Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Komponenten der Benutzerkontensteuerung 105
Sie können einen Registrierungswert definieren, um festzulegen, dass Netzwerkverbindungen
von Prozessen gemeinsam genutzt werden, die mit gefiltertem oder vollständigem Zugriffstoken
laufen. Das gilt aber nur für Mitglieder der Gruppe Administratoren. Wenn Sie
diese Registrierungseinstellung aktivieren und eine Netzwerkressource einem Zugriffstoken
zugeordnet ist, prüft die LSA, ob ein anderes Zugriffstoken mit der aktuellen Benutzersitzung
verknüpft ist. Falls die LSA feststellt, dass es ein verknüpftes Zugriffstoken gibt, fügt
sie die Netzwerkfreigabe zur verknüpften Position hinzu.
Sie können ein verknüpftes Netzlaufwerk aktivieren, indem Sie unter dem folgenden Registrierungsschlüssel
einen DWORD-Eintrag namens EnableLinkedConnections erstellen und
auf den Wert 1 setzen:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
Direkt aus der Praxis: Welche Konten können angehoben werden?
Vor Kurzem bat mich eine Freundin, einige Probleme im Zusammenhang mit der Privilegienanhebung
zu beseitigen. Es war ihr nicht möglich, eine Anhebung durchzuführen, um
einige Netzwerkparameter auf ihrem Notebook zu ändern. Das Notebook war ein Domänenmitglied,
aber der Domänencontroller war zu diesem Zeitpunkt nicht verfügbar. Nach
einigen Minuten Problembehandlung notierte ich das folgende Szenario, das meiner Meinung
nach demonstriert, wie verwirrend die UAC bisweilen sein kann und welche Wechselwirkungen
sie mit anderen Features von Windows hat:
Der Computer hat den Namen Denise-PC.
Der Computer ist Mitglied der Domäne example.com.
Der Domänencontroller von example.com ist offline. Anders ausgedrückt: Denise-PC
arbeitet ohne Domänenverbindung.
Bisher hat sie sich an Denise-PC nur unter EXAMPLE\Denise angemeldet.
EXAMPLE\Denise ist Mitglied von VORDEFINIERT\Benutzer.
VORDEFINIERT\Administratoren auf Denise-PC hat die Mitglieder VORDEFI-
NIERT\Administrator und DENISE-PC\Denise.
Wenn sie versucht, eine administrative Aktion auszuführen, erhält sie eine Anhebungseingabeaufforderung,
in der sie Anmeldeinformationen eines Administratorkontos
eingeben soll.
Es stehen mehrere Möglichkeiten zur Auswahl, eine Anhebung durchzuführen:
1. Anhebung auf VORDEFINIERT\Administrator
2. Anhebung auf EXAMPLE\Denise
3. Anhebung auf EXAMPLE\Administrator
4. Anhebung auf EXAMPLE\Foo, wobei Foo Mitglied von EXAMPLE\Domänen-
Admins ist
5. Anhebung auf DENISE-PC\Denise
Option 1 schlägt fehl, weil VORDEFINIERT\Administrator in Windows Vista standardmäßig
deaktiviert ist, sofern es ein anderes lokales Administratorkonto gibt. Weil
DENISE-PC\Denise ein lokales Administratorkonto ist und auch aktiviert ist, steht
VORDEFINIERT\Administrator nicht zur Verfügung.