Lokale Benutzer und Gruppen

Transkript

1 115 K A P I T E L 3 Lokale Benutzer und Gruppen In diesem Kapitel abgedeckte Prüfungsziele: Konfigurieren der Benutzerumgebung Konfigurieren und Problembehandlung für schnelle Benutzerumschaltung Konfigurieren und Problembehandlung von lokalen Benutzer- und Gruppenkonten Beantworten von Endbenutzerfragen zu Benutzerkonten Konfigurieren und Problembehandlung von lokalen Benutzerkonten Beantworten von Endbenutzerfragen zu lokalen Gruppenkonten Konfigurieren und Problembehandlung von lokalen Gruppenkonten Problembehandlung für Systemstart und Benutzeranmeldung Beantworten von Endbenutzerfragen zu Benutzeranmeldungsproblemen Problembehandlung für lokale Benutzeranmeldung Problembehandlung für Domänenbenutzeranmeldung Problembehandlung für Sicherheitseinstellungen und lokale Sicherheitsrichtlinien Beantworten von Endbenutzerfragen zu Sicherheitseinstellungen Erkennen von Endbenutzerproblemen, die durch lokale Sicherheitsrichtlinien verursacht werden, zum Beispiel lokale Sicherheitseinstellungen und Sicherheitskonfiguration und -analyse Erkennen von Endbenutzerproblemen, die durch Netzwerksicherheitsrichtlinien verursacht werden, zum Beispiel Richtlinienergebnissatz und Gruppenrichtlinien Bedeutung dieses Kapitels Als DST wird es Ihre Aufgabe sein, Problembehandlungen für Anmeldung und Ressourcenzugriff durchzuführen, die mit lokalen Benutzerkonten und Sicherheitsgruppen in Zusammenhang stehen. Dieser Bereich ist besonders für Privatbenutzer und in kleinen Netzwerken wichtig, weil lokale Konten die wichtigste Methode sind, Ressourcen auf Computern in einer Arbeitsgruppenumgebung abzusichern. Es wird nicht Ihre Aufgabe als DST sein, in einer Domänenumgebung Benutzerkonten und Gruppen zu er-

2 116 Teil I Selbststudium stellen und zu verwalten, aber Sie sollten diese Themen kennen, weil Sie möglicherweise eine Problembehandlung durchführen müssen, wenn Probleme bei Domänenanmeldung und -ressourcenzugriff auftreten. Dieses Kapitel behandelt Support und Problembehandlung für lokale Benutzerkonten und Sicherheitsgruppen, außerdem die Problembehandlung für typische Probleme bei lokaler und Domänenanmeldung. Schließlich erklärt dieses Kapitel noch die Arbeit mit lokalen Sicherheitseinstellungen und Sicherheitsrichtlinien auf einem Computer, der unter Microsoft Windows XP läuft. Lektionen in diesem Kapitel: Lektion 1: Lokale Benutzerkonten und Gruppen Lektion 2: Problembehandlung für die Benutzeranmeldung Lektion 3: Sicherheitseinstellungen und die lokale Sicherheitsrichtlinie Bevor Sie beginnen Bevor Sie dieses Kapitel durcharbeiten, sollten Sie mit der grundsätzlichen Bedienung des Windows-Betriebssystems vertraut sein. Damit Sie die Übungen in diesem Kapitel durchführen können, brauchen Sie einen Computer, auf dem Windows XP Professional läuft.

3 Kapitel 3 Lokale Benutzer und Gruppen 117 Lektion 1: Lokale Benutzerkonten und Gruppen Ein Benutzerkonto ist eine Sammlung von Einstellungen, die definieren, welche Aktionen ein Benutzer ausführen kann, nachdem er sich an Windows XP angemeldet hat. Windows steuert den Zugriff auf Systemressourcen abhängig von Berechtigungen und Benutzerrechten, die mit dem jeweiligen Benutzerkonto verknüpft sind. Benutzerrechte sind etwas ganz anderes als Berechtigungen. Benutzerrechte beziehen sich auf die Fähigkeit eines Benutzers, bestimmte Rollen auf einem Computer einzunehmen. Berechtigungen dagegen steuern die Fähigkeit eines Benutzers, auf Ressourcen zuzugreifen, zum Beispiel auf Dateien, Ordner und Drucker. Lokale Benutzerkonten steuern den Zugriff auf Ressourcen auf dem lokalen Computer, Domänenbenutzerkonten steuern den Zugriff auf Ressourcen in einem Netzwerk, auf dem der Active Directory-Verzeichnisdienst läuft. Sie können Sicherheitsgruppen (sowohl lokale als auch auf Domänenebene) nutzen, um Benutzer entsprechend den benötigten Zugriffsmöglichkeiten einzuteilen. Als DST fällt es in Ihren Aufgabenbereich, lokale Benutzerkonten und lokale Sicherheitsgruppen in einer Arbeitsgruppenumgebung zu erstellen, zu konfigurieren und eine Problembehandlung dafür durchzuführen. In einer Domänenumgebung brauchen Sie keine Benutzerkonten oder Gruppen zu erstellen oder zu verwalten, aber Sie müssen in der Lage sein, bei Anmeldeproblemen von Domänenbenutzern Hilfe zu leisten. Am Ende dieser Lektion werden Sie in der Lage sein, die folgenden Aufgaben auszuführen: Erklären des Unterschieds zwischen lokalen und Domänenkonten. Nennen der vordefinierten Benutzerkonten, die in Windows XP Professional zur Verfügung stehen. Erstellen und Ändern eines Benutzerkontos in Windows XP Professional. Erklären des Zwecks von Gruppen. Erstellen und Hinzufügen von Mitgliedern zu einer Gruppe in Windows XP Professional. Erklären der Einschränkungen von Benutzerkonten in Windows XP Home Edition. Konfigurieren der schnellen Benutzerumschaltung. Veranschlagte Zeit für diese Lektion: 45 Minuten Der Anmeldevorgang Wie Sie aus Kapitel 1,»Einführung in den Desktopsupport«, wissen, kann ein Computer, der unter Windows XP Professional läuft, entweder Mitglied einer Arbeitsgruppe oder einer Domäne sein (Windows XP Home Edition bietet keine Unterstützung für die Mitgliedschaft in Domänen). Sogar wenn Sie einen einzelnen Computer haben, der ganz isoliert läuft, ist er Mitglied einer Arbeitsgruppe. Computer in einer Arbeitsgruppe greifen auf lokale Sicherheitsdatenbanken zurück, die auf jedem einzelnen Computer gespeichert sind. Computer in einer Domäne greifen auf eine Sicherheitsdatenbank zu, die Teil von Active Directory ist.

