[Win2k] Iedereen admin op c:?

[Steven]

Ik heb een hele korte vraag die waarschijnlijk even kort te beantwoorden is:

Waarom heeft in Windows 2000 iedereen beheer rechten op de C-root-schijf bij een standaard NTFS-installatie?

DIt wordt uiteraard wel overruled door rechten op winnt, progra~1 enz. Maar ik snap het nut niet. Zelfs een 'gast' kan op deze manier de schijf read-only maken voor iedereen...

Kort samengevat: Logica gezocht

[G33rt]

Geen idee. die logica is er afaik niet, net als met nieuwe users die standaard admin zijn in XP

[sanfranjake]

Nieuwe users zijn standaard geen admin in XP hoor

De Full Control permissie C: is er mijn inziens geplaatst, omdat iedere user in beginsel niet beperkt is in schijfgebruik.
Net zoiets leuks als de default share permissie in 2k. In 2k3 is deze 'everypone' read only Mijn gok is dat dit met de komst van WinFS wel veranderd zal worden

[ Voor 3% gewijzigd door sanfranjake op 04-02-2004 19:07 ]

[DeMoN]

Leuk, wordt dit een Windows bashing topic
Zo kunnen we wel doorgaan. Wat dacht je van Windows 98 (sanfranjake wijst al op 2k en 2k3)...
Als je daar bestanden delen service installeert (bestanden en printers delen) dan vinkt ie automatisch aan dat je iedereen volle toegang wilt geven.
Dit kan je pas uitzetten nadat je op die knop hebt gedrukt die onlogisch daar onder in dat venster zit, en de 2 opties uitvinkt.

Niet echt veilig aangezien iedereen met \\ipnummer\share dan al op je PC'tje zit.

[momania]

DeMoN schreef op 04 februari 2004 @ 19:26:
Leuk, wordt dit een Windows bashing topic

Hoezo dat dan?
Ik vind het wel een normale vraag hoor, de TS vraagt of iemand de logica erachter weet of kan vertellen waarom dit zo is...

[G33rt]

Nieuwe users zijn standaard geen admin in XP hoor

maak maar eens een nieuwe user met 'control userpasswords' - het gui ding maakt iedereen standaard admin - of althans, geeft teveel rechten.

DeMoN - nee, maar sanfranjake en ik gaven slechts onlogische dingen in rechtenstructuren aan, we willen windows niet bashen hoor

momania, ik denk dat DeMoN erop doelt op wat ik hierboven beschreef

[ Voor 12% gewijzigd door G33rt op 04-02-2004 19:32 ]

[DeMoN]

Het antwoord in mijn ogen is:
Gebruikersvriendelijk.

Stel, dat een newbie iets wil opslaan, hij kiest c: drukt op opslaan en... *bliepz* acces denied.



Ik weet niet of iemand hier systeembeheerder is maar ik kan je uit ervaring vertellen dat mensen het dan al niet meer snappen en ook niet gaan proberen het in een andere map op te gaan slaan.
En dat ze ff een user met meer rechten aan gaan maken... nee.. dat doen ze ook niet

Misschien dat er ook nog enkele kleine technische redenen zijn, maar die zou ik zo snel ff niet kunnen bedenken.
Er is dus niet echt een logica en daarom dacht ik dat er van dit topic niet veel meer terecht zou gaan komen dan gelul over andere vage punten van de tot nu toe uitgebrachte Windows series.

[elevator]

Ik kan eigenlijk niet controleren wat je nu zegt omdat ik geen versie Windows 2000 installatie bij de hand hebt (ik bedoel dan voornamelijk het gedeelte over iedereen Full Control op de C: schijf - dat iedereen write access heeft weet ik ).

Ik vind het zelf ook een slechte beslissing, en ik kan er ook niet echt een reden voor bedenken. Persoonlijk pas ik het dan ook altijd aan @ work op de workstations die ik daadwerkelijk als workstations gebruik.

Ik kan me eigenlijk alleen voorstellen dat ze het uit een soort van compatibiliteit doen / deden - veel oudere programma's wouden nog wel een temp dir maken in de root

[sanfranjake]

G33rt schreef op 04 februari 2004 @ 19:31:
[...]

maak maar eens een nieuwe user met 'control userpasswords' - het gui ding maakt iedereen standaard admin - of althans, geeft teveel rechten.

