Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

UAC-Gruppenrichtlinieneinstellungen 109
bequem sein, aber manchmal ist es sinnvoller, den Administrator zu zwingen, Anmeldeinformationen
einzugeben. Falls zum Beispiel Mutter und Tochter dasselbe Benutzerkonto
verwenden, kann die Tochter keine administrativen Aufgaben durchführen, wenn sie das
Kennwort nicht weiß. Und in manchen Fällen wollen Administratoren Anhebungsaufforderungen
abschalten, ohne gleich die ganze UAC zu deaktivieren; dann können die erhöhten
Privilegien ohne Anhebungseingabeaufforderung gewährt werden. Auf diese Weise bleibt
der geschützte Modus im Internet Explorer erhalten, aber es müssen keine Anhebungsaufforderungen
mehr bestätigt werden. In der Standardeinstellung hat diese Richtlinie die Einstellung
Aufforderung zur Eingabe der Zustimmung.
Benutzerkontensteuerung: Verhalten der Anhebungsaufforderung
für Standardbenutzer
Die UAC öffnet bei Bedarf eine Anhebungseingabeaufforderung, und falls der Benutzer
Benutzername und Kennwort eines gültigen Administratorkontos eingeben kann, kann die
Operation durchgeführt werden. In Unternehmen, die nicht wollen, dass ihre Benutzer eine
Anhebung durchführen, können Sie diese Richtlinie so einstellen, dass alle Anhebungsanforderungen
automatisch abgelehnt werden. Standardeinstellung für diese Richtlinie ist Aufforderung
zur Eingabe der Anmeldeinformationen.
Benutzerkontensteuerung: Anwendungsinstallationen erkennen
und erhöhte Rechte anfordern
Diese Einstellung aktiviert oder deaktiviert die Erkennung von Anwendungsinstallern. Am
besten lassen Sie diese Einstellung aktiviert, was auch die Standardeinstellung ist.
Benutzerkontensteuerung: Nur ausführbare Dateien heraufstufen,
die signiert und validiert sind
Diese Einstellung erzwingt die Authenticode-Signaturüberprüfung bei allen interaktiven
Anwendungen, die eine Anhebung anfordern. Falls ein Unternehmen nur Authenticodesignierte
Programme verwendet, kann diese Einstellung die Sicherheit erhöhen, weil kontrolliert
wird, welche Anwendungsherausgeber ihre Programme mit erhöhten Privilegien
ausführen dürfen. Bei den meisten Benutzern dürften aber erhebliche Anwendungskompatibilitätsprobleme
auftreten, falls diese Einstellung verwendet wird. Daher ist sie in der Standardeinstellung
deaktiviert.
Benutzerkontensteuerung: Nur erhöhte Rechte für UIAccess-Anwendungen,
die an sicheren Orten installiert sind
UIAccess-Anwendungen sind meist Programme für erleichterte Bedienung, die direkt mit
den Windows-UAC-Anhebungsdialogen kommunizieren müssen. UAC-Anhebungsdialoge
sind in Windows Vista und Windows Server 2008 mit einer hohen Integritätsebene geschützt.
Damit für UIAccess-Anwendungen eine Interaktion möglich wird, müssen Sie diese
Anforderung im Anwendungsmanifest deklarieren. Wenn das Programm startet, bekommt es
eine spezielle Integritätsebene, die Interaktion zulässt. Weil UIAccess-Anwendungen sehr
mächtig sind, erzwingt diese Einstellung, dass solche Programme nur aus sicheren Dateipfaden
gestartet werden können. UIAccess-Anwendungen müssen außerdem eine gültige und
vertrauenswürdige Authenticode-Signatur haben. In der Standardeinstellung ist diese Einstellung
aktiviert.