Wie verwalte ich Windows wie Linux/Unix: Administratorrechte durch Gruppenmitgliedschaft ohne Unfälle und ohne das Administratorkennwort weiterzugeben?

Question

Ich nehme einige grundlegende Änderungen an einer Windows Server 2003/2008-Umgebung vor. Auf der Unix-Seite sind meine Sicherheitseinschränkungen einfach:

1. Benutzer, die über Adminrechte verfügen sollen, befinden sich in einer speziellen Gruppe („Rad“ o.ä.).
2. Wenn sich diese Benutzer bei diesen Maschinen anmelden, verfügen sie noch nicht über Administratorrechte, bis sie explizit einen Befehl mit diesen Administratorrechten ausführen (Befehl „sudo“ oder „su“).
3. Selbst wenn sie den Befehl mit „su“ (ähnlich wie „runas“) ausführen, müssen sie dennoch ein Passwort eingeben: ihr eigenes.

In diesem System kann ich steuern, wer Administratorrechte hat (durch Gruppenmitgliedschaft), verhindern, dass jemand versehentlich etwas mit Administratorrechten ausführt (durch Anforderung von „su“ oder „sudo“) und niemals ein zentrales „Administrator“-Passwort (z. B. „root“) preisgeben, da er nach seinem eigenen gefragt wird.

Wie erreiche ich das Äquivalent auf einem Windows Server? Die Optionen, die ich sehe, sind:

1. Benutzer zum lokalen Administratorkonto hinzufügen: Aber dannallesSie tun dies als Administrator und riskieren Fehler.
2. Fordern Sie sie auf, „runas Administrator“ auszuführen: Allerdings müssen sie dazu das Administratorkennwort kennen, das ich nicht weitergeben möchte.

Gibt es eine Lösung, mit der ich gleichzeitig Folgendes erreichen kann: Kontrollieren Sie anhand der Gruppenmitgliedschaft, wer Zugriff hat. Verhindern Sie durch die Anforderung eines separaten Kennworts, dass jemand versehentlich Schaden anrichtet. Verhindern Sie, dass jemand jemals das Administratorkennwort erfährt.

Answer 1

Erstens sollten nur Administratoren Administratorzugriff erhalten. Sofern es keinen WICHTIGEN (mir fällt kein guter) Grund dafür gibt, warum sie ihn brauchen, sollte dies den Administratoren überlassen werden. Es gibt seltene Fälle, in denen ein normaler Benutzer Administratorrechte erhält, und selbst dann bin ich normalerweise skeptisch, warum er sie braucht.

Zweitens können Sie das gewünschte Ziel erreichen, indem Sie die Gruppenmitgliedschaft in Windows verwenden. Sie haben nicht gesagt, dass Sie Active Directory verwenden, daher bin ich mir nicht sicher, ob Sie eine Domäne haben und dies tun, aber Sie können Sicherheitsgruppen erstellen und ihnen einzelne Benutzerkonten hinzufügen. Siehe hier. Ich würde Benutzer nicht einzeln zur lokalen Administratorgruppe auf dem Server hinzufügen, da dies unübersichtlich wird und es später schwer wird, den Überblick zu behalten. Außerdem wird es Ihnen viel Kopfzerbrechen bereiten und potenzielle Sicherheitsprobleme verursachen. Was ich tun würde, ist, wie oben erwähnt, eine Sicherheitsgruppe zu erstellen und die Mitglieder dieser Gruppe hinzuzufügen, die Administratorzugriff haben sollen. Sie würden zwei Benutzerkonten für Ihre Benutzer erstellen: eines für die normale Anmeldung und dann ein zweites Konto, das nur für erweiterte Aktionen verwendet wird. Sie würden das „höher/privilegierte“ Konto des Benutzers zur Sicherheitsgruppe hinzufügen und dann diese Gruppe in eine erweiterte lokale Gruppenmitgliedschaft auf dem eigentlichen Server aufnehmen, beispielsweise Power Users. Dadurch können sie viele Funktionen ausführen, ohne Administratoren zu sein. Manchmal benötigt die Gruppe lokalen Administratorzugriff und an diesem Punkt können Sie die Gruppe in diese lokale Administratorgruppe auf dem Server aufnehmen.

Was „Als Administrator ausführen“ betrifft, müssen Sie das nicht immer tun. Die beste Möglichkeit, damit Benutzer Dinge ausführen können, ohne das Administratorkennwort oder ein Administratorkennwort zu kennen, besteht darin, Umschalt+Rechtsklick zu verwenden und dann „Als anderer Benutzer ausführen“ auszuwählen oder mit der rechten Maustaste zu klicken und „Als Administrator ausführen“ auszuwählen. Sie sollten zunächst einen separaten Benutzer für sie erstellen, der höhere oder erhöhte Rechte hat, wie oben erwähnt (dieser erhöhte Benutzer würde, wie oben erwähnt, erneut zur Sicherheitsgruppe hinzugefügt), da dieser Benutzer dann verwendet werden könnte, um Dinge auszuführen, die erhöhte Rechte erfordern, während er mit einem normalen/Standardbenutzerkonto angemeldet ist. Siehe meinen Screenshot:

Damit sollte das erledigt sein, was Sie tun möchten, wenn Sie Dinge als Administrator ausführen. Eine letzte Anmerkung, die ich hinzufügen möchte, ist, die Benutzerkontensteuerung eingeschaltet zu lassen. Wenn Sie dies tun, müssen die Benutzer für Dinge, die sie auf dem Server tun, ihr (erhöhtes) Passwort und kein Administratorpasswort eingeben. Es ist zwar mühsam, wenn man es oft eingeben muss, aber aus Sicherheitsgründen lohnt es sich.

Answer 2

Lassen Sie ihr Standardkonto auf „Standard“. Erstellen Sie ein zweites privilegiertes Konto und fügen Sie es den verschiedenen Verwaltungsgruppen hinzu. Verwenden Sie „runas“ mit dem privilegierten Konto. (Vielleicht finden Sie es sinnvoll, interaktive Anmeldungen mit dem Administratorkonto zu deaktivieren, aber andererseits – das wird wahrscheinlich lästig).

Answer 3

Unter Server 2003 müssen Sie die Run As...Option zur Ausführung als Konto mit Administratorrechten verwenden.

Mit Server 2008+,Sie verwenden UACund/oder die Run as Administratorvon Ihnen vorgeschlagene Option. Dazu ist es nicht erforderlich, das Passwort zu kennen, umDie[lokales] Administratorkonto – alle Administratoranmeldeinformationen sind ausreichend.

Sie fügen also deren Konten den lokalen Verwaltungsgruppen hinzu, oder, aus Sicherheitsgründen besser, erstellen Sie separate Verwaltungskonten und fügen Sie diese den lokalen Verwaltungsgruppen hinzu. Wenn sie dann etwas mit Administratorrechten ausführen müssen, fordert UAC zur Eingabe von Administratoranmeldeinformationen auf und/oder sie verwenden die Option Run As.../ Run as Administrator.