DeMoN - nee, maar sanfranjake en ik gaven slechts onlogische dingen in rechtenstructuren aan, we willen windows niet bashen hoor

Ik kan gewoon kiezen watvoor rechten ik de user wil geven. Standaard staat dat keuzevakje inderdaad op administrator. Kan me heel goed voorstellen dat er mensen zijn die hier niet even naar kijken en meteen doorklikken. Misschien zou het iets logischer geweest zijn als daar 'Users' gestaan had. Morgen op het werk even proberen op een bak met SP1, kijken wat die precies doet

@DeMoN : Het is geenzins mijn bedoeling om Windows af te kraken. Ik ben reeds sinds de eerste versies een fanatiek gebruiker, en wil met mijn posts in dit topic met topicstarter meediscussieren over onlogische dingen. Dit topic lijkt me bijvoorbeeld erg nuttig voor de search, misschien dat iemand in de toekomst een heel wazig probleempje heeft, kan deze hier misschien een beetje een soort van verklaring uit halen .

elevator schreef op 04 februari 2004 @ 19:54:
...

Ik vind het zelf ook een slechte beslissing, en ik kan er ook niet echt een reden voor bedenken. Persoonlijk pas ik het dan ook altijd aan @ work op de workstations die ik daadwerkelijk als workstations gebruik.

Ik kan me eigenlijk alleen voorstellen dat ze het uit een soort van compatibiliteit doen / deden - veel oudere programma's wouden nog wel een temp dir maken in de root

Dit is een van de eerste dingen die ik verander Zoeizo wordt het bij mij een 'Authenticated users' of 'Administrators' en voor users of domain-localgroepen 'Read and Execute'. Onder het mom van wat niet hoeft heb je ook niet

Tempdir in de root zit inderdaad in. Normaliter heb ik op mijn werkstation verborgen bestanden niet zichtbaar staan. Maar nu ik deze aanzet zie ik dat er een DOS 8.3 (C:\Docume~1\JakeXP\temp\ is aangemaakt voor een oud spelletje Ijzersterk argument elevator

[Duinkonijn]

sanfranjake schreef op 04 februari 2004 @ 19:07:
Nieuwe users zijn standaard geen admin in XP hoor

De Full Control permissie C: is er mijn inziens geplaatst, omdat iedere user in beginsel niet beperkt is in schijfgebruik.
Net zoiets leuks als de default share permissie in 2k. In 2k3 is deze 'everypone' read only Mijn gok is dat dit met de komst van WinFS wel veranderd zal worden

hij heeft het over 2k en niet xp.

xp en 2k3 staan standaard veel dichter dan 2k.
2k is daarintegen standaard open.

@ts geen id. microsoft is der op terug gekomen... alleen later...

DeMoN schreef op 04 februari 2004 @ 19:50:
Het antwoord in mijn ogen is:
Gebruikersvriendelijk.

Stel, dat een newbie iets wil opslaan, hij kiest c: drukt op opslaan en... *bliepz* acces denied.



Ik weet niet of iemand hier systeembeheerder is maar ik kan je uit ervaring vertellen dat mensen het dan al niet meer snappen en ook niet gaan proberen het in een andere map op te gaan slaan.
En dat ze ff een user met meer rechten aan gaan maken... nee.. dat doen ze ook niet

Als systeembeheerder van een grote orginistatie zorg je dat alles std naar de home map wordt geveegd ipv het werkstation te vervuilen

[ Voor 36% gewijzigd door Duinkonijn op 04-02-2004 22:52 ]

[Steven]

Ik ben zelf parttime systeembeheerder in een kleinere organisatie (school, 150 dichtgetimmerde ws) en ik kwam dit tegen en ik snap niet waarom dit zo is. Op dit moment heb ik in de "installatie instructie" gezet dat het uitgevinkt moet worden, maar ik ga er toch wel van uit dan Microsoft ook wel weet wat ze doen over het algemeen. (ajb; kom niet meer met tegenvoorbeelden van andere ms software).

