PCMCIA: DFÜ ja, LAN nein...

[pd]

Na sowas, wieder nächtliche Diskussionen ;-)

Vielleicht nicht so freundlich wie letzte Nacht  


@woh. Gut dass du auch noch ne Lösung gewonnen hast (um die Uhrzeit ;-)

Jetzt nur noch auf Martin warten


Gruß an alle und die Hälfte der Woche ist bald geschafft

Patrick

[MartinG]

...sorry - war ein wenig im Stress und ganz aus dem Ärmel schütteln kann ich das auch nicht. Ich würde den User zum Hauptbenutzer machen dann kann er einfache Gerätetreiber wie z.B. lokale Drucker installieren. Des weiteren würde ich per GPO folgendes setzen. Falls Ihr keine Win2k ADS habt halt notfalls lokal über GPEDIT.MSC. Lokale Verwaltungen sind halt immer sch...

In der GPO auf:  Computerkonfiguration - Administrative Vorlagen -  Windows Komponenten - Windows Installer - Benutzersteuerung Installation zulassen

Ich denke dieser Punkt sollte schon reichen - zumindest bei MSI Packeten. Bei SETUP Programmen die explizit abfragen ob der User Mitglieder der lokalen Admins ist funktioniert das ganze allerdings nicht...

[pd]

Nur nid Huddle, habe keine prompte Antwort erwartet. Da jeder hier nur nebenbei und kostenlos arbeitet, wäre eine Erwartungshaltung fehl am Platz. Bin nur auf dein Angebot eingegangen ;-)

Also vielen herzlichen Dank für deine Ausführungen, ich probiers aus und meld mich dann wieder.


Gruß und Danke an alle

Patrick

[pd]

Verdammt . Ich habe eben solche Progs, die abfragen, ob der Anwender Adminrechte hat. Es ist zum Heulen - jetzt würde doch alles passen!

Jetzt brauch ich quasi einen Admin der kein Admin ist ?! So was blödes!

Vielen Dank an alle

Gebs noch nicht auf - such mir jetzt aber erstmal nen gußeisernen 386er Tower zum Abreagieren


Schnaub, Patrick

[Semeaphoros]

Wie wärs, wenn man der Admin-Gruppe die Admin Rechte entzieht und dafür eine neue Admin2 mit Admin-Rechten macht und dort dann alle wirklichen Admins zusätzlich zur Admin-Gruppe reinstellen würde? Keine Ahnung, ob das funktioniert, aber seit ein MS-Mitarbeiter sich selbst mal bei einem NT-Server die Admin - Rechte entziehen konnte ohne gemahnt zu werden, halte ich eigentlich alles Unsinnige für möglich :-)

[MartinG]

...an den vordefinierten Gruppen kannst Du nichts drehen. Du kannst  Sie zwar umbennen - die behalten aber die gleiche SID...

[Semeaphoros]

Genau das habe ich befürchtet -- aber trotzdem mal laut nachgedacht.

[pd]

Aber um den Gedanken mal weiterzuverfolgen könnte ich einer Gruppe Adminrechte geben, und dann wieder per Richtlinie Rechte wegnehmen. Bleibt dann nur die Frage, ob die sich die Rechte (hier Dienste starten/stoppen und IP Konfigurieren) wieder selber geben können.

Werd mal noch bei den MSlern in München nachfragen, obs da ein Bug/Feature gibt, dass man in der Richtung ausnutzen kann.


Gruß und Danke, Patrick

[Semeaphoros]

Vermutlich war meine Idee sowieso Unsinn. Ueber die WinAPI lässt sich feststellen, ob man Administratorrechte hat, egal, wie die Admin-Gruppe heisst, welche SID sie hat (die ja sowieso auf jedem System anders ist) wohl auch unabhängig von irgendwelchen Richtlinien oder so. Und die betreffenden Programme werden wohl per API simpel und einfach feststellen, ob sie im Moment mit Admin-Rechten ausgestattet sind oder nicht, da führt dann aber wirklich kein Weg dran vorbei.

