Benutzerverwaltung unter Windows NT

HTBLuVA Wiener Neustadt Abteilung EDVO Babenbergerring 5a 2700 Wiener Neustadt PRRV-Referat Benutzerverwaltung unter Windows NT Osterbauer Carmen / 5 AD Version 0.1 / Februar 1999

Inhaltsverzeichnis 1 BENUTZERVERWALTUNG UNTER WINDOWS NT... 3 1.1 DAS BENUTZERKONZEPT VON WINDOWS NT... 4 1.1.1 LOKALE GRUPPEN:... 5 1.1.2 GLOBALE GRUPPEN:... 5 1.2 DIE ARBEITSUMGEBUNG EINES BENUTZERS... 6 1.2.1 ANMELDESKRIPTS... 6 1.2.2 BENUTZERPROFILE... 6 1.3 DER BENUTZERMANAGER... 7 1.3.1 BENUTZERKONTEN... 9 1.3.2 GRUPPENKONTEN... 9 1.3.3 BENUTZERKONTO-RICHTLINIEN:... 9 1.3.4 BENUTZERRECHTE-RICHTLINIEN:... 9 benutzerverwaltungunter Seite 2

1 Benutzerverwaltung unter Windows NT Berechtigungen zur Nutzung von Ressourcen des lokalen oder eines im Netzwerk befindlichen Computers werden benutzerabhängig festgelegt. Ebenso beziehen sich andere Rechte, wie z.b. die Zeiten zu denen sich Benutzer anmelden können oder ob die Systemkonfiguration verändert werden darf, immer auf einen oder mehrere Benutzer. Der Administrator definiert einen Benutzer in Windows NT durch ein Benutzerkonto. Er erzeugt ein Benutzerkonto durch die Festlegung eines Benutzernamens und die Vergabe eines Kennworts. Die Informationen, auf die das Betriebssystem zurückgreift, werden in der Benutzerkontendatenbank gespeichert. Lokale Benutzerkontendatenbanken befinden sich auf dem Computer, an dem der Benutzer momentan arbeitet. Jeder Computer mit Windows NT als Betriebssystem führt eine solche Datenbank. Der Verwaltung von Ressourcen eines Netzwerkes wird jedoch praktischer weise an zentraler Stelle vorgenommen. benutzerverwaltungunter Seite 3

Die Benutzerkontendatenbank einer Domäne wird auf dem primären Domänencontroller (PDC = primary domain controller) der jeweiligen Domäne geführt. Sogenannte Sicherungsdomänencontroller (BDC = backup domain controller) halten zwar eine Kopie der Kontendatenbank, die aber nicht von dem Netzwerkadministrator gemanagt werden muß. Um die Replikation der Daten kümmert sich Windows NT selbst. 1.1 Das Benutzerkonzept von Windows NT 1.1.1 Domänen: Eine Domäne ist eine administrative Einheit, die aus mehreren Servern, Netzwerksegmenten, Ressourcen und Benutzerkonten bestehen kann. Für die Verwaltung von Domänen ist der PDC (Primary Domain Controller) zuständig. Auch gibt es noch beliebig viele BDCs (Backup Domain Controller) bzw. SDCs (Secondary Domain Controller; werden für gewisse Domänenkonzepte benötigt). Das Original der zentralen Domänendatenbank SAM (Security Account Manager) liegt nur am PDC. Auf den BDCs liegen nur Kopien der Datenbank. Die BDCs dienen nur als Sicherung und zur Unterstützung der Login-Autentifikationen. Um nun Zugriff auf die Domäne zu erhalten, muß unbedingt der PDC in Betrieb sein. Da eine Domäne eine logische Struktur des Netzwerkes ist, kann - es innerhalb eines physischen Subnetzes mehrere Domänen geben, - sich eine Domäne über mehrere physische Subnetze hinweg erstrecken. 1.1.2 Benutzerkontendatenbank Die Idee der Domäne ist es, für mehrere Server eine gemeinsame Benutzermenge, die Benutzerkontendatenbank, zu definieren. Hintergrund ist, daß es praktisch nicht realisierbar ist, bei einer größeren Zahl von Servern immer den gleichen Stand der Benutzerinformationen auf allen Servern zu gewährleisten, und daß es zb beim Wechsel von Kennwörtern der Benutzer, regelmäßig Schwierigkeiten gibt, wenn der Benutzer auf mehreren Servern unabhängig definiert ist. Wird dagegen nur eine Benutzerkontendatenbank verwendet, hat man den Vorteil, daß Informationen über einen Benutzer nur einmal existieren. Änderungen müssen nur einmal vorgenommen werden, weshalb sich auch keine unterschiedlichen Informationen im Netzwerk befinden können. Da es nun nur einen Satz von Benutzerinfos gibt, gibt es auch nur ein Kennwort. Dadurch fallen Probleme, die sich ohne Domänenkonzept durch den gleichzeitigen Wechsel von Kennwörtern auf verschiedenen Servern oder durch das Vorhandensein mehrerer unterschiedlicher Kennwörter für den Server ergeben, weg. benutzerverwaltungunter Seite 4

