User meer rechten dan local user, maar geen volledige admin

[henkkeumus]

Mijn vraag
Is het mogelijk om binnen Windows server/ Terminal server een local user (dus uit AD) meer recht te geven dan local user rights maar niet zoveel dat hij of zij direct administrator privileges krijgt?

Ik heb namelijk problemen dat veel users gegevens in applicaties niet mogen wijzigen, dit prompt de UAC en omdat ze geen elevated access hebben mogen ze niks wijzigen natuurlijk.

Relevante software en hardware die ik gebruik
Windows Server 2019

Wat ik al gevonden of geprobeerd heb
Kijken tussen user rechten, maar wil ze geen admin recht geven.

[Endpoint]

Begin anders eerst met kijken waarvoor ze admin rechten nodig hebben, hiermee kan je het bekijken: https://techcommunity.mic...nd-windows-10/ba-p/701459

Anders zou je met een uem als Ivanti of Policypak ook de applicatie admin privileges kunnen geven zonder dat ze meer kunnen

[Question Mark]

henkkeumus schreef op maandag 28 juni 2021 @ 08:33:
Mijn vraag
Ik heb namelijk problemen dat veel users gegevens in applicaties niet mogen wijzigen, dit prompt de UAC en omdat ze geen elevated access hebben mogen ze niks wijzigen natuurlijk.

Welke applicatie zou dit moeten zijn? Klinkt eerder als een installatie die bepaalde bestanden op verkeerde plekken neerzet, waar reguliere gebruikers geen rechten hebben...

Ik zou dit in eerste instantie bij de applicatieleverancier neerleggen, ipv. gebruikers maar extra rechten geven.

[F_J_K]

Inderdaad uitzoeken concreet welke rechten op welke bestanden / regkeys nodig zijn en dan concreet alleen die geven.

Of misschien zijn tools als besproken in bijv. Admin rechten op zakelijke laptop aanvragen aan de orde.

Edit: bovenstaande is nog beter ja, een leverancier die rekening moet houden met dat de software niet bij oma thuis draait

[ Voor 20% gewijzigd door F_J_K op 28-06-2021 12:17 ]

[henkkeumus]

Bedankt voor jullie input!

Het betreft MatLab, dit is een analyzing tool, wat dit precies doet durf ik niet te zeggen maar in deze app moeten soms systeemvariabelen aangepast worden en paden die verwijzen naar de C:\.

Hiervoor heeft de gebruiker dan rechten nodig logischerwijs.

[akimosan]

MATLAB wordt door de fabrikant niet officeel ondersteund op Terminal of Citrix servers. Het is geen onderdeel van hun test proces. Ze geven aan dat er geen technische beperkingen zijn om het te installeren of draaien op virtual machines of in terminal servers/citrix/vdi whatever maar er is geen installatie handleiding beschikbaar, noch krijg je standaard support om dit voor elkaar te krijgen. Het is dus een kwestie van trial en error om dit voor elkaar te krijgen.
Er zal heus wel documentatie zijn over waar variabelen, applicatie en userdata wordt weggeschreven dus dat kan een goed startpunt zijn.
het lijkt me tevens dat je diverse aanpassingen zult moeten doen om dit werkend te krijgen. Er zijn heus wel consultants te huur die dit voor je willen uitzoeken en inregelen als je er zelf geen kijk op hebt.
Maar het begint met zelf eerst uitzoeken of je een dergelijke "unsupported method" wilt gaan draaien. Wat is de business case? Moet dit zo gaan draaien, hoeveel mag het kosten om het aan de gang te krijgen? Wat zijn de risico's? (Bijvoorbeeld het geheel valt om en je kunt nergens en bij niemand terecht om het weer aan de praat te krijgen. Ondertussen zitten al die matlab gebruikers die op jouw RDS servers inloggen een beetje uit hun neus te eten omdat ze MATLAB niet kunnen gebruiken.. Wie gaat dat betalen? )

[ Voor 8% gewijzigd door akimosan op 28-06-2021 17:15 ]

[DataGhost]

henkkeumus schreef op maandag 28 juni 2021 @ 13:23:
Bedankt voor jullie input!

Het betreft MatLab, dit is een analyzing tool, wat dit precies doet durf ik niet te zeggen maar in deze app moeten soms systeemvariabelen aangepast worden en paden die verwijzen naar de C:\.

Hiervoor heeft de gebruiker dan rechten nodig logischerwijs.

Waarom moeten systeemvariabelen aangepast worden? Klinkt als een symptoom van iets wat fout gedaan wordt. Van omgevingsvariabelen zijn er twee sets: eentje van het systeem, eentje van de user. Lijkt me dat je die van de user aan wilt passen dus, niet die van het systeem. En dat kan je eventueel met een scriptje regelen on login ofzo. En hoe zit het met die paden?

Iets als Matlab hoort echt geen admin-rechten nodig te hebben voor andere zaken dan installatie en update, en dat is niet iets wat een user hoort te doen.

[soedesh]

Je werkt zeker voor een universteit of onderzoeksinstelling? Matlab wordt namelijk gebruikt door wetenschappers. Een voorbeeld van een applicatie die ervan uitgaat dat je meer rechten hebt op je PC dan een standaard user. Wen daar maar aan als beheerder want Matlab is niet de eerste en zeker niet de laatste applicatie die dat vereist. Een dedicated machine waar de gebruiker local admin rechten heeft is het makkelijkst en snelst. Laat degenen in jouw organisatie die verantwoordelijk zijn voor de keuzes in de IT infrastructuur weten dat hier niet over is nagedacht, of probeer een (niet ondersteunde) workaround te vinden door middel van het toekennen van iets meer rechten..

[ Voor 0% gewijzigd door soedesh op 01-07-2021 16:59 . Reden: 2 x is ]

[Endpoint]

Het gevaarlijke is natuurlijk dat ze dan eventueel de mogelijkheid hebben om ook variabelen te wijzigen wat mogelijk impact heeft op andere users op dezelfde RDS server.

Kijk anders eens naar een oplossing als dit, mogelijk dat het je kan helpen: https://kb.policypak.com/kb/article/194-self-elevate-mode/

[henkkeumus]

soedesh schreef op donderdag 1 juli 2021 @ 02:56:
Je werkt zeker voor een universteit of onderzoeksinstelling? Matlab wordt namelijk gebruikt door wetenschappers. Een voorbeeld van een applicatie die ervan uitgaat dat je meer rechten hebt op je PC dan een standaard user. Wen daar maar aan als beheerder want Matlab is niet de eerste en zeker niet de laatste applicatie die dat vereist. Een dedicated machine waar de gebruiker local admin rechten heeft is het makkelijkst en snelst. Laat degenen in jouw organisatie die verantwoordelijk zijn voor de keuzes in de IT infrastructuur weten dat hier niet is over is nagedacht, of probeer een (niet ondersteunde) workaround te vinden door middel van het toekennen van iets meer rechten..

Hier zijn we na contact met MatLab ook achter gekomen, belachelijk. Op dit moment hebben we maar een lokaalsysteem dat alleen LAN verbinding naar storage heeft een geen internetmogelijkheden ingericht voor deze mensen. Hierop kunnen ze dan (op kantoor) met admin rechten hierop inloggen inderdaad.