4 118 Teil I Selbststudium Wenn Sie sich an einem Computer anmelden, der Mitglied einer Arbeitsgruppe ist, melden Sie sich lokal an diesem Computer an. Das bedeutet, dass der von Ihnen eingegebene Benutzername und das Kennwort mit den Werten in der Datenbank für lokale Konten auf dem Computer verglichen werden, an dem Sie arbeiten. Waren die Anmeldeinformationen korrekt, erhalten Sie Zugriff auf den Windows-Desktop und alle lokalen Ressourcen, für deren Benutzung Sie die entsprechende Berechtigung haben. Wenn Sie sich an einem Computer anmelden, der Mitglied einer Domäne ist, haben Sie zwei Möglichkeiten, die auf dem Anmeldebildschirm angeboten werden. Sie können sich entweder am lokalen Computer oder an der Domäne anmelden. Falls Sie sich an der Domäne anmelden, werden Ihre Anmeldeinformationen mit einer Liste von Benutzern verglichen, die in Active Directory definiert sind. Diese Anmeldeinformationen steuern Ihren Zugriff auf Ressourcen, und zwar sowohl auf dem lokalen Computer als auch im Netzwerk. Benutzer in einer Domänenumgebung sollten sich immer an der Domäne anmelden, nicht am lokalen Computer. Damit haben lokale Benutzerkonten in einer Domäne eine geringere Bedeutung als in einer Arbeitsgruppe. Die Möglichkeit, sich lokal anzumelden, ist trotzdem für die Problembehandlung von Anmeldeproblemen nützlich, weil dabei Active Directory umgangen wird. Hinweis Diese Lektion konzentriert sich auf Features, die in Windows XP Professional zur Verfügung gestellt werden. Windows XP Home Edition bietet nur einen Teil dieser Features. Am Ende der Lektion finden Sie detaillierte Informationen über die Unterschiede zwischen Windows XP Professional und Windows XP Home Edition. Lokale Benutzerkonten verwenden Sie für folgende Aufgaben: Um ersten Zugriff auf den Computer zu erhalten. Um den Zugriff auf lokale Computerressourcen zu steuern. Um den Zugriff auf Netzwerkressourcen in einer Arbeitsgruppenumgebung zu steuern. In Windows XP Professional stehen folgende Tools zur Verfügung, um Gruppen zu erstellen: Benutzerkonten: Das Modul Benutzerkonten steht in der Systemsteuerung zur Verfügung. Dieses Tool stellt eine einfache Oberfläche zum Erstellen von Benutzerkonten zur Verfügung sowie eine beschränkte Zahl von Möglichkeiten zum Verwalten von Konten, zum Beispiel die Fähigkeit, Kennwörter zu ändern und den grundlegenden Kontotyp umzustellen. Lokale Benutzer und Gruppen: Das Tool Lokale Benutzer und Gruppen (Abbildung 3.1) können Sie über den Ordner Verwaltung öffnen. Dieses Tool bietet eine leistungsfähigere Umgebung zum Erstellen und Verwalten von Benutzern als das Tool Benutzerkonten. Sie können mit Lokale Benutzer und Gruppen alle Aktionen ausführen, die im Tool Benutzerkonten möglich sind, haben aber darüber hinaus eine Reihe weiterer Möglichkeiten. Aus diesem Grund konzentriert sich diese Lektion auf die Verwendung des Tools Lokale Benutzer und Gruppen.

5 Kapitel 3 Lokale Benutzer und Gruppen 119 Abbildung 3.1 Verwalten von Konten mit dem Tool Lokale Benutzer und Gruppen Standardbenutzerkonten Wenn Sie Windows XP Professional installieren, erstellt das Setupprogramm mehrere Benutzerkonten automatisch. Diese vordefinierten Benutzerkonten sind: Administrator: Das lokale Administratorkonto ist sicherlich das wichtigste Benutzerkonto auf einem Computer. Dieses Konto ist Mitglied der Administratorengruppe und hat vollen Zugriff auf den Computer. Sie sollten das Administratorkonto nur zum Verwalten eines Computers verwenden, es ist nicht für die normale Computerbenutzung gedacht. Falls Sie feststellen, dass ein Benutzer das Administratorkonto regelmäßig verwendet, sollten Sie ihm empfehlen, für die normale Arbeit ein anderes Konto zu verwenden. Tipp Das anfängliche Kennwort für das Administratorkonto wird während der Installation von Windows XP Professional zugewiesen. Falls Sie sich zum ersten Mal an einem Windows XP-Computer anmelden und sich nicht erinnern, während der Installation ein Kennwort eingegeben zu haben, ist es möglich, dass Sie aus Versehen ein leeres Kennwort gewählt haben. Haben Sie ein Kennwort eingegeben, aber es wird beim ersten Anmelden nicht erkannt, dann haben Sie beim Eingeben des Kennworts möglicherweise Groß- und Kleinschreibung durcheinander gebracht. Bei Windows XP-Kennwörtern wird zwischen Groß- und Kleinschreibung unterschieden. Gast: Das Gastkonto hat eingeschränkte Rechte auf einem Computer. Es dient dazu, Benutzern den Zugriff zu ermöglichen, die auf dem Computer nicht über ein Benutzerkonto verfügen. Das Gastkonto kann zwar nützlich sein, um eingeschränkten Zugriff auf einen Computer zu gewähren, es stellt aber ein Sicherheitsproblem dar, weil das Gastkonto implizit dafür sorgt, dass sich jeder am Computer anmelden kann. Sie erhalten eine sicherere Umgebung, wenn Sie das Gastkonto deaktivieren und ein normales Benutzerkonto für alle erstellen, die mit dem Computer arbeiten müssen. Hilfeassistent: Das Konto Hilfeassistent steht nicht für eine Standardanmeldung zur Verfügung. Dieses Konto dient dazu, Benutzer zu authentifizieren, die eine Verbin-

6 120 Teil I Selbststudium dung mithilfe der Remoteunterstützung herstellen. Windows aktiviert dieses Konto automatisch, wenn ein Benutzer eine Remoteunterstützungseinladung erstellt, und deaktiviert das Konto automatisch wieder, nachdem alle Einladungen abgelaufen sind. Über Remoteunterstützung erfahren Sie mehr in Kapitel 10,»Netzwerkverbindungen«. SUPPORT_xxxxx: Das Konto SUPPORT_xxxxx (wobei xxxxx eine Zufallszahl ist, die während des Windows-Setups generiert wird) wird von Microsoft verwendet, wenn es Remoteunterstützung über die Hilfe- und Supportdienste gewährt. Es steht nicht für die Anmeldung oder die normale Benutzung zur Verfügung. Sie können zwar keines der vordefinierten Benutzerkonten löschen, aber Sie können sie umbenennen oder deaktivieren. Wenn Sie ein Benutzerkonto umbenennen wollen, klicken Sie im Fenster Computerverwaltung mit der rechten Maustaste auf das Konto und wählen dann den Befehl Umbenennen. Über das Deaktivieren von Konten lernen Sie mehr weiter unten in dieser Lektion. Erstellen von Benutzerkonten Jeder Benutzer in einer Organisation sollte über ein eigenes Benutzerkonto verfügen. Über dieses Konto kann Windows steuern, worauf jeder einzelne Benutzer zugreifen darf. Außerdem kann ein Administrator den Ressourcenzugriff von Benutzern mit den Überwachungsfunktionen in Windows XP analysieren. Jeder Benutzer sollte ein eigenes, eindeutiges Benutzerkonto haben. Sie sollten Benutzer warnen, ihre Konten nicht gemeinsam mit anderen zu nutzen, weil es schwieriger ist, Ressourcen entsprechend den Bedürfnissen einzelner Benutzer abzusichern, wenn die Benutzer sich dieselben Konten teilen. Wenn Sie ein lokales Benutzerkonto erstellen wollen, müssen Sie sich mit dem eingebauten Administratorkonto am Computer anmelden oder mit einem anderen Benutzerkonto, das Mitglied der Gruppen Administratoren oder Hauptbenutzer ist. So erstellen Sie Benutzerkonten in Windows XP Professional: Gehen Sie folgendermaßen vor, um in Windows XP Professional Benutzerkonten zu erstellen: 1. Wählen Sie im Startmenü Systemsteuerung. 2. Klicken Sie im Fenster Systemsteuerung auf Leistung und Wartung. 3. Klicken Sie im Fenster Leistung und Wartung auf Verwaltung. 4. Klicken Sie im Fenster Verwaltung auf Computerverwaltung. Tipp Es gibt eine kürzere Methode, das Fenster Computerverwaltung zu öffnen, als über die Systemsteuerung. Klicken Sie einfach mit der rechten Maustaste auf das Symbol Arbeitsplatz und wählen Sie Verwalten. 5. Erweitern Sie im Fenster Computerverwaltung die Zweige System und dann Lokale Benutzer und Gruppen.