Maar bedankt voor de antwoorden, dat van die compatibiliteit klinkt vrij aannemelijk!

[DeMoN]

Duinkonijn schreef op 04 februari 2004 @ 22:50:


Als systeembeheerder van een grote orginistatie zorg je dat alles std naar de home map wordt geveegd ipv het werkstation te vervuilen

offtopic:
Jep, tuurlijk Ik doelde alleen op het feit dat 'users' niet echt pientere computer gebruikers zijn en gebruikte daarom even een voorbeeld wat ook nog eens mooi aansloot op de discussie.

Ik bedoelde dus dat als je Sysop ben je goed kan inschatten wat de gemiddelde kennis van de leek is en wat een thuisgebruiker zou doen als hij niks op \ zou kunnen saven bijv.

[sanfranjake]

Duinkonijn schreef op 04 februari 2004 @ 22:50:
[...]
hij heeft het over 2k en niet xp.

Klopt Ik had alleen mischien even G33rt boven mij moeten quoten dan was het ws. wat duidelijker geweest

[Verwijderd]

wat is het probleem dat everyone fc heeft op de c:-schijf?

als je over een server praat kunnen niet-admins zowieso niet aanloggen op adminshares, en ook niet normaal inloggen. oftewel ze kunnen nog niks...

als je met de rechten gaat kloten vergeet niet system toe te voegen met fc!!!

[xtra]

Verwijderd schreef op 05 februari 2004 @ 12:11:
wat is het probleem dat everyone fc heeft op de c:-schijf?

als je over een server praat kunnen niet-admins zowieso niet aanloggen op adminshares, en ook niet normaal inloggen. oftewel ze kunnen nog niks...

als je met de rechten gaat kloten vergeet niet system toe te voegen met fc!!!

Toch kun je soms wel via een omweg op het systeem komen. Ik noem maar extended stored procedures bij MS SQL Server of het filesystem object bij IIS/WSH.
In zo'n geval is het wel prettig als je systeem zo dicht als mogelijk zit. Zeker omdat je vaak niet weet welke 'gaten' er nog zijn.

[Verwijderd]

xtra schreef op 05 februari 2004 @ 12:19:
[...]

Toch kun je soms wel via een omweg op het systeem komen. Ik noem maar extended stored procedures bij MS SQL Server of het filesystem object bij IIS/WSH.
In zo'n geval is het wel prettig als je systeem zo dicht als mogelijk zit. Zeker omdat je vaak niet weet welke 'gaten' er nog zijn.

inderdaad, maar als je als gewone users bij de extended stored procedures mag komen, zit er in je database opzet iets niet goed (gewone user heeft niks te zoeken in de master db). hetzelfde geldt voor iis.

overigens zeg ik niet dat everyone ok is, maar dat het niet zo erg is als de meeste mensen denken...

[ Voor 12% gewijzigd door Verwijderd op 05-02-2004 14:16 ]

[Duinkonijn]

G33rt schreef op 04 februari 2004 @ 18:57:
Geen idee. die logica is er afaik niet, net als met nieuwe users die standaard admin zijn in XP

ligt er aan hoe je ze aanmaakt...

via de xp home methode wel..

maar via de promt / beheerdersconsole niet

[Steven]

Ehh, wat dachten jullie van dat het erg vervelend is als een leerling de hele client hardeschijf onbereikbaar kan maken?
De meeste processen mogen er dan waarschijnlijk wel bij, maar bladeren op die schijf gaat dan erg lastig. Dan moet er weer een sbh met 5 klikken een nieuwe image erop zetten Nee ff serieus, ik snapte gewoon het nut niet. Nu nog niet heel erg, maar dan gaat het maar op de de hoop "This Behaviour is by design".

Enneh; ij hebben hier echt geen Windows file-servers staan hoor! Gewoon netjes Netware 6.