Statt dessen meldet sich der Benutzer einmal an an der Domäne. Es muß vom Administrator einmal definiert werden wiederum in der Domäne. Änderungen, die durch den Administrator oder durch den Benutzer vorgenommen werden, finden genau einmal statt in der Domäne. Um die Verwaltung von Benutzern zu vereinfachen und Übersichtlichkeit und Flexibilität bei der Nutzung von Datenbeständen zu gewährleisten, werden Gruppen gebildet. Es gibt zwei verschiedene Gruppentypen: 1.1.3 Lokale Gruppen: Sie dienen zur Zusammenfassung von Zugriffsrechten auf die Datenbestände und sonstigen Ressourcen einer bestimmten NT-Workstation oder eines bestimmten NT- Servers. Lokale Gruppen sind auf die eigene Domäne beschränkt. Alle Rechte einer Gruppe werden an die Gruppenmitglieder vererbt. Gruppenmitglieder können - Benutzer der eigenen oder anderen Domäne - globale Gruppen der eigenen oder anderer vertrauter Domänen Sein, jedoch dürfen sie keine anderen lokalen Gruppen enthalten. 1.1.4 Globale Gruppen: Sie dienen zur Zusammenfassung von Benutzern, die gleiche Aufgaben bzw. Arbeiten durchzuführen haben oder gemeinsam an einem Projekt arbeiten. Ein Benutzer erhält Zugriff auf Datenbestände indem er Mitglied in einer globalen Gruppe wird. Diese globale Gruppe wird dann Mitglied in einer entsprechenden lokalen Gruppe des betreffenden NT-Servers. Alle Mitglieder der globalen Gruppe können dann die Datenbestände dieses Servers in der ihnen erlaubten Weise nutzen. Globale Gruppen sind in allen Domänen sichtbar. G Gruppenmitglieder können also - Benutzer der eigenen Domäne - weitere Domänen sein. Vorteile der Verwaltung von Benutzern in Gruppen: Wenn ein neuer Benutzer angelegt wird, er sogleich in einen passende Gruppe aufgenommen werden kann. Durch diese Mitgliedschaft erhält er Zugriff auf die Ressourcen und eine geeignete Arbeitsumgebung. Somit müssen also die Eigenschaften für ihn nicht extra definiert werden. Um z.b. Rechte von allen Mitgliedern einer Gruppe zu verändern, muß man dies nicht an allen Mitgliedern einzeln vornehmen, sondern man braucht nur die betreffenden Eigenschaften in einer Gruppe verändern. Die Verwaltung des Netzwerkes bleibt übersichtlich. benutzerverwaltungunter Seite 5

1.2 Die Arbeitsumgebung eines Benutzers Ein Benutzer arbeitet in einer bestimmten Arbeitsumgebung. Die Arbeitsumgebung muß den Anforderungen des Benutzers entsprechen. Elemente der Arbeitsumgebung: Desktop Zugriffsrechte auf Verzeichnisse und Dateien Die Möglichkeit, Dateien auf einem oder mehreren Netzwerkdruckern auszudrucken Den Erfordernissen entsprechende Anpassung des Start-Menüs und der Task- Leiste Automatische Verbindungen zu Netzwerklaufwerken und freigegebenen Verzeichnissen Gegebenenfalls automatischer Start einer Anwendung nach der Anmeldung Ein Verzeichnis, in dem der Benutzer seien persönliche Dateien ablegen kann (Basisverzeichnis) Für die Definition einer solchen Arbeitsumgebung gibt es zwei Möglichkeiten: 1.2.1 Anmeldeskripts Dienen dazu, die Arbeitsumgebung eines Benutzers zu konfigurieren. Sie können somit die gleichen Aufgaben wie Benutzerprofile erfüllen. Die Verwendung empfiehlt sich z.b. wenn MS-DOS Arbeitsstationen im Netzwerk vorhanden sind, da man auf solchen Computern keine Benutzerprofile von Win NT nutzen kann. 1.2.2 Benutzerprofile Das Profil wird beim Anmelden des Benutzers automatisch geladen. Es gibt für jeden Benutzer ein Profil. Ausgenommen davon sind Benutzer, die sich als Gast anmelden. Sie erhalten immer das Standard-Benutzerprofil. Ein Standard-Benutzerprofil liegt auf jedem Windows Nt-Computer auf der lokalen Festplatte und wird geladen, wenn sich ein lokaler Benutzer erstmals an diesem Computer anmeldet. 1.2.2.1 Veränderliche Benutzerprofile: Sobald sich der Benutzer abmeldet, wird eine Kopie dieses Profils mit allen seinen Änderungen, als individuelles Benutzerprofil gespeichert. Bei allen weiteren Anmeldungen wird nun dieses Benutzerprofil verwendet. Ein lokales Benutzerprofil kann immer nur auf ein und denselben Computer verwendet werden, ein Server-basiertes Benutzerprofil kann man unabhängig von der Arbeitsstation verwendet werden. Veränderliche Benutzerprofile werden unter NTUser.dat abgespeichert. benutzerverwaltungunter Seite 6