7 Kapitel 3 Lokale Benutzer und Gruppen Klicken Sie im Knoten Lokale Benutzer und Gruppen mit der rechten Maustaste auf den Ordner Benutzer und wählen Sie Neuer Benutzer. 7. Geben Sie im Dialogfeld Neuer Benutzer die entsprechenden Informationen ein (Abbildung 3.2). Abbildung 3.2 Anlegen eines neuen Benutzers 8. Klicken Sie auf Erstellen, wenn Sie fertig sind. Der neue Benutzer wird nun im Ordner Benutzer aufgelistet. Beim Anlegen eines Benutzers können Sie folgende Informationen eingeben: Benutzername: Der Benutzername ist der Name, unter dem sich der Benutzer am Computer anmeldet. Sie müssen für jeden Benutzer einen Benutzernamen eingeben. Wenn Sie den Benutzernamen eintippen, merkt sich Windows XP die Groß- und Kleinschreibung, aber beim Überprüfen des Benutzernamens wird nicht zwischen Groß- und Kleinschreibung unterschieden. Benutzernamen können maximal 20 Zeichen lang sein, sie dürfen nicht ausschließlich aus Leerzeichen oder Punkten bestehen und sie müssen in der lokalen Kontendatenbank einmalig sein. Benutzernamen dürfen nicht die folgenden Zeichen enthalten: * / \ [ ] : ; =, +? < > " Vollständiger Name: Sie können auch den vollständigen Namen des Benutzers eingeben. Dies ist nicht erforderlich, hilft aber dabei, den Benutzer zu identifizieren. Der vollständige Name braucht nicht dem Benutzernamen für die Anmeldung zu ähneln. Beschreibung: Auch die Beschreibung ist optional. Sie wird nur für Informationszwecke verwendet. Sie können zum Beispiel die Stellenbezeichnung des Benutzers eingeben, seine Abteilung oder andere Informationen, die Sie für nützlich halten. Kennwort: Kennwörter können bis zu 128 Zeichen lang sein, bei ihnen wird zwischen Groß- und Kleinschreibung unterschieden. Sie müssen die Eingabe des Kennworts bestätigen, um sicherzustellen, dass keine Tippfehler beim Eingeben des Kennworts gemacht wurden. Weitere Informationen über Kennwörter finden Sie im Textkasten»Starke Kennwörter«.

8 122 Teil I Selbststudium Benutzer muss Kennwort bei der nächsten Anmeldung ändern: Dieses Kontrollkästchen, das als Standardeinstellung aktiviert ist, konfiguriert Windows XP so, dass der Benutzer aufgefordert wird, das Kennwort zu ändern, wenn er sich das nächste Mal anmeldet. Es empfiehlt sich, diese Option für neue Benutzerkonten zu aktivieren. Sie können allen Benutzerkonten dasselbe Anfangskennwort zuweisen, und die Benutzer müssen ihr Kennwort ihren Vorstellungen entsprechend ändern. Benutzer kann Kennwort nicht ändern: Diese Einstellung verhindert, dass der Benutzer sein Kennwort jemals ändern kann. Dieses Kontrollkästchen ist in der Standardeinstellung nicht aktiviert. Es wird auch selten verwendet, weil die Benutzer aus Sicherheitsgründen ihre Kennwörter regelmäßig ändern sollten. Gelegentlich gibt es aber Fälle, in denen Sie wollen, dass der Administrator die Kennwörter steuert, zum Beispiel für das Gastkonto oder andere Konten, die von mehreren Benutzern verwendet werden. Dieses Kontrollkästchen ist abgeblendet, falls das Kontrollkästchen Benutzer muss Kennwort bei der nächsten Anmeldung ändern aktiviert ist. Kennwort läuft nie ab: Diese Einstellung überschreibt alle Richtlinien zum Ablauf von Kennwörtern, die in der lokalen Sicherheitsrichtlinie oder mit Gruppenrichtlinien konfiguriert werden. In Lektion 3,»Sicherheitseinstellungen und die lokale Sicherheitsrichtlinie«, finden Sie weitere Informationen zu diesem Thema. Dieses Kontrollkästchen ist abgeblendet, wenn das Kontrollkästchen Benutzer muss Kennwort bei der nächsten Anmeldung ändern aktiviert ist. Konto ist deaktiviert: Diese Option verhindert, dass sich jemand mit diesem Konto anmelden kann. Falls ein Benutzer versucht, sich mit einem deaktivierten Konto anzumelden, erhält er eine Fehlermeldung und der Zugriff wird verweigert. Aus Sicherheitsgründen können Sie alle neuen Benutzerkonten deaktiviert lassen, bis der jeweilige der Benutzer zum ersten Mal Zugriff braucht. Das ist insbesondere sinnvoll, wenn Sie allen neuen Benutzern dasselbe Kennwort zuweisen (und dieses Kennwort daher in Ihrer Organisation allgemein bekannt ist). Praxistipp Starke Kennwörter Schwache (das heißt unsichere) Kennwörter stellen in den meisten Umgebungen ein großes Sicherheitsrisiko dar. Aus diesem Grund sollten Sie die Benutzer ermahnen, starke (sichere) Kennwörter zu wählen und zu verwenden, auch wenn sie sich dagegen sträuben. Die folgende Liste zeigt, warum viele übliche Kennwörter als schwach gelten: Überhaupt kein Kennwort zu verwenden, ist sehr unsicher, weil es für andere Benutzer zu einfach ist, zu einem ungesicherten Computer zu gehen und sich anzumelden. Der eigene Name, Benutzername oder Firmenname als Kennwort ist einfach zu erraten. Vermeiden Sie auch häufig verwendete Kennwörter wie zum Beispiel»geheim«oder»Kennwort«. Ein normales Wort, das im Wörterbuch steht, erhöht die Verwundbarkeit gegenüber Programmen, die dazu entwickelt werden, Kennwörter automatisch zu erraten.

