UAC hardening zu fest angezogen?

[k0ntr]

Hallo Leute

In einem Unternehmen von 40 Mitarbeitern, wurden die GPOs neu aufgesetzt und auf mehr Sicherheit konzentriert. Der IT Mitarbeiter hat 2 Admin Accounts.

1. Domainadmin (wird kaum verwendet)
2. Clientadmin (z.b. um Installationen auf den Mitarbeiter-PCs auszuführen. Damit man nicht den Domainadmin verwendet).

Jetzt kann er keine Installationen wie z.B. VLC vornehmen, da die GPO: User Account Control: Behavior of the elevation prompt for standard users: Automatically deny elevation requests, eingetzt ist. (Ein blaues Fenster mit "This app has been blocked by your system administrator" erscheint).

In diesem Fall kann man sich nur noch als Admin am PC anmelden (Kontoanmeldung) und dann etwas installieren. Ist das nicht kontraproduktiv?

Sollte man in diesem Falle sowas wie SCCM benutzen, oder ein Softwarepaketierungstool ?

Ich wüsste sonst nicht wie man per Remote bei einem Benutzer etwas installieren kann.

 

[kroto]

Du könntest eine CMD als Administrator öffnen und von dort aus die MSI/Exe ausführen. Probiere mal ob dies klappt.
Also mit Shift Rechtsklick auf das CMD Symbol dann als anderer Benutzer ausführen.

Und nein, dass ist nicht kontraproduktiv, das ist was man haben möchte, ein normaler Benutzer darf nichts installieren, Sondern eine Installation soll immer eine bewusste Entscheidung sein.

 

[Conqi]

ein normaler Benutzer darf nichts installieren

Aber das erreicht man ja schon dadurch, dass die normalen Benutzer schlicht keine Adminrechte haben. Erfüllt es da wirklich einen Zweck, dass man die Rechteerhöhung durch UAC unterbindet, die eh nur ein Admin bestätigen kann?

 

[k0ntr]

Man kann auch nichts "als Administrator ausführen" klicken. Dann kommt eben die Meldung dass es gesperrt ist.

Normaler User können so oder so nichts installieren.