.: Daniel Melanchthon :.

Banging your head against a wall uses 150 Calories an hour.

User Account Control in Windows 7

User Account Control in Windows 7

  • Comments 19
  • Likes

User Account Control ist eine der meistpolarisierenden Funktionen in Windows Vista. Während die einen es abgrundtief hassen, finden die anderen diese Funktion nicht nur sinnvoll, sondern eine der wichtigsten Neuerungen, weil sie das Arbeiten als Benutzer auch mit nicht sauber programmierter Software komfortabel erlaubt. Neben dem Wunsch Ewiggestriger, immer als voller Administrator arbeiten zu wollen (das diskutiere ich jetzt aber nicht) richtet sich die  Hauptkritik auf die Anzahl der Dialoge, die UAC verursachen kann. Wer zum Beispiel versucht, sein Startmenü unter \ ProgramData \ Microsoft \ Windows \ Start Menu \ Programs zu editieren, weiß, wovon ich spreche.

Tatsache ist, dass viele Anwender die Tuningmöglichkeiten bei UAC schon in Vista nicht kennen. In secpol.msc kann man sich unter Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen selbst ein Bild von den Möglichkeiten machen:

image

  • Benutzerkontensteuerung: Administratorbestätigungsmodus für das integrierte Administratorkonto
  • Benutzerkontensteuerung: Verhalten der Eingabeaufforderung mit erhöhten Rechten für Administratoren im Administratorbestätigungsmodus
  • Benutzerkontensteuerung: Verhalten der Anhebungsaufforderung für Standardbenutzer
  • Benutzerkontensteuerung: Anwendungsinstallationen erkennen und erhöhte Rechte anfordern
  • Benutzerkontensteuerung: Nur erhöhte Rechte für UIAccess-Anwendungen, die an sicheren Orten installiert sind
  • Benutzerkontensteuerung: UIAccess-Anwendungen können erhöhte Rechte ohne sicheren Desktop anfordern
  • Benutzerkontensteuerung: Alle Administratoren im Administratorbestätigungsmodus ausführen
  • Benutzerkontensteuerung: Bei Eingabeaufforderung nach erhöhten Rechten zum sicheren Desktop wechseln
  • Benutzerkontensteuerung: Datei- und Registrierungsschreibfehler an Einzelbenutzerstandorte virtualisieren

In Windows 7 geht Microsoft Microsoft einen Schritt weiter. UAC wurde konsequent weiterentwickelt und viel von dem polarisierenden Feedback ist in diese Entwicklung eingeflossen. Ziel ist die bessere Unterscheidung von Aktionen, die der Anwender als Administrator selbst ausführen möchte und den Aktionen, die durch Programme ausgelöst werden. In dem Windows Vista Pre-Betabuild, der den PDC-Teilnehmern ausgehändigt wurde, kann man über einen Schieberegler die Anzahl der Rückfragen von UAC granularer steuern:

 UAC_2UAC_1 UAC_3 UAC_4

Nach der Installation wird Windows 7 die zweite Einstellung Only notify me when programs try to make changes to my computer aktiv.

Comments
  • @Daniel

    SuRun nutzt genau wie ihr einen SecureDesktop, deine Aussagen treffen also auch auf die jetzige UAC Implementierung zu ;) Und es geht mir nicht um die Implementierung mit der Passworteingabe, das kann man weiter über Bestätigung machen.

    Wegen den 2 Konten: Wie ich schon sagte, geht ihr den falschen weg. Ihr erstellt einen Nutzer der Gruppe Administrator aber beschneidet ihm gleich wieder seine Rechte. Das ist Schwachsinn und der genau verkehrte Weg. Das verwirrt die Nutzer so sehr und führt dazu, dass sie die UAC als nervend empfinden. Besser ist es 2 Konten zu haben (ein Admin der alles darf und ein 2. Konto als Normalnutzer). Wenn man jetzt im Normalnutzerkonto eine Anwendung starten muss die erhöhte Rechte braucht, bestätigt man die halt und die Rechte des Nutzers werden für das Programm herauf gestuft (so wie es SuRun macht). Durch eure RunAs Technik wird unter Vista das Programm aber unter dem Admin ausgeführt und die Einstellungen werden für ihn gesetzt und das führte bei Adins fürs VS2008 dazu, dass die nur dann verfügbar sind, wenn man das VS als Admin startet, weil die Einträge im HKCU des Admin stecken :(

    @Rufin wenn du bestimmte Programme immer wieder als Admin starten musst, dann kannst du in der Aufgabenplanung einen Task erstellen und den Haken bei "Mit höchsten Privilegien ausführen" auswählen. Dann gibst du den Pfad zu deinem Programm ein und bestätigst alles.

