Feinheiten der UAC

[CED999]

Hallo allerseits,

beschäftige mich gerade etwas intensiver mit der UAC. Daher die Frage wer kann mir näheres zu folgenden UAC einstellungen sagen und was die Unterschiede dazwischen sind, das klingt sehr ähnlich:

• Deaktivieren des Administratorbestätigungsmodus
• UAC auf erhöhte Rechte ohne Eingabeauffforderung konfigurieren

Grüße!

 

[Mydgard]

Bezweifele irgendwie, das viele dazu etwas sagen können, denke die meisten machen das wie ich: Gleich mal komplett abschalten das UAC ...

Auch wenn die Idee hinter dem UAC nicht schlecht ist, kommen dann doch immer an den Unmöglichsten Stellen so eine Abfrage, die a) Zeit kostet, b) nervig ist und c) häufig nicht wirklich Aussagekräftig ist.

 

[CED999]

Bezweifele irgendwie, das viele dazu etwas sagen können, denke die meisten machen das wie ich: Gleich mal komplett abschalten das UAC ...

Hehe, ich habe das so die letzten 3 Jahre so durchgezogen. Will mir das jetzt aber genauer anschauen was da noch geht..

 

[Lunke]

Deaktivieren des Administratorbestätigungsmodus: Alle Anwendungen werden von vornherein mit den höchsten verfügbaren Rechten ausgeführt.

UAC auf erhöhte Rechte ohne Eingabeauffforderung konfigurieren: Wie gewohnt werden Anwendungen standardmäßig mit eingeschränkten Rechten ausgeführt, und können bei Bedarf höhere Rechte anfordern. Nur werden die höheren Rechte einfach immer gewährt, ohne dass der Benutzer gefragt wird.

Microsoft empfiehlt, die letzte Option zu wählen, wenn man nur den Fortsetzen-Dialog loswerden will: http://technet.microsoft.com/de-de/library/ee679793(v=ws.10).aspx

 

[MagicAndre1981]

kommen dann doch immer an den Unmöglichsten Stellen so eine Abfrage, die a) Zeit kostet, b) nervig ist und c) häufig nicht wirklich Aussagekräftig ist.

nein sie kommen da wo man Adminrechte benötigt. In NT als Standardnutzer hast du eine Fehlermeldung (keine Rechte) bekommen. Was ist besser ein UAC Prompt oder eine Fehlermeldung?

 

[CED999]

Hi Lunke,

wo hast Du die Definitionen her, auf der Seite die du verlinkt hast war ich schon da steht das aber nicht? Hast Du noch eine andere Quelle?

Problem ist nämlich, dass ein Virus ja immer höhere Rechte verlangen würde. Damit wäre der Unterschied zwischen den beiden Optionen fast weg.

 

[Lunke]

Die Definition habe ich hiervon abgeleitet: http://technet.microsoft.com/de-de/library/dd834795.aspx

Oder siehe auch hier: http://technet.microsoft.com/de-de/library/cc772207(v=ws.10).aspx (Abschnitt "Welche neue Funktionalität wird mit diesem Feature bereitgestellt?")

dass ein Virus ja immer höhere Rechte verlangen würde

Nicht unbedingt. Denn das würde ja normalerweise bedeuten, dass der Benutzer eine Meldung über den Virus bekommt (UAC-Dialog). Dass du dein System so konfiguriert hast, dass bei dir keine Meldung, weiß der Virus in diesem Moment gar nicht.

Also wie gesagt, wenn es dir nur darum geht, den Dialog loszuwerden, benutze "UAC auf erhöhte Rechte ohne Eingabeauffforderung konfigurieren".

 

[CED999]

Also wie gesagt, wenn es dir nur darum geht, den Dialog loszuwerden, benutze "UAC auf erhöhte Rechte ohne Eingabeauffforderung konfigurieren".

Ich bin mir da nicht so sicher. Das ist den von Dir zitierten Dokumenten glaube ich etwas unglücklich ausgedrückt. Die Alternative von "Deaktivieren des Administratormodus" wird da gar nicht erwähnt.