[pd]

Hab jetzt mit einem von MS gesprochen (0190er Nummer, 1,86 EUR/min) war aber ein Griff ins Klo.
Hat vorgeschlagen, dem User Adminrechte zu geben und quasi alle Systemprogramme, die er nicht nutzen soll, umzubenennen. Hab mich dann bedankt und aufgelegt, die Lösung find ich ned so doll.

Jetzt bin ich grad auf dem Trip, einen Adminuser zu schaffen, der sich nicht anmelden kann, sondern nur dann, wenn der Installer nachfragt, unter welchem User installiert werden soll. Da es sich hierbei aber um das gleiche Logon handelt dürfte, wird das auch ein Fehlschlag werden. Vielleicht kann ich ja per Registry einen User ausschließen...mal kucken.

Hab auch noch von ner Möglichkeit gehört, bestimmte Programme freizugeben, d.h. die Ausführung der Installation ist quasi vom Admin genehmigt. Dazu muss ich aber noch forschen.


Grüßle, Patrick

[Semeaphoros]

Frage: Warum heisst die Support-Line Support-Line?


Antwort: Weil man Support geben muss, wenn man anruft.

[MartinG]

...jetzt wirds aber kompliziert und spätestens jetzt wäre das für mich mehr eine Organisations- als Technikfrage.

Was genau soll denn der User dürfen und was nicht? Ich würde Ihm das ganze per Arbeitsanweisung die er unterschreibt verbieten als hier eine lange komplizierte technische Lösung zu basteln. Das ganze steht m.E. nicht im Verhältnis Nutzen zu Kosten. Wenn Du dem User nur die LAN-Verbindung kappen willst dann deaktiviere diese doch im BIOS (mit Passwortschutz)...

[Semeaphoros]

Da bin ich aber vollständig mit Martin einverstanden. Haben wir sowas nicht schon früher mal in dem Thread gesagt oder wenigstens was ähnliches??

[pd]

Ne, habt ihr nicht, ätschbätsch ;-)

So langsam tendiere ich auch in die Richtung. Wollte mich nur nicht auf mein spärliches XP Wissen verlassen...

Das mit dem BIOS haut wegen Ethernetkarten im PCMCIA ned hin.

Ich bleib noch ein bisserl dran

Nochmals danke an alle fürs Mitgrübeln

Patrick

[Semeaphoros]

Hast recht, war nur in meinem Kopf, geschrieben hab ichs nicht, war aber in letzter Zeit öfter der Fall, dass wir das mal feststellen mussten ...

[pd]

Was? Das mit dem technischen Ende von XP oder dem überanstrengten Kurzzeitgedächtnis? ;-)

Gruß, Patrick


Übrigens bestand da noch das Angebot von MS da was individuelles zu programmieren. Hab ich doch glatt abgelehnt ;-)

[Semeaphoros]

Das mit der Frage nach der Organisation .......

Was? MS und Individual-Anpassung? Hast Du mit "Absender" im Stile von Daimler-Chrysler angerufen?? ...... oder vielleicht eher BMW ...... auf die sind sie im Moment besonders gut zu sprechen .......

[HRaq]

Hi@all,

irgendwo wart ihr in dem Thread doch schon mal bei den Hardwareprofilen, oder? Wurde das getestet?
Ich halte das eigentlich für die praktikabelste Lösung - zumindest für die Verweigerung des LAN-Zugriffs. LAN-Karte deaktiviert - nur ADMIN kommt ran, wenn er schnell genug ist...

Gruß Henning

[Semeaphoros]

Henning, danke für die Frage, das interessiert mich nämlich auch, habs schon gar nicht mehr aufzuwerfen gewagt nach dem vielne Hin- und Her.

[MartinG]

Hardwareprofile sind prinzipiell eine sehr elegante Lösung die ich sehr häufig anwende - nur kann man diese IMHO nicht per Berechtigung steuern...

...sehr sicher ist das ganze halt nicht wenn man 1sec beim Booten Zeit hat das auszuwählen, aber vielleicht noch das geringste Übel.