[Duinkonijn]

Steven schreef op 06 februari 2004 @ 11:09:
Ehh, wat dachten jullie van dat het erg vervelend is als een leerling de hele client hardeschijf onbereikbaar kan maken?
De meeste processen mogen er dan waarschijnlijk wel bij, maar bladeren op die schijf gaat dan erg lastig. Dan moet er weer een sbh met 5 klikken een nieuwe image erop zetten Nee ff serieus, ik snapte gewoon het nut niet. Nu nog niet heel erg, maar dan gaat het maar op de de hoop "This Behaviour is by design".

Enneh; ij hebben hier echt geen Windows file-servers staan hoor! Gewoon netjes Netware 6.

Der is niks mis met Windows file-servers.
Voordeel daarvan is weer is dat je met 2k3`s AD(weet niet of het met 2k kan)
Default Domain policy dit "2k" foutje op kan lossen.
d.m.v. bij file system de c schijf toe tevoegen en de rechten te veranderen.
dan worden die rechten over het gehele netwerk aangepast..

ik ben zo wel novell als windows beheerder geweest.... en geef mij maar
windows.

[Krypt]

Users hebben geen FC in de root, maar Special Permissions; Read/Execute, Create Folder/Append Data, Create Files/Write Data.. Ik meen ergens gelezen te hebben dat dit voor compatibiliteits reden is gebeurd..

Maar een user kan verder niets in de root

[djluc]

Krypt schreef op 06 februari 2004 @ 11:27:
Users hebben geen FC in de root, maar Special Permissions; Read/Execute, Create Folder/Append Data, Create Files/Write Data.. Ik meen ergens gelezen te hebben dat dit voor compatibiliteits reden is gebeurd..

Maar een user kan verder niets in de root

Verder niets is natuurlijk relatief, ik vind het nogal wat. Eigenlijk zou het handig zijn als je een soort van templates zou kunnen kiezen tijdens de installatie, net zoals je die ook voor AD hebt. Als je dus alleen goede Windows 2000 compitable software gebruikt je een mooi dichtgetimmert systeem hebt.

[Verwijderd]

ik snap niet waar jullie nu moeilijk over doen.

het is 1 keer veranderen.
als everyone geen rechten had is het ook 1 keer veranderen, namelijk toevoegen wie je wel rechten wil geven.

als je dat bij install wil doen kan je zelfs een mooi scriptje bakken die veel instellingen voor je afhandelt. maak je een unattended install en geef je je script op, hoef je helemaal niks meer te doen...

overigens is het niet zo dat everyone helemaal geen rechten nodig heeft op c:. sommige applicaties hebben wel degelijke read rechten nodig op %windir% of program files\common files, dus weet wat je doet...

[Duinkonijn]

Verwijderd schreef op 06 februari 2004 @ 17:35:
ik snap niet waar jullie nu moeilijk over doen.

het is 1 keer veranderen.
als everyone geen rechten had is het ook 1 keer veranderen, namelijk toevoegen wie je wel rechten wil geven.

als je dat bij install wil doen kan je zelfs een mooi scriptje bakken die veel instellingen voor je afhandelt. maak je een unattended install en geef je je script op, hoef je helemaal niks meer te doen...

overigens is het niet zo dat everyone helemaal geen rechten nodig heeft op c:. sommige applicaties hebben wel degelijke read rechten nodig op %windir% of program files\common files, dus weet wat je doet...

nha als je het gewoon 1x goed vast legt in je AD policies is het gelijk gebeurd.

alles kwa ntfs open en dicht zetten na smaak.

dus een neiuwe laptop / pc hoeft alleen ff lid gemaakt te worden van je AD
vervolgens worden die wijzigingen doorgevoerd dmv. de policies

[elevator]

djluc schreef op 06 februari 2004 @ 13:56:
Verder niets is natuurlijk relatief, ik vind het nogal wat. Eigenlijk zou het handig zijn als je een soort van templates zou kunnen kiezen tijdens de installatie, net zoals je die ook voor AD hebt. Als je dus alleen goede Windows 2000 compitable software gebruikt je een mooi dichtgetimmert systeem hebt.

Je hebt gewoon de security templates zoals die bij Windows meegeleverd worden en met de Security COnfiguration and Analysis snap-in ge-applied kunnen worden.

Vermoedelijk zijn de default permissies op een Windows installatie ook ergens op te geven in een .INF file