Kann man einem Administrator den Zugriff auf ein Verzeichnis verweigern?

[JamesTKirk]

Zitat von p80286:

Zitat von mm1256:

die Daten die Andere nichts angehen löschen,

Ich denke da liegt der Hase im Pfeffer, ich war letzt sehr erstaunt was mein PC noch alles wußte, auf welchen Seiten ich war, was für Dateien ich mal hatte usw.

Alternativ nach dem Backup das Windows einfach neu installieren. (Statt Acronis kann man zum Beispiel auch HDClone verwenden, Auswahl gibt es bei solchen Programmen ja doch )

Gruß,
Sven

[Dalai]

Um mal noch etwas Konkretes beizutragen: Ich empfehle ebenfalls, dem Nutzer keine Administratorrechte zu geben und stattdessen mit RunAsSpc (Freeware) oder RunAs Professional (Löhnware für 10 EUR) irgendein Programm zu starten, über das Installationen mit Adminrechten ausgeführt werden können. "Irgendein Programm" sollte man natürlich sehr genau überlegen und aussuchen; Explorer geht z.B. nur über Umwege und ist sicher auch nicht gerade sinnvoll.

Das ist übrigens auch genau der Weg, den ich bei meinen Kunden gehe: Adminrechte haben die keine, das Passwort des Admins haben sie ebenfalls nicht, aber sie können über ein von mir entwickeltes Programm Software installieren/deinstallieren oder Systemeinstellungen ändern. Die Benutzung dieses Programms wird protokolliert, so dass ich nachvollziehen kann, wann und wie oft davon Gebrauch gemacht wurde, um dann ggf. zu sagen: "Selber schuld" .

MfG Dalai

[Luckie]

@Dalai: Und wo sind die Zugangsdaten hinterlegt? Oder wie funktioniert dein Programm?

[Dalai]

Zitat von Luckie:

@Dalai: Und wo sind die Zugangsdaten hinterlegt? Oder wie funktioniert dein Programm?

Die liegen (symmetrisch) verschlüsselt in einer INI, die zum Programm gehört. Ja, ich weiß, ist nicht so besonders toll sicher, aber für den Einsatzzweck reicht das, um die Schwelle für den normalen Nutzer deutlich höher zu legen (man müsste erstmal rausfinden, womit das Passwort verschlüsselt ist). Die von mir o.g. besonders neugierigen und findigen Nutzer wird man damit u.U. nicht abhalten können, aber mit denen hat man eh andere Probleme .

MfG Dalai

[implementation]

Zitat von JamesTKirk:

Statt Acronis kann man zum Beispiel auch HDClone verwenden, Auswahl gibt es bei solchen Programmen ja doch

Wenn ich das hier richtig verstehe, könnte auch sowas wie

Code:

copy \\.\C: image.img

funktionieren, in Analogie zum simplen

Code:

cp /dev/sda image.img

auf Linux (und ähnlichen Dateien bei anderen unixoiden Systemen.) - hab gerade kein Windows zur Hand zum Testen, aber fände ich sehr cool wenn das ginge.

[Popov]

Ich weiß nicht ob die Frage noch aktuell ist oder schon beantwortet wurde, aber der Typ der noch mehr Rechte als Administrator hat, der nennt sich System. Also es ist nicht ganz einfach als System zu arbeiten, aber auch nicht unmöglich. Und wenn der dem Admin die Rechte nimmt, dann kann der Admin sich meiner Kenntnis nach auch nicht so einfach die holen. Das ist so weit ich aber weiß kein regulärer weg, denn eigentlich ist der System nicht dazu gedacht damit zu arbeiten. Ich hab aber mal darüber gelesen, dass man sich Zugriff drauf holen kann. Und da das System noch vor dem Admin steht, kann ich mir vorstellen, dass der den Admin beschränken kann.

Aber meiner Kenntnis nach muss nicht so weit gehen. Soviel ich weiß gibt es unter Windows das Recht des Hauptbenutzers. Hauptbenutzer kann mehr als ein normaler Nutzer, aber nicht so viel wie der Admin. Soviel ich weiß kann er Programme installieren. Das ist also das was er mehr als der normaler Nutzer kann. Er kann sich aber nicht mehr Rechte geben.

Der Hauptbenutzer könnte das sein was du suchst.

[Der schöne Günther]

Danke für den Hinweis.
Ich hatte es auch so in Erinnerung, ich glaube unter XP könnte es sogar so oder so ähnlich gewesen sein. Mittlerweile scheint das aber nicht mehr zu funktionieren, auch der Hauptbenutzer wird nach einem Admin-Login gefragt wenn er ein Programm installieren möchte.

[JamesTKirk]

Zitat von implementation:

Wenn ich das hier richtig verstehe, könnte auch sowas wie

Code:

copy \\.\C: image.img

funktionieren, (...)

Nein, du verstehst das nicht richtig. Die DosDevices, die in dem Link beschrieben sind, sind überhaupt dafür da, dass bei dir ein C: im Windows Explorer auftaucht. Der normale Pfad im NT Namespace ist nämlich \Devices\Harddisk1\HarddiskVolume0 (oder welche Indizes auch immer).
Unabhängig davon würde das aber auch nicht funktionieren, da "copy" nur mit Dateien arbeitet, du möchtest aber eine Kopie der gesamten Festplatte, was
1. die Dateien beinhaltet, die aktuell im Zugriff sind
2. die Metadaten aller Dateien (Zugriffsrechte, Alternate Data Streams, etc.)
3. die Metadaten des Dateisystems
Backupprogramme wurden nicht ohne Grund entwickelt...

@Der schöne Günther: Eine weitere Idee, die du probieren könntest, bei der ich allerdings nicht weiß, wie gut sie unter nem UAC System wie Windows 7 oder Windows 8 funktioniert: es gibt die Gruppe Power Users, welche Programme installieren darf und auch Accounts anlegen/ändern darf, letzteres aber nur bei Accounts, die selbst angelegt wurden. Benutzer dieser Gruppe dürfen auch nicht einfach Dateien in Besitz nehmen, wie es ein Administrator kann. Du könntest also nun einen normalen Benutzeraccount erstellen und diesen der Gruppe der Power User zuweisen. Aber bitte erst testen, wie gut sich das mit der UAC verträgt (und es hindert auch niemanden dran das System zum Beispiel mit nem Linux zu starten und auf deine Dateien zuzugreifen oder die Festplatte auszubauen und über ein anderes System zu gehen...)

Gruß,
Sven

[Der schöne Günther]

Diese Gruppe "Power Users" hört sich genau nach dem an, was ich will. Aber anscheinend gibt es die seit nach Windows XP nicht mehr:

http://serverfault.com/q/525880
http://en.wikipedia.org/wiki/Power_u...administration

[DeddyH]

IIRC konnte man zumindest unter Vista noch einen Hauptbenutzer anlegen, allerdings stand dort schon der Hinweis "Nur aus Kompatibilitätsgründen vorhanden" oder so ähnlich.