1.2.2.2 Verbindliche Benutzerprofile: Es beschreibt eine Windows NT-Umgebung dauerhaft. Die einzelnen Benutzer können ihre Arbeitsumgebung nur für die Dauer einer Sitzung verändern. Nach einer erneuten Anmeldung wird wieder das Original-Benutzerprofil geladen. Verbindliche Benutzerprofile werden unter NTUser.man gespeichert. 1.3 Der Benutzermanager Mit dem Programm Benutzermanager oder Benutzermanager für Domänen kann man die Administrationsarbeit leicht erledigen. Man kann: Neue Benutzer anlegen Neue lokale Gruppen anlegen Neue globale Gruppen anlegen Gruppen und Benutzer verwalten Richtlinien für Benutzerkonten festlegen Richtlinien für Benutzerrechte festlegen Richtlinien für die Überwachung festlegen Vertrauensstellungen zwischen Domänen einrichten Nach dem Aufrufen des Benutzer-Managers sieht man eine Liste der Benutzer und Gruppen, die bei Windows NT bereits definiert sind. Einige Benutzergruppen und Benutzer sind bereits vom System definiert. Diese kann man zum Teil anpassen, in manchen Fällen muß man solche Anpassungen sogar vornehmen, um ein sicheres System einzurichten. Um auf Windows NT zugreifen zu können benötigt man ein Benutzerkonto das Informationen wie Benutzername, vollständiger Name Kennwort Anmeldezeiten Profil, Kontentyp, etc. enthält. Vordefinierte Benutzer sind z.b. der Administrator und der Gast, die bereits bei der Installation von Windows NT angelegt werden. Das Administratorkonto ist der zunächst wichtigste Benutzer, da er alle zur Verwaltung eines Computers oder einer Domäne benötigten Rechte besitzt. Das Konto selbst kann nicht gelöscht werden, es kann jedoch umbenannt werden, was auch ratsam ist. Wenn man den Namen dieses Kontos unverändert beläßt, ist die Gefahr eines unbefugten Eindringens in das Netzwerk deutlich größer, da damit zumindest schon einmal der Benutzername eines Administrators bekannt ist und nur noch das benutzerverwaltungunter Seite 7

Kennwort dazu ermittelt werden muß. Ebenso wie er sich nicht löschen läßt, kann der Benutzer Administrator auch nicht aus der vordefinierten Gruppe Administratoren entfernt werden. Das Gastkonto hingegen wird zwar bei der Installation angelegt, ist bei einem Windows NT Server aber standardmäßig deaktiviert. Bei einer Workstation ist dies nicht der Fall. Aus Sicherheitsgründen sollte man es auch dort sperren, da sich sonst jeder unter diesem Konto ohne Kennwort anmelden kann. Dieses Konto besitzt sehr wenige Berechtigungen, so daß ein Benutzer, der unter diesem Konto angemeldet ist, zumindest keinen Schaden anrichten kann. Er besitzt allerdings unter Umständen die Möglichkeit, auf Daten (lesend) zuzugreifen. Für das Anlegen neuer Benutzer ist es zunächst wichtig, sich zu überlegen, wer alles als Benutzer definiert werden soll. In der Regel wird für jeden Benutzer auch ein Benutzerkonto definiert. Jedoch sollte man nicht jeden Benutzer einzeln definieren, sondern damit beginnen die Benutzer mit ähnlichen Einstellungen zunächst einmal zu definieren und anschließend zu klonen. Damit kann man sich viel Arbeit sparen, da zum Beispiel die Benutzerrechte, Gruppenzugehörigkeiten und andere Informationen eines Benutzers übernommen werden. Man muß nur noch individuelle Werte wie den Benutzernamen und Kommentare für jeden Benutzer eingeben. Grundsätzlich teilt sich das Programmfenster des Benutzermanagers in zwei Bereiche: benutzerverwaltungunter Seite 8