9 Kapitel 3 Lokale Benutzer und Gruppen 123 Ein Kennwort, das Sie aufschreiben oder jemand anders sagen, ist nicht sicher. Die folgenden Richtlinien zeigen, wie starke Kennwörter aussehen sollten: Kennwörter sollten mindestens acht Zeichen lang sein. Je länger, desto besser. Kennwörter sollten eine Kombination aus Klein- und Großbuchstaben, Zahlen und Symbolen (zum Beispiel ` # $ % ^ & * ( ) _ + - = { } / [ ] \ : " ; < >?,. / oder ein Leerzeichen) sein. Kennwörter sollten regelmäßig geändert werden. Ein Beispiel für eine Kennwort, das entsprechend diesen Richtlinien als stark gilt, ist»x2#hg&5t«. Fall Benutzer Probleme haben, sich komplizierte Kennwörter zu merken, können Sie darauf hinweisen, dass Windows XP auch die Verwendung von Kennwortphrasen (englisch»passphrase«) statt von einzelnen Kennwörtern erlaubt. Zum Beispiel ist»meine Oma jätet jede Woche dreimal Unkraut«ein gültiges Kennwort für Windows XP. Eine andere Technik ist es, einfache Wörter mit Zahlen und Symbolen zu kombinieren. Ein Beispiel für ein Kennwort, das mit dieser Methode gebildet wurde:»2hähne+2hennen=4küken«(mathematisch anfechtbar, aber einfach zu merken). Verwalten von Benutzerkonten Beim Anlegen eines Benutzerkontos können Sie nur einen Teil der verfügbaren Kontoeigenschaften konfigurieren. Nachdem Sie ein Konto erstellt haben, können Sie etliche weitere Eigenschaften konfigurieren, indem Sie in Lokale Benutzer und Gruppen mit der rechten Maustaste auf das Benutzerkonto klicken und den Befehl Eigenschaften wählen. Auf der Registerkarte Allgemein im Eigenschaftendialogfeld für ein Benutzerkonto (Abbildung 3.3) können Sie die Informationen ändern, die Sie beim Anlegen des Kontos eingegeben haben. Die Registerkarte Allgemein bietet außerdem die Möglichkeit, ein Konto zu deaktivieren. Dies ist eine nützliche Sicherheitsmaßnahme, falls der Benutzer die Organisation verlassen hat oder längere Zeit in Urlaub ist. Die Registerkarte Mitgliedschaft im Eigenschaftendialogfeld eines Benutzerkontos zeigt, in welchen Gruppen das Benutzerkonto Mitglied ist. Über Gruppen erfahren Sie mehr im Abschnitt»Gruppen«weiter unten in dieser Lektion. Auf der Registerkarte Profil (Abbildung 3.4) können Sie Benutzerprofile und den Pfad zum Basisordner des Benutzers konfigurieren. Auf diese Weise können Administratoren bei Bedarf die Arbeitsumgebung des Benutzers anpassen. Über das Verwenden von Benutzerprofilen erfahren Sie mehr im Abschnitt»Benutzerprofile«weiter unten in dieser Lektion. Basisordner sind freigegebene Ordner auf einem Netzwerkserver. Benutzer können dort Dateien speichern. In einer vernetzten Umgebung kann das zentralisierte Speichern von Benutzerdokumenten im Netzwerk Vorteile gegenüber dem Speichern der Dokumente auf den einzelnen lokalen Computern haben, weil es die Sicherheit erhöht und das Anfertigen einer Datensicherung erleichtert. Als DST fällt es nicht in Ihren Aufgabenbereich, Basisordner in einer Domänenumgebung zu konfigu-

10 124 Teil I Selbststudium rieren. Möglicherweise müssen Sie aber die Basisordner für Benutzer in einer Arbeitsgruppe konfigurieren. Abbildung 3.3 Auf der Registerkarte Allgemein im Eigenschaftendialogfeld eines Benutzerkontos können Sie die grundlegenden Kontoeigenschaften verändern Abbildung 3.4 Auf der Registerkarte Profil im Eigenschaftendialogfeld eines Benutzerkontos können Sie ein Benutzerprofil und einen Basisordner festlegen

11 Kapitel 3 Lokale Benutzer und Gruppen 125 Gruppen Neben dem Konfigurieren von Benutzerkontoeinstellungen mit dem Eigenschaftendialogfeld des Benutzerkontos können Sie etliche wichtige Benutzerverwaltungsfunktionen auch ausführen, indem Sie im Fenster Lokale Benutzer und Gruppen mit der rechten Maustaste auf ein Benutzerkonto klicken. Im Kontextmenü stehen folgende Befehle zur Verfügung: Kennwort festlegen: Mit diesem Befehl können Sie das Kennwort eines Benutzers zurücksetzen. Sie brauchen das bisherige Kennwort nicht zu kennen, um es zu ändern. Löschen: Mit diesem Befehl können Sie Benutzerkonten löschen, falls sie nicht mehr benötigt werden. Beachten Sie, dass Sie ein Konto nicht wiederherstellen können, nachdem Sie es einmal gelöscht haben. Aus diesem Grund ist es normalerweise besser, Konten zu deaktivieren, statt sie zu löschen. Umbenennen: Mit diesem Befehl können Sie ein Benutzerkonto umbenennen, falls ein Angestellter ein Unternehmen verlässt und jemand anders seine Aufgabe übernimmt. Sie können einfach das vorhandene Benutzerkonto umbenennen und (aus Sicherheitsgründen) das Kennwort ändern, dann brauchen Sie kein neues Konto für den neuen Benutzer anzulegen. Gruppen vereinfachen das Zuweisen von Berechtigungen und Benutzerrechten an Benutzerkonten. Statt Berechtigungen und Rechte jedem einzelnen Benutzerkonto zuzuweisen, können Sie die Berechtigungen und Benutzerrechte einer Gruppe zuweisen und dann Benutzer in diese Gruppe aufnehmen. Nehmen Sie als Beispiel ein Unternehmen, in dem es 20 Benutzer gibt, die alle Zugriff auf einen bestimmten Drucker brauchen. Es gibt zwei Möglichkeiten, das zu erreichen: Sie können jedem der 20 Benutzerkonten einzeln Zugriff auf den Drucker gewähren. Diese Methode ist zeitraubend und die Fehlerwahrscheinlichkeit steigt mit jedem weiteren Benutzerkonto, das Sie konfigurieren. Sie können eine einzige Gruppe anlegen, die 20 Benutzerkonten zu Mitgliedern dieser Gruppe machen und dieser Gruppe den Zugriff auf den Drucker gewähren. Alle Benutzer, die Mitglieder einer Gruppe sind, erhalten automatisch die Berechtigungen, die der Gruppe zugewiesen sind. Diese Methode vereinfacht die Verwaltung. Benötigt ein weiteres Benutzerkonto Zugriff auf den Drucker, können Sie dieses Benutzerkonto einfach zu der Gruppe hinzufügen. Und soll ein Benutzer nicht mehr Zugriff auf den Drucker haben, können Sie das entsprechende Benutzerkonto einfach aus der Gruppe entfernen. Standardgruppenkonten Windows XP Professional enthält mehrere vordefinierte Gruppen: Administratoren: Diese Gruppe hat volle Kontrolle über den Computer und kann alle Verwaltungsfunktionen ausführen. Das Benutzerkonto Administrator ist in der Standardeinstellung Mitglied dieser Gruppe.

12 126 Teil I Selbststudium Sicherungs-Operatoren: Sichert alle Dateien auf dem Computer und stellt sie wieder her. Wird ein Sicherungsprogramm benutzt, haben Sicherungs-Operatoren Zugriff auf das gesamte Dateisystem, auch wenn sie normalerweise nicht über die Berechtigung verfügen, auf sämtliche Dateien zuzugreifen. Diese Gruppe hat in der Standardeinstellung keine Mitglieder. Gäste: Diese Gruppe hat nur sehr eingeschränkten Zugriff auf den Computer. Mitglieder dieser Gruppe können auch keine individuellen Benutzerprofile haben, alle Mitglieder der Gruppe Gäste teilen sich dasselbe Profil. Das Benutzerkonto Gast ist in der Standardeinstellung Mitglied dieser Gruppe. Netzwerkkonfigurations-Operatoren: Verwaltet bestimmte Aspekte der Netzwerkkonfiguration des Computers. Unter anderem können Mitglieder dieser Gruppe die Eigenschaften von TCP/IP (Transmission Control Protocol/Internet Protocol) verändern, LAN-Verbindungen (Local Area Network) umbenennen, LAN-Verbindungen aktivieren oder deaktivieren und die Befehle Ipconfig release und Ipconfig renew ausführen. Diese Gruppe hat in der Standardeinstellung keine Mitglieder. Hauptbenutzer: Diese Gruppe führt viele Verwaltungsaufgaben auf dem Computer durch, verfügt aber nicht über die vollständigen administrativen Rechte des Administratorkontos. Zum Beispiel kann ein Hauptbenutzer Benutzerkonten und Gruppen anlegen (und die von ihm angelegten Benutzerkonten und Gruppen verwalten), aber er kann keine Objekte verwalten, die von Mitgliedern der Administratorengruppe angelegt wurden. Hauptbenutzer haben auch keinen Zugriff auf Dateien und Ordner, sofern sie nicht explizit die entsprechenden Berechtigungen gewährt bekommen. Diese Gruppe hat in der Standardeinstellung keine Mitglieder. Remotedesktopbenutzer: Diese Gruppe kann sich von einem Remotecomputer aus am Computer anmelden. Dies ist für den Remotedesktopzugriff erforderlich. Diese Gruppe hat in der Standardeinstellung keine Mitglieder. Replikations-Operator: Diese Gruppe kann in Domänenumgebungen Verzeichnisund Dateireplikationen durchführen. Diese Gruppe hat in der Standardeinstellung keine Mitglieder. Benutzer: Diese Gruppe hat in der Standardeinstellung eingeschränkte Berechtigungen. Sie können Benutzerkonten je nach Bedarf zu dieser Gruppe hinzufügen oder daraus entfernen. Alle Benutzerkonten auf einem Computer (außer dem Gastkonto) sind in der Standardeinstellung Mitglieder dieser Gruppe. Hilfedienstgruppe: Diese Gruppe benutzt bestimmte Hilfeanwendungen und diagnostiziert Computerprobleme. In der Standardeinstellung ist das Mitglied dieser Gruppe ein Konto, das mit Microsoft-Supportanwendungen verknüpft ist, zum Beispiel mit der Remoteunterstützung. Sie sollten keine normalen Benutzer zu dieser Gruppe hinzufügen. Die Hilfedienstgruppe hat in der Standardeinstellung keine expliziten Benutzerberechtigungen. Das SUPPORT-Benutzerkonto ist in der Standardeinstellung Mitglied dieser Gruppe. Wenn ein Windows XP-Computer einer Domäne beitritt, fügt Windows automatisch einige Domänengruppen zu den lokalen Gruppen hinzu. Diese neuen Mitgliedschaften sind:

