Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

212 Kapitel 7: Gruppenrichtlinien
Richtlinie Vorteil Risiko
Computerkonfiguration\ Windows-Einstellungen\Sicherheitseinstellungen\
Lokale
Richtlinien\ Zuweisen von
Benutzerrechten\ Lokal anmelden
zulassen und Lokal anmelden
verweigern
Computerkonfiguration\ Windows-Einstellungen\Sicherheitseinstellungen\
Lokale
Richtlinien\ Zuweisen von
Benutzerrechten\ Auslassen
der durchsuchenden Überprüfung
Computerkonfiguration\ Windows-Einstellungen\Sicherheitseinstellungen\
Lokale
Richtlinien\ Zuweisen von
Benutzerrechten\ Ermöglichen,
dass Computer- und Benutzerkonten
für Delegierungszwecke
vertraut wird
Computerkonfiguration\ Windows-Einstellungen\Sicherheitseinstellungen\
Lokale
Richtlinien\ Sicherheitsoptionen\
Domänenmitglied: Daten
des sicheren Kanals digital
verschlüsseln oder signieren
(immer)
Mit diesem Recht können Sie steuern,
wer sich an der Konsole des Computers
anmelden darf, der diese Richtlinie
verarbeitet.
Dieses Recht erlaubt es einem Benutzer,
NTFS-Ordner zu durchlaufen, ohne
dass die Berechtigungen für Ordner
höher in der Ordnerhierarchie geprüft
werden, um festzustellen, ob sie Rechte
zum Durchsuchen des Ordners gewähren.
Dieses Recht wird normalerweise
allen Benutzern gewährt. Es erlaubt
ihnen, Ordner (aber nicht den Ordnerinhalt)
zu durchsuchen, selbst wenn sie
keine Zugriffsrechte auf übergeordnete
Ordner haben. Dies ist ein grundlegendes
Recht, das alle Benutzer brauchen,
um selbst einfache Aufgaben durchführen
zu können.
Erlaubt es einem Benutzer, einem Computer,
einem Dienst, der als Computer
läuft, oder einem Benutzer das Recht zu
gewähren, die Identität eines Benutzerkontos
anzunehmen, um auf Ressourcen
in einem anderen System zuzugreifen.
Erzwingt, dass die gesamte Kommunikation,
die zwischen Arbeitsstationen
oder Mitgliedservern und ihren Domänencontroller
durch einen sicheren
Kanal befördert wird, verschlüsselt oder
signiert sein muss.
Passen Sie auf, wenn Sie einer bestimmten
Gruppe das Zugriffsrecht
entziehen oder einer bestimmten Gruppe
den Zugriff verweigern. Zum Beispiel
dürfen Sie die administrativen Konten
oder Gruppen nur dann aus dem Recht
entfernen, wenn Sie tatsächlich verhindern
wollen, dass sie sich an der Konsole
anmelden können. Verhindern Sie
nicht, dass Dienstkonten dieses Recht
haben, weil sie es brauchen, um sich an
einem System anzumelden.
Wenn Sie der Gruppe Jeder oder anderen
nichtadministrativen Benutzer dieses
Recht entziehen, können sie nicht mehr
in NTFS-Ordnerstrukturen arbeiten.
Wenn Sie dieses Recht für eine bestimmte
Gruppe aktivieren, kann diese
Gruppe Computerobjekte in Active
Directory als vertrauenswürdig für Delegierungszwecke
kennzeichnen. Das
kann diese Systeme für Angriffe verwundbar
machen, bei denen ein Trojanisches
Pferd die Identität eines Benutzers
vortäuscht.
Falls es in einer Domäne Domänencontroller
gibt, die Daten in einem sicheren
Kanal nicht verschlüsseln oder signieren
können (zum Beispiel Domänencontroller,
die unter NT 4.0 vor SP 6a laufen),
können sich Clients, die mit dieser Einstellung
konfiguriert sind, nicht an der
Domäne authentifizieren, wenn sie auf
diese Domänencontroller zugreifen.