1.3.1 Benutzerkonten Der obere Teil des Fensters listet alle Benutzerkonten der Domäne auf. Man sieht den eigentlichen Benutzernamen, der bei der Anmeldung zu vergeben ist. Daneben ist Platz für die Darstellung des vollständigen Namens und eine Beschreibung für das Benutzerkonto. 1.3.2 Gruppenkonten Globale Gruppen werden definiert, um Benutzer zusammenzufassen. Lokale Gruppen werden definiert, um diesen Berechtigungen zuzuordnen. 1.3.3 Benutzerkonto-Richtlinien: Damit regelt man, wie Benutzer ihre Kennwörter verwenden müssen. Die Richtlinien tragen entscheidend zur Sicherheit des Netzwerkes bei. Die Einstellungen gelten für alle Konten in der Domäne. Hier kann man z.b. Beschränkungen für das Kennwort angeben. Außerdem kann man hier auswählen, ob das Konto gesperrt werden soll oder nicht. 1.3.4 Benutzerrechte-Richtlinien: Damit vergibt man Rechte an Benutzer oder Gruppen. Mit einem Recht ist die Möglichkeit verbunden, eine bestimmte Aktion im System durchzuführen. Meldet sich ein Benutzer an einem Konto an, dem das entsprechende Recht gewährt ist, kann er die betreffende Aktion ausführen. Falls einem Benutzer ein bestimmtes Recht nicht gegeben ist, verweigert Windows NT die Ausführung bestimmter Aktionen. Um Benutzern neue Rechte zu geben, muß nur der lokalen Gruppe die gewünschte zusätzliche Berechtigung zugeordnet werden. Ebenso lassen sich Berechtigungen genau so leicht wieder entfernen, indem diese einfach der lokalen Gruppe genommen werden. Sollen sich solche Veränderungen nicht auf alle Benutzer beziehen, können die Änderungen auch durch eine Änderung der Zuordnung von globalen Gruppen zu lokalen Gruppen durchgeführt werden. Benutzerrechte dürfen nur von Administratoren vergeben und verwaltet werden. 1.3.4.1 Rechte: Ein Recht betrifft das gesamte System. (z.b. wirkt sich das Ändern der Systemzeit auf alle Stationen der Domäne aus) benutzerverwaltungunter Seite 9

1.3.4.1.1 Zugriffsrechte: Zugriffsrechte regeln die Möglichkeiten der Benutzer auf die Ressourcen des Systems oder Netzwerk zuzugreifen (zb Verzeichnisse und Drucker). 1.3.4.1.2 Systemrechte: Systemrechte gewähren einem Benutzer die Möglichkeit, an dem betreffenden System bestimmte Aktionen durchzuführen oder Werte zu ändern. Dazu gehören zb Treiber in das System zu laden oder zu entfernen, Ändern der Systemzeit, Herunterfahren es Systems und ähnliches. Die Systemrechte werden im Benutzermanager unter dem Menü Richtlinien Benutzerrechte verwaltet. (Angezeigt werden hier jedoch nur die Standard- Benutzerrechte; tatsächlich existieren noch weitere Berechtigungen, die man erhält, indem man das Kontrollkästchen weitere Benutzerrechte anzeigen aktiviert. ) 1.3.4.2 Berechtigungen: Eine Berechtigung betrifft ein bestimmtes Objekt. (z.b. wird einem Benutzer die Berechtigung erteilt, seine Dateien auf einem bestimmten Drucker auszudrucken) Rechte, die im Zusammenhang mit dem normalen Netzbetrieb stehen, sind z.b. Ändern der Systemzeit, Herunterfahren von einem Fernsystem aus Laden und Entfernen von Gerätetreibern Hinzufügen von Arbeitsstationen zur Domäne Lokale Anmeldung Sichern von Dateien und Verzeichnissen, etc. Zugriffsrechte im System und Benutzerrechte werden ausschließlich lokalen Gruppen zugeordnet. Damit ist eindeutig, welcher Art von Gruppe Rechte gegeben werden. Globale Gruppen, die nur in der Domäne definiert werden können, werden ausschließlich für die Zusammenfassung von Benutzern verwendet. Diesen werden aber keine Rechte zugeordnet. Anhang: Weitere Infos zum Thema NT-Domänen Konzept oder Ressourcenverwaltung unter NT sind von Ranz Gerhard bzw. Fuchs Tina zu erhalten. benutzerverwaltungunter Seite 10