteme entwickelt wurden. Manche Fremdherstelleranwendungen, die für Windows 95 (oder älter) entwickelt wurden, versuchen, direkt auf die Festplatte zuzugreifen. Solche Programme laufen nicht, und das ist auch gut so. Datenträgermanager von Fremdherstellern und Antivirensoftware verursachen unter Umständen Kompatibilitätsprobleme. Sie sollten nicht versuchen, solche Programme auszuführen. Windows Vista stellt eine Virtualisierung für geschützte Speicherorte und den Programmkompatibilitäts-Assistenten zur Verfügung. Falls keine dieser Funktionen die Ausführung eines bestimmten Legacyprogramms erlaubt, ist das wahrscheinlich auch ganz sinnvoll. Überprüfen der UAC-Einstellungen Falls die UAC nicht wie erwartet arbeitet, sollten Sie die UAC-Einstellungen überprüfen. Die Standardeinstellungen funktionieren meist recht gut. Es ist daher wahrscheinlich sinnvoll, die Standardeinstellungen wiederherzustellen, wenn Sie bemerken, dass irgendwelche Änderungen vorgenommen wurden. Falls Sie es für klug halten, können Sie anschließend bestimmte Einstellungen eine nach der anderen wieder auf den Wert ändern, den sie vorher hatten. Auf diese Weise können Sie die Einstellung aufspüren, die für das gemeldete Problem verantwortlich ist. Denken Sie auch daran, dass Sie die UAC in einer Arbeitsgruppe für jeden Computer einzeln konfigurieren müssen. Falls ein Benutzer normalerweise an einer Arbeitsstation arbeitet und ausnahmsweise eine andere verwendet, kann es sein, dass sich die Abläufe unterscheiden. Was als Fehler gemeldet wird, ist möglicherweise gar kein Fehler, sondern einfach die Einstellung, die jemand anders vorgenommen hat.

20 220 Kapitel 5: Benutzerkontensteuerung Manchmal sind einem lokalen Administrator die Auswirkungen der UAC-Einstellungen nicht klar. Ein solcher Benutzer könnte zum Beispiel die Einstellung Datei- und Registrierungsschreibfehler an Einzelbenutzerstandorte virtualisieren deaktivieren, weil er meint: Ich verstehe nicht, was diese Einstellung tut, daher schien es sinnvoll, sie zu deaktivieren. Der Benutzer meldet dann, dass wichtige Legacysoftware nicht mehr läuft. Oder ein Benutzer hat die Einstellung Alle Administratoren im Administratorbestätigungsmodus ausführen deaktiviert, weil er dachte, dass diese Einstellung nur für Administratoren gilt. Dann meldet er, dass Standardbenutzer keine Programme mehr ausführen können, indem sie Administratoranmeldeinformationen eingeben. Indem Sie die UAC-Standardeinstellungen wiederherstellen, schaffen Sie sich einen vernünftigen Ausgangspunkt. Anschließend können Sie sich von dieser Basis aus vorarbeiten. Praxisübung: Konfigurieren der UAC und Testen Ihrer Einstellungen In dieser Übung konfigurieren Sie UAC-Einstellungen und testen sie, während Sie sich mit unterschiedlichen Konten für Standardbenutzer, Administrator und vordefinierten Administrator anmelden. Die Übung verwendet die Benutzerkonten, die Sie in Kapitel 4, Konfigurieren und Problembehandlung des Internetzugangs, angelegt haben. Wenn Sie die Übungen genau entsprechend der Anleitung durcharbeiten wollen, müssen Sie die Übungen 1, 2 und 3 in Kapitel 4, Konfigurieren und Problembehandlung des Internetzugangs, Lektion 1, Konfigurieren und Problembehandlung von Jugendschutz und Inhaltsratgeber, erfolgreich abgeschlossen haben. Zumindest müssen Sie aber ein Standardbenutzerkonto anlegen. Wenn Sie wollen, können Sie dazu das Administratorkonto verwenden, das Sie bei der Installation von Windows Vista angelegt haben. Übung 1: Hinzufügen des Ordners Verwaltung zu Alle Programme im Startmenü In Kapitel 4, Konfigurieren und Problembehandlung des Internetzugangs, haben Sie den Ausführen-Befehl zum Startmenü hinzugefügt und dann Tools wie Lokale Benutzer und Gruppen gestartet, indem Sie die Microsoft Management Console (MMC) über das Feld Ausführen gestartet und dort das nötige Snap-In hinzugefügt haben. Wenn Sie den Ordner Verwaltung zu Alle Programme im Startmenü hinzufügen, bekommen Sie eine bequemere Methode, um auf diese Tools zuzugreifen. 1. Melden Sie sich mit dem Konto Eltern_Admin an, das Sie in Kapitel 4, Konfigurieren und Problembehandlung des Internetzugangs, erstellt haben. (Das zugehörige Kennwort ist P@ssw0rd.) 2. Klicken Sie mit der rechten Maustaste auf die Start-Schaltfläche und wählen Sie den Befehl Eigenschaften. 3. Klicken Sie auf der Registerkarte Startmenü auf Anpassen. 4. Blättern Sie zum Eintrag Systemverwaltung und wählen Sie darin die Option Im Menü "Alle Programme" anzeigen aus (Abbildung 5.12). 5. Klicken Sie auf OK. 6. Klicken Sie auf OK, um das Dialogfeld Eigenschaften von Taskleiste und Startmenü zu schließen.

