Mitgliedschaft in Windows-Benutzergruppe feststellen

[berens]

Zunächst nochmal vielen Dank allen, die geantwortet haben.

In diesem Thread darf ich nun auch nochmal Werbung für mein Tutorial machen, wie ich das eigentliche Problem gelöst habe:
http://www.delphipraxis.net/186242-w...verwenden.html

Falls jemand nun wirklich die Gruppenmitgliedschaft feststellen will, kann er mit diesem Tutorial eine SecurityDescriptor erstellen, der (nur) die gewünschte Gruppe mit einem Beispielrecht enthält, und dann prüfen, ob der (aktuell angemeldete) Benutzer dieses Recht hat. Benutzer erhalten ja automatisch die Rechte der Gruppen in der sie sind, ausgenommen die der Admin-Gruppen (hier muss das Programm mit rechte Maustaste - als Administrator starten ausgeführt werden.

ACHTUNG -Wichtiger Nachtrag zu diesem kompletten Thread

Zitat:

Nimmt man einen Benutzer in eine Gruppe auf, muss Dieser sich erst neu an Windows anmelden, damit die Änderungen wirksam werden!

Der Benutzer ist NICHT Mitglied egal welcher generischen Administrator-Gruppen (Domänen-Admins etc.), wenn das Programm nicht mit rechter Maustaste --> Als Administrator ausführen gestartet wurde.

Somit könnte es sein, dass die hier aufgeführten Probleme damit zusammen gehangen haben, dass ich zum Testzeitpunkt noch nicht erneut an Windows angemeldet war, so dass die Gruppenmitgliedschaft noch nicht "aktiv" war!

[Memnarch]

Muss man sich auch neu anmelden, wenn man GPUpdate ausführt o.O?

[berens]

Ich habe es eben auf einem Windows 2012 Server getestet.
Auch "gpupdate /force" aktualisiert NICHT die Gruppenmitgliedschaft. (Meines Wissens ist dieser Befehl eh nur für die Aktualisierung der Gruppenrichtlinien zuständig...)

Mit "whoami /all" bzw. "whoami /all > x:\1.txt" kann man sich von Windows direkt den Mitgliedschafts-Status alle Gruppen anzeigen lassen.

Mein Testverlauf:
1) whoami /all
--> Ich bin nicht Mitglied der Gruppe
2) Gruppenmitgliedschaft über "Active-Directory-Benutzer und -Computer" geändert, dieses Fenster dann geschlossen
3) whoami /all
--> Ich bin nicht Mitglied der Gruppe
4) gpupdate /force
5) whoami /all
--> Ich bin nicht Mitglied der Gruppe
6) Abmelden / Anmelden an Windows
7) whoami /all
--> Ich BIN Mitglied der Gruppe

Das Problem besteht sowohl bei Lokalen Gruppen, wie in der Domäne.

[generic]

Zitat von Memnarch:

Muss man sich auch neu anmelden, wenn man GPUpdate ausführt o.O?

Gruppenrichtlinien (Registryeinträge) haben nicht mit dem aktuellen Prozesstoken zu tun!
Das mit den neu Anmelden, wird nur gemacht, dass die Prozess welche bereits laufen z.B. Explorer, die neuen Registry-Einstellungen lesen.

[Luckie]

Guck dir mal meinen XP Usermanager (http://xpusermanager.de) an. Suchst du so was wie da in der Gruppenverwaltung?

[berens]

Hi Luckie,
danke für den Hinweis. Für die komplette Thematik, die letztendlich hier gelöst wurde http://www.delphipraxis.net/184812-w...verwenden.html , habe ich auch einen großen Teil der Zeit auf deiner Seite mit deinen Codeschnippseln verbracht. Die aufgeführten Beispiele waren leider alle nur für das FileSecurity Mapping und ich konnte diese nicht auf mein Problem transferieren.

Der XP-Usermanager hätte mir sehr wahrscheinlich geholfen das Problem zu lösen, wie Du an anderen Stellen aber bereits erwähnt hast ist er closed-source und ich wollte jetzt nicht so unverschämt sein und per PM nach Codeschnippseln davon fragen.

Wie gesagt, das eigentliche Problem ist erledigt -ich muss ja jetzt auch nicht mehr explizit die Gruppenmitgliedschaft ermitteln-, falls ich das noch noch tun müsste, würde ich wahrscheinlich mit der JwSCL einen SecurityDescriptor mit der entsprechenden Gruppe anlegen die alleinig das Recht hat, etwas zu tun, und dann einfach schauen, ob der aktuell angemeldete Benutzer das entsprechende Recht erhält. Fragen bleiben halt offen wie ich -JwSCL kompatibel- dann den Gruppennamen in die SID umwandle oder das ganze für ein anderes Benutzerkonto teste, aber -man verzeihe es mir- da ich das (zumindest aktuell) nicht brauche, möchte ich mich damit jetzt nicht wirklich beschäftigen.

Ich und die Nachwelt würden sich aber sicherlich trotzdem über 1-2 Codeschnippsel aus Deinem Usermanager freuen, wie z.B. User-/Gruppennamen in SID umwandeln (wobei das glaube ich sogar in deiner Bibliothek war?), und speziell halt quasi die Funktionen IstBenutzerMitgliedVonGruppe(Benutzer, Gruppe) oder zumindest BinIchMitgliedVonGruppe(Gruppe). Jeweils natürlich bezogen auf den Kontext, in dem unser Programm läuft.

Nochmal "Danke" an Alle für die Beteiligung am Thema