    Nun erstellst du dir eine Verknüpfung C:\Windows\System32\schtasks.exe /Run /TN "TASKNAME" und schon startet dein Programm mit Adminrechten und OHNE UAC Bestätigung. Diese Technik nutze ich schon seit 2 Jahren um RMClock beim Systemstart zu laden ;)

    André

  • André: Dein Wunsch in allen Ehren aber der Ansatz von zwei Konten setzt sich auf dem Desktop nicht durch. Weder bei Apple, noch bei den auf den Desktop zielen Distributionen wie Ubuntu. Zwei Konten sind noch viel verwirrender für Anwender. Die erste Frage, die Du wahrscheinlich immer bekommen wirst, ist: Wenn mit dem Adminkonto alles geht, warum darf ich das dann nicht immer benutzen? Deswegen der Weg über die Arbeit als Standarduser und eine einfache Rechteerhöhung, wo notwendig. Wer die zwei Konten haben will, der kann das ja auch gern sich so einrichten. Wir reden hier nur von der Defaultkonfiguration.

    Zu dem sicheren Desktop: In der Standardeinstellung verlangt UAC nur einen Mausklick. Der ist nicht fakebar. Wir verlangen nicht den Logindialog, welcher wiederum grafisch nachmachbar und damit zum Passwortabfishen gefärdet wäre. Wo da also der Unterschied zwischen UAC Elevationprompt und SuRun ist, ist mir nicht ersichtlich. Du hast nur noch einen Dienst mehr (wie sicher ist der eigentlich?) und ein komplexeres Szenario. Für Windows XP mag das ganz passend sein aber wo hilft das bei Windows Vista?

    VG, Daniel

  • Natürlich setzen die Linux Distributionen auf den Ansatz, nur sieht man den root nicht am Anmeldeschirm! So sollte es unter Windows auch sein. Den eigentlichen Admin sollte man am Anmeldebildschirm gar nicht sehen und den sollte man über Registryeinstellungen erst frei schalten können. So sehen ihn die weit über 90% der Otto-normal User nicht. Beschränkt das Adminkonto (kein Aero, langsamer Download-Speed wenn es nicht über den BITS geht), so wird keiner mit dem Konto produktiv arbeiten wollen. So kann man das Konto nur nutzen um viele Programme zu installieren und ihn als Rettung zu haben, wenn die anderen Konten kaputt gehen.

    2 Konten verwirren den Anwender sicher weniger als eurer Admin, der erstmal keine Rechte hat, das und nur das verwirrt die Leute!

    Warum hackst du immer auf der Implementierung mit dem Passwort rum? Darum geht es mir nicht! Ich will dir nur sagen, dass die Art der Rechteeröhung von Benutzer auf Admin der richtigere Weg ist und nicht ob man da ein Passwort tippen muss oder einen Button klicken muss. SuRun nutzt auch einen SecureDesktop und eure UAC kann man ja auch ersetzen (siehe NortonUAC).

    So und nun nochmal: Mir geht es darum, dass die Rechte klein sein müssen und bei bedarf erhöht werden sollten und nicht wie bei euch, dem Admin erstmal Rechte entzogen werden, die man dann wieder bestätigen muss. Das ist falsch! Mit eurer Lösung habt ihr Probleme mit mehreren Nutzern! Einstellungen werden dann immer für den Admin konfiguriert, da die Programme, wenn sie nach der Installation vom Installer gestartet werden die Rechte vom Installer erben! Dadurch gibts totales Chaos. So einen Fall haben wir gerade im Forum, da kann ein User sein VirtualDJ 5 nur als Admin nutzen, wegen genau dieses Problems! Genau das gleiche Problem hat man unter 2000/XP wenn man über "Ausführen als" arbeitet.

    So, das war auch mein letzter Post, da du das Problem einfach nicht verstehen willst oder auch kannst.

    Ich hoffe darauf das die CLIP Managerin Dorothea uns eine Einladung zum Win7 Betatest besorgen kann, so dass ich mein Problem direkt an das Windows Team herantragen kann.

    dir schönes WE noch Daniel.

    MfG

    André

  • Hallo André,

    Du brauchst Dorothea nicht fragen. Die Beta wird nicht so geschlossen wie bei Windows Vista sein. Ich habe dafür schonmal mit Dorothea wegen Deines anderen Diskussionsthemas gesprochen. Wie wäre es, wenn wir beim nächsten CLIP-Meeting (imho im Januar) darüber offen diskutieren? Ich habe ihr angeboten, zu dem Thema eine Session zu machen. Sei es eine Breakout Session, eine Diskussionsrunde, ein Chalk Talk - egal.

    Du bist herzlich gern eingeladen!

    BTW: Glaub mir: Ich verstehe Deinen Standpunkt. Du machst es Dir beim Diskutieren aber nur unnötig schwer, wenn Du Deinen Diskussionspartner diffamierst.

    VG, Daniel

Your comment has been posted.   Close
Thank you, your comment requires moderation so it may take a while to appear.   Close
Leave a Comment