Durch die Einstellung Erhöhte Rechte ohne Eingabeaufforderung wird die UAC deaktiviert. Diese Einstellung sollte nur auf einem Domänencontroller oder Server für fortgeschrittene Benutzer oder Serveradministratoren verwendet werden. Diese Einstellung sollte nicht für einen Clientcomputer angewendet werden.

Benutzer sollten das Internet nicht verwenden, wenn diese Einstellung aktiviert ist.

http://technet.microsoft.com/de-de/library/ee679793(v=ws.10).aspx

Das ist die nahezu Totaldeaktivierung, da ist Deaktivieren des Administratormodus eventuell die mildere Variante. Wenn ich noch was finde poste ich das hier...

 

[Lunke]

Das ist tatsächlich etwas widersprüchlich formuliert. Weiter oben in dem Dokument heißt es ja recht eindeutig:

Erwägen Sie stattdessen, die UAC für erhöhte Rechte ohne Eingabeaufforderung zu konfigurieren. In diesem Fall werden Anwendungen, die als Administratoranwendungen markiert wurden, und Setup-Anwendungen automatisch mit dem Token für vollen Administratorzugriff ausgeführt. Alle anderen Anwendungen werden automatisch mit dem Standardbenutzertoken ausgeführt. Die zusätzliche Funktionalität der UAC wird beibehalten.

Und hier steht ja auch beschrieben, dass ohne den Administratorbestätigungsmodus gar keine verschiedenen Rechte möglich sind (weil nur ein Zugriffstoken):

Der Administratorbestätigungsmodus (Admin Approval Mode, AAM) ist eine UAC-Konfiguration, in der ein geteiltes Benutzerzugriffstoken für einen Administrator erstellt wird. [...] Ohne den Administratorbestätigungsmodus erhält ein Administratorkonto nur ein Zugriffstoken, das diesem Administrator Zugriff auf alle Windows-Ressourcen gewährt.

 

[CED999]

Falls das noch jemanden interessiert, oder jemand die gleiche Frage hat, nach ca. 10 Artikeln von Technet und unzähligen Stunden im Netz sehe ich das nun folgendermaßen:

Alle Administratoren im Administratorbestätigungsmodus ausführen: Wird dieses Feature deaktiviert ist die UAC tatsächlich komplett aus. Das ist dann so wie in XP als Admin unterwegs zu sein. Das liegt daran, das bei Benutzeranmeldung nur noch das Token für Vollzugriff erstellt wird und somit alles als Admin ausgeführt wird.

Verhalten der Eingabeaufforderung für erhöhte Rechte für Admins im Administratorbestätigungsmodus:
Wird diese Option auf erhöhte Rechte ohne Eingabeaufforderung gesetzt, dann wird die UAC NICHT ausgeschaltet, aber weitgehend entkernt. Es wird bei Benutzeranmeldung noch 2 Tokens erstellt, aber es wird automatisch das Vollzugriffstoken IMMER verwendet. Das führt dazu, dass ein aus dem Internet heruntergeladener Virus sich automatisch installieren könnte ohne Warnung, bzw. Eingriffsmöglichkeit.
Was in diesem Modus aber noch weiterläuft ist der geschützte Modus des Internet Explorers und die Datei und Registrierungsvirtualisierung um Kompatibilität für nicht UAC-kompatible Anwendungen zu ermöglichen.
Fazit: nahezu komplett aus, kein Schutz vor Malware, die sich unbemerkt installieren möchte...

@Lunke: letztendlich ist es doch so wie von Dir vermutet, wird der Aministratorbestätigungsmodus deaktiviert ist die UAC komplett aus (Die UAC IST der Adminbestätigungsmodus). Die Option erhöhte Rechte schaltet zwar die UAC formal NICHT aus, bringen tut das dann aber auch nichts weil, wie schon gesagt wurde, nur noch das Token für Vollzugriff benutzt wird und IMMER automatisch Adminrechte gewährt werden, ohne das der User noch was davon mitbekommt...
Gehopst wie gesprungen...

Have a good one...