21 Lektion 1: Konfigurieren und Problembehandlung der Benutzerkontensteuerung 221 Abbildung 5.12 Anzeigen des Ordners Verwaltung in Alle Programme Übung 2: Aktivieren des vordefinierten Administratorkontos Ausschließlich für Testzwecke aktiviert diese Übung das vordefinierte Administratorkonto. Vorher benennen Sie das Konto aber um und weisen ihm ein komplexes Kennwort zu. Dieses Konto sollte immer kennwortgeschützt sein und nicht den Namen Administrator tragen. 1. Melden Sie sich mit dem Konto Eltern_Admin an, sofern noch nicht geschehen. Abbildung 5.13 Umbenennen des Administratorkontos

22 222 Kapitel 5: Benutzerkontensteuerung 2. Klicken Sie im Startmenü auf Alle Programme, dann auf Verwaltung und schließlich auf Computerverwaltung. 3. Klicken Sie im UAC-Dialogfeld auf Fortsetzen. 4. Erweitern Sie den Knoten Lokale Benutzer und Gruppen und klicken Sie auf Benutzer. 5. Klicken Sie in der Detailansicht mit der rechten Maustaste auf das Konto Administrator und wählen Sie den Befehl Umbenennen (Abbildung 5.13). 6. Geben Sie dem Administratorkonto den Namen Don_Hall. 7. Klicken Sie mit der rechten Maustaste auf Don_Hall und wählen Sie den Befehl Kennwort festlegen. 8. Lesen Sie die Meldung im Warnfeld und klicken Sie dann auf Fortsetzen. Wichtig Ändern des Kennworts für einen Benutzer Falls Sie als Administrator das Kennwort eines Benutzers ändern, kann dieser Benutzer seine Dateien nicht mehr lesen, falls sie mit dem verschlüsselnden Dateisystem (Encrypting File System, EFS) geschützt sind. Wenn ein Benutzer dagegen selbst sein Kennwort ändert, wobei er sein bisheriges Kennwort angeben muss, bleiben mit EFS verschlüsselte Dateien lesbar. Im ersten Fall müssen die Dateien von einem Entschlüsselungsagenten entschlüsselt und dann (bei Bedarf) mit dem neuen Verschlüsselungsschlüssel des Benutzers wieder verschlüsselt werden. Das sollte Benutzer hoffentlich anregen, ihre Kennwörter nicht zu vergessen. Weitere Informationen finden Sie unter b505401c-5ec8-4f0f-b82b-ea24b28bfbad1033.mspx?mfr=true. 9. Geben Sie ein komplexes Kennwort ein und bestätigen Sie es, zum Beispiel 10. Klicken Sie auf OK und dann erneut auf OK, um das Meldungsfeld zu schließen, das Sie informiert, dass das Kennwort gesetzt wurde. 11. Klicken Sie mit der rechten Maustaste auf Don_Hall und wählen Sie den Befehl Eigenschaften. 12. Deaktivieren Sie auf der Registerkarte Allgemein das Kontrollkästchen Konto ist deaktiviert und klicken Sie auf OK. 13. Wechseln Sie den Benutzer zu Don_Hall. 14. Führen Sie eine Administratoraufgabe aus, zum Beispiel können Sie die Systemzeit ändern. Es wird kein UAC-Dialogfeld geöffnet und Sie brauchen keine Genehmigung zu erteilen, damit die Operation durchgeführt werden kann. 15. Führen Sie eine Anwendungsdatei aus, zum Beispiel die Setup.exe-Datei, die auf praktisch jeder Microsoft-Softwareinstallations-CD-ROM zu finden ist. Das UAC-Dialogfeld wird nicht angezeigt. 16. Wechseln Sie wieder den Benutzer zurück zu Eltern_Admin.

23 Lektion 1: Konfigurieren und Problembehandlung der Benutzerkontensteuerung 223 Übung 3: Konfigurieren von UAC-Einstellungen In dieser Übung konfigurieren Sie UAC-Einstellungen und testen sie, indem Sie sich als Standardbenutzer, als Administrator und mit dem vordefinierten Administratorkonto anmelden. Die Übung konfiguriert nicht alle Einstellungen neu, sondern nur einige ausgewählte Beispiele. Sie können die Übung ausweiten, indem Sie mit den Einstellungen experimentieren, die nicht verändert werden. Gehen Sie diese Übung erst an, wenn Sie die Übungen 1 und 2 erfolgreich abgeschlossen haben. 1. Melden Sie sich mit dem Konto Eltern_Admin an, sofern noch nicht geschehen. 2. Klicken Sie im Startmenü auf Alle Programme, dann auf Verwaltung und schließlich auf Lokale Sicherheitsrichtlinie. Falls Sie den Ordner Verwaltung nicht zum Menü Alle Programme hinzugefügt haben, können Sie dieses Tool auch öffnen, indem Sie in das Feld Ausführen den Befehl Secpol.msc eingeben und auf OK klicken. 3. Klicken Sie im UAC-Dialogfeld auf Fortsetzen. 4. Erweitern Sie den Knoten Lokale Richtlinien und klicken Sie auf Sicherheitsoptionen. 5. Blättern Sie die Liste der Richtlinien durch. 6. Klicken Sie doppelt auf Benutzerkontensteuerung: Administratorbestätigungsmodus für das integrierte Administratorkonto. 7. Wählen Sie auf der Registerkarte Lokale Sicherheitseinstellung die Option Aktiviert aus (Abbildung 5.14) und klicken Sie auf OK. Abbildung 5.14 Aktivieren des Administratorbestätigungsmodus für das eingebaute Administratorkonto