Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

100 Kapitel 4: Grundlagen der Benutzerkontensteuerung
Konfigurieren der Registrierungsvirtualisierung zum Verbessern
der Anwendungskompatibilität
Ein Beispielszenario: Ein Unternehmen will die Virtualisierung von Registrierungswerten
unter dem Schlüssel DontVirtMe verhindern. Führen Sie dazu an einer Eingabeaufforderung
mit erhöhten Rechten den folgenden Befehl aus:
Reg.exe flags HKLM\Software\DontVirtMe SET DONT_VIRTUALIZE
Ein anderes Beispiel: Ein Unternehmen will die Virtualisierung aller Registrierungswerte
und Unterschlüsselwerte unter dem übergeordneten Registrierungsschlüssel DontVirtMe
verhindern. Führen Sie dazu an einer Eingabeaufforderung mit erhöhten Rechten den folgenden
Befehl aus:
Reg.exe flags HKLM\Software\DontVirtMe RECURSE_FLAG DONT_VIRTUALIZE
Die Virtualisierung erlaubt es zwar, die große Mehrheit von Anwendungen auszuführen, die
vor Windows Vista entwickelt wurden, aber dies ist eine Übergangs-, keine Dauerlösung.
Außerdem gibt es einige Anwendungen, die nicht lauffähig sind. Das sind zum Beispiel
Anwendungen, die gezielt prüfen, ob bestimmte Benutzerprivilegien vorhanden sind. Zum
Beispiel prüfen viele Prozesssteuerungsanwendungen, ob der Benutzer ein Administrator ist;
sie beenden sich sofort, wenn das nicht der Fall ist. Sie können solche Anwendungen unter
Windows Vista ausführen, indem Sie ein Anwendungsmanifest hinzufügen, das aussagt,
dass die Anwendung mit administrativen Privilegien ausgeführt werden muss, und die Anwendung
dann erneut bereitstellen. Entwickler sollten alle Anwendungen so anpassen, dass
sie die Anforderungen des Windows Vista- und Windows Server 2008-Logoprogramms
erfüllen, statt sich auf Datei- und Registrierungsvirtualisierung zu verlassen.
Manifeste und angeforderte Ausführungsebenen
Anwendungen, die unter Windows Vista und Windows Server 2008 laufen, können mithilfe
von Anwendungsmanifesten Anforderungen an das Betriebssystem während der Laufzeit
beschreiben oder deklarieren. Administrative Anwendungen können ihre Privilegienanforderungen
im Anwendungsmanifest deklarieren, das System fordert dann beim Benutzer die
entsprechende Genehmigung an. Die meisten administrativen Anwendungen, die vor Windows
Vista entwickelt wurden, laufen aber auch problemlos ohne Anpassungen, wenn sie
keinen Eintrag im Anwendungsmanifest haben. Das ist den umfangreichen Anwendungskompatibilitätskorrekturen
in Windows Vista und Windows Server 2008 zu verdanken, die
allerdings nur wirksam werden, wenn die UAC aktiviert ist. Anwendungskompatibilitätskorrekturen
ermöglichen es, Anwendungen auszuführen, die ohne administrativen Zugriff normalerweise
nicht lauffähig wären. Stellen Sie sich zum Beispiel ein Spiel vor, das beim Start
prüft, ob der Benutzer Mitglied der lokalen Gruppe Administratoren ist. Wird dieses Programm
unter einem gefilterten Standardbenutzer-Zugriffstoken ausgeführt, schlägt diese
Prüfung fehl, sodass die Anwendung sich beendet. Anhand der Anwendungskompatibilitätsdatenbank
kann das Betriebssystem feststellen, dass die Anwendung mit einem vollständigen
Token ausgeführt werden muss, und beim Benutzer die entsprechende Erlaubnis anfordern.
Oder die Anwendungskompatibilitätsdatenbank verrät, dass die Anwendung auch ohne
vollständiges Token einwandfrei läuft. Dann spiegelt das System der Anwendung nur vor,
dass sie mit einem vollständigen Token läuft. Diese Arten von Anwendungskompatibilitätskorrekturen
werden als Shims (dt. Ausgleichsscheibe) bezeichnet.