13 Kapitel 3 Lokale Benutzer und Gruppen 127 Die Domänengruppe Domänen-Admins wird zur lokalen Administratorengruppe hinzugefügt. So erhalten die Administratoren der Domäne administrative Kontrolle über die Computer, die der Domäne beitreten. Die Domänengruppe Domänen-Gäste wird zur lokalen Gästegruppe hinzugefügt. Die Domänengruppe Domänen-Benutzer wird zur lokalen Benutzergruppe hinzugefügt. Domänen-Admins, Domänen-Gäste und Domänen-Benutzer sind vordefinierte Gruppen, die nur auf Windows-Domänencontrollern vorhanden sind. Diese Ergänzungen der Gruppenzugehörigkeit sind nicht dauerhaft, sie können entfernt werden, nachdem der Computer der Domäne beigetreten ist. Durch das automatische Hinzufügen dieser Domänengruppen können Domänenadministratoren den Zugriff auf Ressourcen konfigurieren, die auf dem lokalen Computer vorliegen. Zum Beispiel könnte ein Windows XP Professional-Computer einen freigegebenen Drucker haben, auf den alle Benutzer in der Domäne Zugriff erhalten sollen. In der Standardeinstellung hat die lokale Benutzergruppe Zugriff auf den Drucker. Nachdem die Gruppe Domänen-Benutzer zum Mitglied der lokalen Gruppe Benutzer gemacht wurde, können auch Domänenbenutzer auf den Drucker zugreifen, ohne dass zusätzliche Konfigurationen nötig sind. Spezialgruppen Spezialgruppen sind ebenfalls in Windows XP eingebaut. Das Betriebssystem stuft Benutzer abhängig von diversen Eigenschaften ein und weist sie den passenden Spezialgruppen zu. Die Mitgliedschaft in Spezialgruppen ist automatisch, es gibt kein Windows XP-Dienstprogramm, mit dem Sie die Mitgliedschaft in Spezialgruppen verwalten können. Sie haben nur dann Zugriff auf Spezialgruppen, wenn Sie Benutzerrechte und Berechtigungen zuweisen. Im Tool Lokale Benutzer und Gruppen gibt es keine Möglichkeit, auf Spezialgruppen zuzugreifen. Windows XP Professional enthält die folgenden Spezialgruppen: Jeder: Umfasst alle Benutzer, die auf irgendeine Weise auf den Computer zugreifen können. Auch das Gastkonto gehört dazu. Authentifizierte Benutzer: Umfasst alle Benutzer, die von einer vertrauenswürdigen Domäne authentifiziert wurden. INTERAKTIV: Umfasst die Benutzer, die momentan lokal am Computer angemeldet sind. NETZWERK: Umfasst Benutzer, die momentan durch eine Verbindung über das Netzwerk auf den Computer zugreifen. Wenn sich ein Benutzer lokal an einem Windows XP-Computer anmeldet, macht Windows diesen Benutzer zu einem Mitglied der Gruppen Jeder und INTERAKTIV (sowie der Gruppe Authentifizierte Benutzer, falls sich der Benutzer von dem Computer aus bei einer Domäne authentifiziert hat). Falls der Benutzer über das Netzwerk mit einem gültigen Benutzernamen und Kennwort eine Verbindung zu dem Computer aufgebaut hat, macht Windows diesen Benutzer zu einem Mitglied der Gruppen Jeder, NETZWERK und (unter Umständen) Authentifizierte Benutzer.

14 128 Teil I Selbststudium Falls Sie wollen, dass ein Benutzer nur dann die Berechtigung zum Zugriff auf eine bestimmte Ressource wie etwa einen Drucker hat, wenn er lokal angemeldet ist, können Sie den Zugriff der Spezialgruppe INTERAKTIV zuweisen. Und wenn Sie umgekehrt wollen, dass ein Benutzer nur dann die Berechtigung zum Zugriff auf eine bestimmte Ressource hat, wenn er eine Verbindung über das Netzwerk aufgebaut hat, weisen Sie den Zugriff der Spezialgruppe NETZWERK zu. Mit den Gruppen Jeder und Authentifizierte Benutzer können Sie zwischen Benutzern unterscheiden, die sich an einer Domäne angemeldet haben, und Benutzern, die sich über ein Konto in der lokalen Kontendatenbank auf einem Windows XP-Computer angemeldet haben. Domänenkonten sind sicherer als lokale Konten, weil die Domänenkonten von Administratoren der Domäne erstellt und verwaltet werden. Dagegen kann jeder, der auf einem bestimmten Computer lokal über administrative Berechtigungen verfügt, die lokalen Konten verändern. Bei Ressourcen, für die höhere Sicherheitsanforderungen gelten, sollten Sie den Zugriff der Gruppe Authentifizierte Benutzer zuweisen, nicht der Gruppe Jeder. Erstellen von Gruppen Damit Sie eine Gruppe erstellen können, müssen Sie als Mitglied der Gruppen Administratoren oder Hauptbenutzer angemeldet sein. Gehen Sie folgendermaßen vor, um eine Gruppe zu erstellen: 1. Erweitern Sie im Fenster Computerverwaltung den Zweig System und dann den Zweig Lokale Benutzer und Gruppen. 2. Klicken Sie mit der rechten Maustaste auf den Ordner Gruppen und wählen Sie den Befehl Neue Gruppe. 3. Geben Sie den Gruppennamen und die Beschreibung sowie die Gruppenmitglieder ein (Abbildung 3.5). Gruppennamen können maximal 256 Zeichen lang sein. Abbildung 3.5 Geben Sie Namen und Beschreibung für die neue Gruppe ein und fügen Sie ihr dann Mitglieder hinzu

