Kays Senf

Um zu testen, was ich meiner Verwandschaft demnächst zumute, wenn ich Ihnen empfehle ohne Administrator-Rechte ihren PC zu benutzen, habe ich diese mir selbst entzogen.

Mein Programmierrechner ist ca. sieben Jahre alt (nicht die Hardware 😉 ). Das Betriebssystem wurde Anfang 2000 installiert und hieß Windows 98se. Dann habe ich es irgendwann auf Windows XP „upgedated“ (Dass’n Denglisch!). Windows XP hat mir automatisch ein „Vordefiniertes Konto für die Verwaltung des Computers bzw. der Domäne“, kurz ein fest eingebautes Administrator-Konto zugewiesen. [Das hat mich bisher nicht gestört. Ich hatte in den letzten Jahren ganze zwei Viren und die auch nur ein paar Minuten lang. Es schien mir blöd, mir den Rechner von der Systemwiederherstellung, dem Sicherheitscenter und einem Virenscanner permanent ausbremsen zu lassen.]

Die Microsoft Sicherheitsstrategen hatten 2001 dieses Upgrade-Missgeschick wohl nicht bemerkt.

Das Dumme an dem eingebauten Administrator-Konto ist, dass man es nicht zum normalen Benutzer degradieren kann. Sowas muss man von Hand machen, indem man das Konto kopiert. Um nicht zu vergessen, wie das geht, schreibe ich es hier auf:

Grob:

• Benutzerverzeichnis kopieren, Vollzugriff setzen, Benutzerverzeichnis-Namen im Dateisystem Suchen/Ersetzen
• User-Registry mounten, Vollzugriff setzen, Benutzerverzeichnis-Namen in der User-Registry Suchen/Ersetzen

Detailliert:

1. Neues Administrator-Konto (U1) anlegen.
2. Es wird temporär ein drittes Administrator-Konto (TA) benötigt.
3. Als eingebauter Administrator (EA) anmelden, „cmd“ starten, „set“ tippen, das EA Benutzerverzeichnis der Variablen %HOMEDRIVE% %HOMEPATH% merken und wieder abmelden.
4. Als U1 anmelden, „cmd“ starten, „set“ tippen, das U1 Benutzerverzeichnis der Variablen %HOMEDRIVE% %HOMEPATH% merken und wieder abmelden.
5. TA anmelden.
6. Das U1 Benutzerverzeichnis löschen.
7. Das EA Benutzerverzeichnis in das U1 Benutzerverzeichnis kopieren. Wenn das mit Explorer gemacht werden soll, muss man in der Ordneransicht alle Dateien anzeigen lassen. Ich nehme dazu SpeedCommander.
8. Die Berechtigungen von U1 im Benutzerverzeichnis hinzufügen. (Unter Windows XP home braucht man dazu FaJos „XP File Security Extension“.) „Datei“, „Eigenschaften“, „Sicherheit“, „Hizufügen“, „<U1>“, „OK“, „Vollzugriff“ anklicken, „Erweitert“, „Berechtigungen für alle untergeordneten Objekte durch die angezeigten Einträge, sofern anwendbar, ersetzen“, „OK“, „OK“.
9. Die User-Registry von U1 in Regedit laden:
   1. KEY_USERS auswählen.
   2. Datei“->“Struktur laden“, Benutzerverzeichnis (U1)\NTUSER.DAT
10. Die Rechte der eingebundenen Registry verändern. U1 muss Vollzugriff auf alle Schlüssel und Unterschlüssel haben.
    1. Rechtsklick auf Registry Zweig, „Berechtigungen“, „hinzufügen“, „<U1>“, „OK“, „Vollzugriff“ anklicken, „Erweitert“, „Berechtigungen für alle untergeordneten Objekte durch die angezeigten Einträge, sofern anwendbar, ersetzen“, „OK“, „OK“.
    2. Regedit meckert immer, dass nicht alle Berechtigungen gesetzt werden konnten. Mit Sysinternals AccessChk kann man sehen, woran es hängt: „accesschk -k -n -w -s <U1> HKU\<U1>“ listet die Einträge, bei denen U1 keine Schreibrechte hat. Bei mir war das z.B. HKU\<U1>\Software\Classes.
11. Suchen vom EA Unterverzeichnis-Namen und ersetzen durch den U1 Unterverzeichnis-Namen im geladenen U1 Registry Zweig. (z.B. „C:\Dokumente und Einstellungen\Administrator“ durch „C:\Dokumente und Einstellungen\Kay“, dann „\Administrator“ durch „\Kay“). Dazu kann man sehr gut RedEdt33 benutzen.
12. U1 Registry entladen. Regedit, „Datei“, „Struktur entfernen“.
13. Suchen und Ersetzen des EA Unterverzeichnis-Namens in den Einstellungen von Programmen im U1 Benutzerverzeichnis. Ich habe dazu die „Suche in Dateien“ von Total Commander benutzt. Wichtig ist, dass man zweimal sucht, einmal als normaler Text, einmal als Unicode.
14. Suchen des EA Benutzerverzeichnis-Namens in allen Laufwerken auf denen Software installiert ist und nur wenn nötig Ersetzten durch das U1 Benutzerverzeichnis. (Wieder Unicode und Text)
15. Das Konto U1 von Administrator in Eingeschränkter Benutzer wandeln. Wenn man SuDown benutzt, kann man sich auch als U1 anmelden und „sudo cmd“ starten. SuDown trägt dann U1 in die Gruppe Sudoers ein und entfernt den Administrator-Status von U1 beim Abmelden.
16. TA abmelden und ggf. löschen.

Das war’s an sich. 🙂 Ich hoffe, nichts vergessen zu haben. 😉

Bei mir hat das eine knappe Stunde gedauert. Das ist besser, als ein neues System zu installieren.

uf meinem System hatte ich dann noch Schwierigkeiten mit einigen installierten Programmen, die in Ihr Programmverzeichnis oder die Registry (HKLM) schreiben wollten, aber nicht mehr durften. Dort musste ich Vollzugriff für „Benutzer“ im Installationsverzeichnis („C:\Programme\…“) und manchmal in der Registry setzen. StrokeIt und GuildFTPd als Beispiel speichern ihre Einstellungen im Programmverzeichnis ab. EzDesk z.B. versucht zum Lesen des Lizenzschlüssels, den Registry Key mit Schreibzugriff zu öffnen… Dumm 🙄

Bei mir liefen folgende Programme wegen solcher Probleme nicht vollständig:

• EzDesk
• GuildFTPd
• Media Player Classic
• Rocket Dock
• StrokeIt
• Visual Assist
• WinAmp
• WndTabs

Blöd ist, dass auch trotz Hilfen, wie SuDown nicht alles Reibungslos funktioniert. Man muss immer noch wissen, warum bestimmte Programme ihren Dienst versagen.

Das ist nix für Omma on Oppa! Da muss man denen wohl doch Ubuntu oder Vista über helfen. 😉

Der Beitrag wurde unter Software abgelegt. Du kannst die Kommentare zu diesen Eintrag durch den RSS 2.0 Feed verfolgen. Du kannst einen Kommentar schreiben, oder einen Trackback auf deiner Seite einrichten.