Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

92 Kapitel 4: Grundlagen der Benutzerkontensteuerung
gefiltertes Standardbenutzer-Zugriffstoken. Der Filterungsprozess entfernt die administrativen
Privilegien und deaktiviert die Sicherheits-IDs (Security Identifier, SID) der Administratorgruppe,
wodurch ein gefiltertes Standardbenutzer-Zugriffstoken entsteht. Das Standardbenutzertoken
wird dann verwendet, um den Windows-Desktop (explorer.exe) und danach
alle untergeordneten Prozesse zu starten. Folglich laufen alle Anwendungen in der Standardeinstellung
mit dem Standardbenutzertoken, und nur wenn ein Administrator die Genehmigung
erteilt, läuft eine Anwendung mit einem vollständigen Zugriffstoken. Anwendungen
erben die Privilegebene des übergeordneten Prozesses. Falls daher der übergeordnete Prozess
mit einem vollständigen Zugriffstoken läuft, erbt der neue untergeordnete Prozess dieses
Token und wird ausgeführt, ohne dass die Genehmigung des Administrators angefordert
wird. Falls Sie zum Beispiel eine Eingabeaufforderung als Administrator starten, läuft auch
jeder Prozess, den Sie innerhalb der Eingabeaufforderung ausführen, als Administrator.
Auf der CD Elevating Explorer
Standardmäßig wurde Explorer.exe nicht dafür entworfen, erhöhte Privilegien anzufordern. Wenn Sie daher
mit der rechten Maustaste auf die ausführbare Datei klicken und Als Administrator ausführen wählen, wird
zwar ein neues Fenster geöffnet, aber im selben Kontext wie das Original. Auf der Begleit-CD finden Sie
einen Satz von Anhebungstools, darunter eines, das die Kontextmenüs aller Ordner durch den Befehl
Elevate Explorer Here ergänzt (das Tool steht nur in englischer Sprache zur Verfügung). Mit diesem Tool
können Sie an jeder beliebigen Stelle eine Windows-Explorer-Instanz mit erhöhten Privilegien öffnen.
Tabelle 4.1 UAC-Liste der eingeschränkten RIDs
Eingeschränkte RIDs Beschreibung
DOMAIN_GROUP_RID_ADMINS Administratives Domänenbenutzerkonto
DOMAIN_GROUP_RID_CONTROLLERS Gruppe Domänencontroller
DOMAIN_GROUP_RID_CERT_ADMINS Gruppe Zertifikatherausgeber
DOMAIN_GROUP_RID_SCHEMA_ADMINS Gruppe Schema-Admins
DOMAIN_GROUP_RID_ENTERPRISE_ADMINS Gruppe Organisations-Admins
DOMAIN_GROUP_RID_POLICY_ADMINS Gruppe Richtlinien-Ersteller-Besitzer
DOMAIN_ALIAS_RID_ADMINS Administratives lokales Benutzerkonto
DOMAIN_ALIAS_RID_POWER_USERS Gruppe Hauptbenutzer
DOMAIN_ALIAS_RID_ACCOUNT_OPS Gruppe Konten-Operatoren, nur für Server
DOMAIN_ALIAS_RID_SYSTEM_OPS Gruppe Server-Operatoren, nur für Server
DOMAIN_ALIAS_RID_PRINT_OPS Gruppe Druck-Operatoren, nur für Server
DOMAIN_ALIAS_RID_BACKUP_OPS Gruppe Sicherungs-Operatoren
DOMAIN_ALIAS_RID_RAS_SERVERS Gruppe RAS- und IAS-Server
DOMAIN_ALIAS_RID_PREW2KCOMPACCESS Gruppe Prä-Windows 2000 kompatibler Zugriff
DOMAIN_ALIAS_RID_NETWORK_CONFIGURATION_OPS Gruppe Netzwerkkonfigurations-Operatoren
DOMAIN_ALIAS_RID_CRYPTO_OPERATORS Gruppe Kryptografie-Operatoren