15 Kapitel 3 Lokale Benutzer und Gruppen Klicken Sie auf Erstellen, wenn Sie fertig sind. Die neue Gruppe wird im Ordner Gruppen aufgeführt. Hinweis Mitglieder der Gruppe Hauptbenutzer können nur die Gruppen verwalten, die sie selbst angelegt haben. Sie können keine Gruppen verwalten, die durch die Administratorengruppe angelegt wurden, und sie können nicht die Mitglieder der Standardgruppenkonten verändern. Hinzufügen von Benutzerkonten zu Gruppen Sie können die Gruppenmitglieder gleich beim Erstellen der Gruppe festlegen oder erst später. Nachdem Sie eine Gruppe angelegt haben, können Sie folgendermaßen Benutzerkonten zur Gruppe hinzufügen: Öffnen Sie das Eigenschaftendialogfeld für einen Benutzer und fügen Sie auf der Registerkarte Mitgliedschaft die Gruppe hinzu. Öffnen Sie den Eigenschaftendialogfeld einer Gruppe und fügen Sie auf der Registerkarte Allgemein Mitglieder hinzu. Tipp Sie können mehrere Benutzer gleichzeitig auswählen, indem Sie den ersten Benutzer auswählen und dann entweder die UMSCHALT- oder die STRG-Taste drücken und gedrückt halten. Mit der UMSCHALT-Taste können Sie einen gesamten Bereich von Benutzern auswählen. Mit der STRG-Taste können Sie einzelne Benutzer zu der Auswahl hinzufügen. Nachdem Sie die gewünschten Benutzer ausgewählt haben, klicken Sie mit der rechten Maustaste auf irgendeinen der ausgewählten Benutzer und wählen im Kontextmenü den Befehl Eigenschaften, um die gemeinsamen Einstellungen für alle diese Benutzer zu bearbeiten, zum Beispiel die Gruppenmitgliedschaft. Sicherheitskennungen (SIDs) Benutzerkonten und Gruppen sind Sicherheitsprinzipale, das heißt, sie können Zugriff auf Ressourcen eines Computers gewähren. Windows weist jedem Sicherheitsprinzipal eine eindeutige Sicherheitskennung (Security Identifier, SID) zu, wenn Sie das Benutzerkonto anlegen. Sie selbst verwalten Benutzerkonten und Gruppen zwar anhand ihrer Namen, aber Windows identifiziert diese Objekte über die SIDs. Es ist für das Betriebssystem effizienter, einen Benutzer über die SID zu identifizieren (statt über den Benutzernamen oder den vollständigen Namen), weil sich die Namen ändern können. Folgende Dinge sollten Sie über SIDs wissen: Wenn Sie ein Benutzer- oder Gruppenkonto umbenennen, ändert sich die SID nicht. Alle Rechte und Berechtigungen bleiben erhalten. Wenn Sie ein Benutzer- oder Gruppenkonto löschen, werden auch alle Sicherheitszuweisungen gelöscht, die mit dem Konto verknüpft sind. Windows verwendet die SID, die dem Konto zugewiesen war, nicht für ein anderes Konto noch einmal. Falls Sie ein neues Konto mit demselben Benutzernamen anlegen, erhält dieses neue Konto

16 130 Teil I Selbststudium nicht dieselben Sicherheitszuweisungen wie das frühere Konto. Obwohl die Konten denselben Namen haben, ist ihre SID unterschiedlich. Einschränkungen der Windows XP Home Edition Bisher haben sich die Erklärungen in dieser Lektion auf Benutzer und Gruppen in Windows XP Professional konzentriert. Sie können zwar auch in Windows XP Home Edition Benutzerkonten anlegen, aber Sie können keine Gruppen erstellen oder die umfangreiche Benutzerkontoverwaltung wie in Windows XP Professional durchführen. Wenn Sie Support für Windows XP Home Edition leisten, müssen Sie folgende Einschränkungen kennen: Windows XP Home Edition unterstützt nicht das Anlegen lokaler Gruppen. Das Tool Lokale Benutzer und Gruppen steht in Windows XP Home Edition nicht zur Verfügung. Stattdessen müssen Sie Benutzer über das Modul Benutzerkonten in der Systemsteuerung erstellen und verwalten. Sie können lediglich Konten anlegen und löschen, Kennwörter ändern und einige andere kleinere Aktionen durchführen. Windows XP Home Edition unterstützt nur zwei Kontentypen: Computeradministrator, das weitgehend der Administratorengruppe in Windows XP Professional entspricht, und Eingeschränkt, das den Zugriff auf bestimmte Ressourcen einschränkt. Windows XP Home Edition hat kein Konto mit dem Namen Administrator. Nach dem Setup gibt Windows Ihnen die Gelegenheit, Benutzerkonten anzulegen. Jedes der Konten, das Sie in dieser Phase erstellen, wird zu einem Computeradministratorkonto gemacht, Sie können aber jedes dieser Konten in ein eingeschränktes Konto umwandeln. Computer, auf denen Windows XP Home Edition läuft, können nicht einer Domäne beitreten. Benutzerprofile Jedes Benutzerkonto in Windows XP Professional und Windows XP Home Edition hat ein zugehöriges Benutzerprofil, das benutzerspezifische Konfigurationseinstellungen speichert, zum Beispiel einen angepassten Desktop oder individuelle Anwendungseinstellungen. Damit Sie die Desktopumgebung eines Benutzers effizient verwalten können, müssen Sie wissen, wie Benutzerprofile arbeiten und wie Sie diese Profile steuern können. Windows XP unterstützt folgende Typen von Benutzerprofilen: Lokal: Ein lokales Benutzerprofil steht nur auf dem Computer zur Verfügung, auf dem es angelegt wurde. Auf jedem Computer, an dem sich ein Benutzer anmeldet, wird ein eigenes lokales Benutzerprofil angelegt und gespeichert. Sowohl Windows XP Professional als auch Windows XP Home Edition unterstützt lokale Benutzerprofile. Servergespeichert: Servergespeicherte Profile sind in einem freigegebenen Ordner auf einem Netzwerkserver gespeichert und können von jeder Stelle im Netzwerk

17 Kapitel 3 Lokale Benutzer und Gruppen 131 abgerufen werden. Nur Windows XP Professional unterstützt servergespeicherte Benutzerprofile. Verbindlich: Verbindliche Benutzerprofile sind servergespeicherte Benutzerprofile, an denen Benutzer keine dauerhaften Änderungen vornehmen dürfen. Verbindliche Profile diesen dazu, Konfigurationseinstellungen zu erzwingen. Nur Windows XP Professional unterstützt verbindliche Benutzerprofile. Als DST werden Sie meistens mit lokalen Benutzerprofilen zu tun haben. Sie sollten wissen, wo Windows lokale Profile speichert und welche Art von Informationen in einem lokalen Profil enthalten ist. Falls Sie in einer Unternehmensumgebung arbeiten, bekommen Sie es möglicherweise auch mit servergespeicherten und verbindlichen Profilen zu tun. Solche Profile müssen Sie aber nicht anlegen oder konfigurieren. Lokal gespeicherte Profile Windows speichert lokale Benutzerprofile in Unterordnern des Ordners Dokumente und Einstellungen auf dem %SystemRoot%-Laufwerk. Wenn sich ein Benutzer zum ersten Mal an einem Windows XP-Computer anmeldet, erstellt Windows in Dokumente und Einstellungen einen Ordner, dessen Namen dem Benutzernamen entspricht. Abbildung 3.6 zeigt einen Dokumente und Einstellungen-Ordner mit einem Benutzerprofilordner. Abbildung 3.6 Windows speichert Benutzerprofilordner im Ordner Dokumente und Einstellungen Innerhalb jedes Benutzerprofils gibt es mehrere Dateien und Ordner, die unter anderem folgende Konfigurationsinformationen und Daten enthalten:

18 132 Teil I Selbststudium Anwendungsdaten: Enthält Konfigurationsinformationen zu Anwendungen. Für Windows XP entwickelte Anwendungen speichern ihre benutzerspezifischen Konfigurationseinstellungen in diesem Ordner. In der Standardeinstellung ist der Ordner versteckt. Cookies: Enthält Cookie-Dateien, die normalerweise von Websites angelegt werden, um Benutzerinformationen und -einstellungen auf dem lokalen Computer zu speichern. Wenn Sie eine Site später erneut besuchen, kann die Site Ihnen mithilfe der Cookie-Dateien angepasste Inhalte anbieten und Ihre Aktivitäten innerhalb der Site verfolgen. Desktop: Enthält Dateien, Ordner und Verknüpfungen, die auf den Windows XP- Desktop gelegt wurden. Favoriten: Speichert Verknüpfungen zu Adressen, die ein Benutzer im Windows- Explorer oder Internet Explorer zur Liste der Favoriten hinzugefügt hat. Lokale Einstellungen: Enthält Anwendungsdaten, Verlaufs- und Temporärdateien (darunter auch temporäre Internetdateien). Dieser Ordner ist versteckt. Eigene Dateien: Speichert Dokumente und andere Benutzerdaten. Der Ordner Eigene Dateien ist vom Startmenü aus einfach zu erreichen. Zuletzt verwendete Dokumente: Enthält Verknüpfungen zu den Dokumenten und Ordnern, auf die der Benutzer zuletzt zugegriffen hat. Sie können auf den Ordner Zuletzt verwendete Dokumente auch vom Startmenü aus zugreifen. Dieser Ordner ist versteckt. Netzwerkumgebung: Enthält Verknüpfungen, die mit dem Befehl Netzwerkressource hinzufügen im Fenster Netzwerkumgebung erstellt wurden. Dieser Ordner ist versteckt. Druckumgebung: Enthält Verknüpfungen zu Elementen des Druckerordners. Dieser Ordner ist versteckt. SendTo: Enthält Verknüpfungen zu Dienstprogrammen zum Verarbeiten von Dokumenten, zum Beispiel -Anwendungen. Diese Verknüpfungen werden im Untermenü Senden an des Kontextmenüs für Dateien und Ordner angezeigt. Dieser Ordner ist versteckt. Startmenü: Enthält die Verknüpfungen zu Programmen, die im Startmenü angezeigt werden. Eine Möglichkeit, das Startmenü zu verändern, besteht darin, im Startmenü- Ordner innerhalb des Benutzerprofilordners Ordner und Verknüpfungen hinzuzufügen oder zu löschen. Vorlagen: Enthält Vorlagenelemente, die von Anwendungen erstellt werden. Die Anwendungen verwenden die Vorlagen, wenn der Benutzer ein neues Dokument anlegt. Dieser Ordner ist versteckt. NTUSER.DAT: Der benutzerspezifische Teil der Registrierung. Diese Datei enthält Konfigurationsänderungen am Windows-Explorer und an der Taskleiste sowie benutzerspezifische Systemsteuerungs- und Zubehöreinstellungen. Diese Einstellungen werden unter HKEY_CURRENT_USER in der Registrierung angezeigt.

19 Kapitel 3 Lokale Benutzer und Gruppen 133 NTUSER.DAT.LOG: Eine Protokolldatei, die verwendet wird, wenn Änderungen an NTUSER.DAT vorgenommen werden, und bei der Wiederherstellung von NTUSER.DAT, falls der Computer abstürzt. Eingebaute Benutzerprofile Windows speichert Benutzerprofile in der Standardeinstellung lokal. Ein lokales Benutzerprofil steht nur auf dem Computer zur Verfügung, auf dem es angelegt wurde. Windows legt während der Installation zwei eingebaute lokale Benutzerprofile an: Standardbenutzerprofil: Windows nimmt immer das Standardbenutzerprofil als Vorlage, wenn es neue Profile auf dem Computer anlegt. Wenn sich ein neuer Benutzer anmeldet, erhält der Benutzer als persönliches Benutzerprofil eine Kopie des Standardbenutzerprofils. Sie können das Standardbenutzerprofil anpassen, um zu steuern, welche Optionen und Einstellungen einem neuen Benutzer zur Verfügung gestellt werden. Änderungen am Standardbenutzerprofil betreffen nur die Profile neuer Benutzer, schon vorhandene persönliche Profile werden nicht verändert. Das Standardbenutzerprofil ist im Ordner \Dokumente und Einstellungen\Default User gespeichert, dieser Ordner ist versteckt. Wenn Sie den Ordner ansehen und bearbeiten wollen, müssen Sie die Ordneroptionen im Windows-Explorer so einstellen, dass versteckte Dateien und Ordner angezeigt werden. Alle Benutzer: Das Profil Alle Benutzer enthält Einstellungen, die für sämtliche Benutzer gelten, die sich am Computer anmelden. Windows kombiniert für die Dauer der Anmeldesitzung die Einstellungen aus Alle Benutzer mit dem Profil des aktuellen Benutzers, aber die Einstellungen werden nicht dauerhaft in das Profil des Benutzers übernommen. Sie können das Alle Benutzer-Profil so ändern, dass es die Einstellungen enthält, die für alle Benutzer gelten sollen, die sich am Computer anmelden. Zum Beispiel erstellen viele Anwendungen während der Installation Verknüpfungen im Startmenü oder auf dem Desktop des Alle Benutzer-Profils. So ist sichergestellt, dass alle Benutzer, die sich am Computer anmelden, einfach Zugriff auf diese Anwendungen bekommen. Als Administrator können Sie das Alle Benutzer-Profil direkt bearbeiten und nach Bedarf Elemente hinzufügen und löschen. Das Alle Benutzer-Profil ist im Ordner \Dokumente und Einstellungen\All Users gespeichert. Der Ordner enthält nur eine Teilmenge der Ordner, die in anderen Profilen auf dem Computer vorhanden sind, weil er nur Einstellungen verwaltet, die für alle Benutzer gelten. Mehrere Profile für dasselbe Benutzerkonto Falls ein Computer, der unter Windows XP Professional läuft, Mitglied einer Windows- Domäne ist, kann es vorkommen, dass zwei Benutzer mit demselben Benutzerkontonamen sich an demselben Computer anmelden. Beispiele sind etwa das lokale Administratorkonto (gespeichert in der lokalen Kontendatenbank des Windows XP-Computers) und das Domänenadministratorkonto (gespeichert in der Active Directory-Datenbank auf Domänencontrollern). Das lokale Konto und das Domänenkonto sind unterschiedliche Komponenten, die jeweils ein eigenes Benutzerprofil verwalten.

20 134 Teil I Selbststudium Windows XP erlaubt nicht, dass sich zwei Benutzerkonten mit demselben Namen denselben Profilordner teilen (zum Beispiel C:\Dokumente und Einstellungen\Administrator). Würde Windows dies zulassen, würde das Profil des einen Benutzers das des anderen überschreiben. Stattdessen erstellt Windows das Profil des ersten Benutzers, der sich unter einem mehrfach verwendeten Namen anmeldet, in \Dokumente und Einstellungen\%Benutzername%. Nachfolgende Benutzerkonten mit demselben Benutzernamen speichert Windows im Pfad \Dokumente und Einstellungen\%Benutzername%.x. Die Ordnererweiterung x sieht dabei folgendermaßen aus: Falls es sich bei dem Benutzer, der sich unter demselben Benutzername anmeldet, um ein Domänenkonto handelt, nimmt Windows als Ordnererweiterung den Namen der Domäne. Falls es sich bei dem Benutzer, der sich unter demselben Benutzername anmeldet, um ein lokales Konto handelt, nimmt Windows als Ordnererweiterung den Namen des Computers. Falls sich zum Beispiel erst der lokale Administrator anmeldet und dann der Domänenadministrator, speichert Windows das Profil des lokalen Administrators im Ordner Administrator und das Profil des Domänenadministrators in einem Ordner namens Administrator.<Domänenname>. Mehrfache Benutzerprofile kommen nur vor, wenn der Computer Mitglied einer Domäne ist, weil die Domänenmitgliedschaft sowohl lokalen als auch Domänenkonten die Anmeldung ermöglicht. In einer Arbeitsgruppenumgebung greift Windows XP ausschließlich auf die lokale Kontendatenbank zu, und Sie können nicht zwei Benutzerkonten mit demselben Namen auf einem Computer anlegen. Schnelle Benutzerumschaltung Die schnelle Benutzerumschaltung ist ein neues Feature von Windows XP. Sie ermöglicht es mehreren lokalen Benutzerkonten, sich gleichzeitig an einem Computer anzumelden. Wenn Sie die schnelle Benutzerumschaltung aktivieren, können Benutzer Sitzungen umschalten, ohne sich abmelden oder das Programm schließen zu müssen. Die schnelle Benutzerumschaltung ist zwar ein nützliches Werkzeug auf Computern mit mehreren Benutzern, Sie sollten aber vorsichtig damit umgehen. Wenn ein Benutzer Programme offen lässt, bevor er zu einem anderen Benutzerkonto wechselt, verbrauchen diese Programme weiterhin Computerressourcen. Bleiben mehrere Benutzer mit laufenden Programmen angemeldet, wird sich die Leistung des Computers merklich verschlechtern. Prüfungstipp Falls sich ein Benutzer, insbesondere ein Privatbenutzer, beschwert, dass sein Computer langsam läuft, sollten Sie unbedingt fragen, ob bei dem Computer die schnelle Benutzerumschaltung aktiviert ist. Die schnelle Benutzerumschaltung ist unter Windows XP Home Edition und Windows XP Professional automatisch aktiviert, wenn der Computer mehr als 64 MByte Hauptspeicher hat. Die schnelle Benutzerumschaltung steht allerdings nicht auf Computern zur

21 Kapitel 3 Lokale Benutzer und Gruppen 135 Verfügung, die unter Windows XP Professional laufen und Mitglieder einer Domäne sind. Gehen Sie folgendermaßen vor, um die schnelle Benutzerumschaltung zu aktivieren: 1. Melden Sie sich am Computer mit einem Benutzerkonto an, das administrative Berechtigungen hat. 2. Wählen Sie im Startmenü Systemsteuerung. 3. Klicken Sie im Fenster Systemsteuerung auf Benutzerkonten. 4. Klicken Sie im Fenster Benutzerkonten auf Art der Benutzeranmeldung ändern. 5. Aktivieren Sie das Kontrollkästchen Schnelle Benutzerumschaltung verwenden und klicken Sie dann auf Optionen übernehmen. Wenn ein Benutzer die schnelle Benutzerumschaltung ausführt, kehrt der Computer zum Willkommen-Bildschirm zurück. Die Sitzung des aktuellen Benutzers bleibt aktiv und ein anderer Benutzer kann sich anmelden und mit dem Computer arbeiten. Sie haben folgende Möglichkeiten, den Befehl Benutzer wechseln auszuführen: Klicken Sie auf Start, dann auf Abmelden und auf Benutzer wechseln. Drücken Sie STRG+ALT+ENTF, um den Task-Manager zu öffnen. Wählen Sie im Menü Herunterfahren den Befehl Benutzer wechseln. Halten Sie die WINDOWS-LOGO-Taste gedrückt und drücken Sie dann die Taste L. Übung: Arbeiten mit lokalen Benutzerkonten und Gruppen In dieser Übung legen Sie in Windows XP Professional ein neues lokales Benutzerkonto an und ändern das Konto dann mit dem Tool Computerverwaltung. Danach erstellen Sie eine neue lokale Gruppe und fügen Benutzerkonten zu ihr hinzu. Übung 1: Erstellen eines Benutzerkontos 1. Wählen Sie im Startmenü Systemsteuerung. 2. Klicken Sie im Fenster Systemsteuerung auf Leistung und Wartung. 3. Klicken Sie im Fenster Leistung und Wartung auf Verwaltung. 4. Klicken Sie im Fenster Verwaltung auf Computerverwaltung. 5. Erweitern Sie im Fenster Computerverwaltung den Zweig System und dann den Zweig Lokale Benutzer und Gruppen. 6. Klicken Sie im Knoten Lokale Benutzer und Gruppen mit der rechten Maustaste auf den Ordner Benutzer und wählen Sie den Befehl Neuer Benutzer. 7. Geben Sie im Dialogfeld Neuer Benutzer einen Benutzernamen ein. Optional können Sie auch einen vollständigen Namen, eine Beschreibung und ein Kennwort eingeben. 8. Klicken Sie auf Erstellen. 9. Klicken Sie auf Schließen, um das Dialogfeld Neuer Benutzer zu verlassen.

22 136 Teil I Selbststudium Übung 2: Ändern eines vorhandenen Benutzerkontos 1. Wählen Sie im Startmenü Systemsteuerung. 2. Klicken Sie im Fenster Systemsteuerung auf Leistung und Wartung. 3. Klicken Sie im Fenster Leistung und Wartung auf Verwaltung. 4. Klicken Sie im Fenster Verwaltung auf Computerverwaltung. 5. Erweitern Sie im Fenster Computerverwaltung den Zweig System und dann den Zweig Lokale Benutzer und Gruppen. 6. Wählen Sie im Knoten Lokale Benutzer und Gruppen den Ordner Benutzer. 7. Klicken Sie mit der rechten Maustaste auf das Benutzerkonto, das Sie in der vorhergehenden Übung angelegt haben, und wählen Sie Eigenschaften. 8. Ändern Sie im Eigenschaftendialogfeld des Benutzerkontos auf der Registerkarte Allgemein den vollständigen Namen und die Beschreibung des Benutzers. 9. Klicken Sie auf der Registerkarte Mitgliedschaft auf Hinzufügen. 10. Klicken Sie im Dialogfeld Gruppen wählen auf Erweitert. 11. Klicken Sie auf Jetzt suchen. 12. Wählen Sie in der Liste der Gruppen Hauptbenutzer aus und klicken Sie auf OK. Klicken Sie erneut auf OK, um das Dialogfeld Gruppen wählen zu schließen. 13. Klicken Sie auf OK, um das Eigenschaftendialogfeld des Benutzerkontos zu schließen. Übung 3: Erstellen eines Gruppenkontos und Hinzufügen von Benutzerkonten 1. Wählen Sie im Startmenü Systemsteuerung. 2. Klicken Sie im Fenster Systemsteuerung auf Leistung und Wartung. 3. Klicken Sie im Fenster Leistung und Wartung auf Verwaltung. 4. Klicken Sie im Fenster Verwaltung auf Computerverwaltung. 5. Erweitern Sie im Fenster Computerverwaltung den Zweig System und dann den Zweig Lokale Benutzer und Gruppen. 6. Klicken Sie im Knoten Lokale Benutzer und Gruppen mit der rechten Maustaste auf den Ordner Gruppen und wählen Sie den Befehl Neue Gruppe. 7. Geben Sie im Dialogfeld Neue Gruppe einen Namen für die Gruppe ein. Optional können Sie auch eine Beschreibung eingeben. 8. Klicken Sie auf Hinzufügen. 9. Klicken Sie im Dialogfeld Gruppen wählen auf Erweitert. 10. Klicken Sie auf Jetzt suchen. 11. Wählen Sie in der Liste der Gruppen das Benutzerkonto, das Sie in Übung 1 erstellt haben, und klicken Sie auf OK. Klicken Sie erneut auf OK, um das Dialogfeld Gruppen wählen zu schließen.