Ervaringen: Niet inloggen als administrator onder Windows XP

[elevator]

Non-Admin rechten

Niet inloggen als administrator?

De Windows XP familie (NT, 2000 en XP en de server versies) kent een zeer uitgebreid en flexibel rechten systeem wat op een zeer gedetailleerde manier rechten kan instellen. Om het hele systeem enigszins doorzichtig te maken heeft Windows een standaard aantal rechten uitgedeeld en onderverdeeld in grofweg 3 groepen: Administrators Mogen (bijna) alles op een systeem Power users Mogen drivers en software installeren Kan aan data van andere gebruiker Users Heel veel mensen loggen als gewoonte in als een gebruiker met erg veel rechten op het systeem - namelijk administrator rechten en al hoewel dat erg gemakkelijk is, is het helemaal niet verstandig.

Niet verstandig?

Je hoeft enkel in Beveiliging & Virussen te kijken naar het aantal mensen met virussen, spyware, trojans en dergelijke om te weten dat het dagelijks gebruik maken van iemand met administrator rechten niet verstandig is. De reden is ook simpel - op het moment dat jij met administrator rechten werkt heb je erg veel rechten op je systeem - veel meer dan je eigenlijk nodig hebt - zo kan het dus voorkomen dat je onbewust software installeert omdat je toch die rechten hebt - terwijl dit soort zaken zonder administrator rechten een stuk moeilijker gaan. Maar waarom draait dan iedereen eigenlijk standaard met administrator rechten? Gewoonte en gemakszucht. Een standaard user op Windows XP heeft (helaas) nog steeds administrator rechten en wie verandert dat nou eigenlijk nog? Daarnaast is administrator rechten gewoon erg gemakkelijk - 'alles kan' en je zal bijna nooit beperkt worden door het ontbreken van rechten op je eigen computer.

Dus?

Het lijkt me leuk om hier eens uit te proberen ofdat het inloggen met administrator rechten echt nog wel 'noodzakelijk' is op een moderne Windows XP installatie. Hoe zie ik of ik administrator rechten heb? Als je user 'Administrator' heet is de kans al groot dat je administrator rechten hebt op je PC Als je user geen 'administrator' heet betekent dit echter niet dat je geen administrator rechten hebt - je kan dit op de volgende manier controleren: Ga naar 'Start' en vervolgens naar 'Run' Type hier nu 'lusrmgr.msc' en druk op 'OK' In het linker gedeelte van je scherm kies hier voor 'Groups' Kies nu in het rechtse gedeelte 'Administrators' Als jouw username in die lijst staat - heb je dus effectief administrator rechten op je computer. Ik heb alleen een account 'Administrator' genaamd - hoe zet ik dit nu om? Start nogmaals 'lusrmgr.msc' op naar het voorbeeld van hierboven Maak nu een nieuwe gebruiker aan welke je je eigen naam geeft (in mijn geval Maarten) Geef de user een goed password, en start vervolgens de 'File and Settings Transfer Wizard' op (deze kan je onder Start -> Programs -> Accesoires -> System tools vinden). Kies bij de 1e stap voor 'Old Computer' en druk op 'Next' Kies nu voor 'Other' - en geef een folder op je C: schijf op Druk nu op 'Next' en Windows zal je settings gaan exporteren. Dit duurt een tijdje - dus wacht daar rustig op. Als het klaar is kan je de File and Settings Transfer Wizard afsluiten. Log nu in met je nieuwe account, en start nogmasl de Files and Settings Transfer Wizard op Kies nu voor de 'I don't need the Wizard Disk. I have already collected my files and settings from my old computer.' en druk wederom op 'Next'. Geef vervolgens de folder op waar je je gegevens hebt neergezet - en druk op Next. Na enige tijd importeren (ook dat kan een tijdje duren) zal de wizard aangeven dat je settings gemigreerd zijn en dat je het best eventjes uit kan loggen. Log uit en log terug aan en je settings zijn gemigreerd. Ik heb al een aparte administrator account - maar deze account heeft ook administrator rechten? Start de lusrmgr.msc op en ga in het linkste gedeelte naar 'Users' en klik daar op de username waar je de administrator rechten van wilt weghalen. Ga nu naar het tabblad 'Member of' en click daar de 'Administrators' groep aan en druk op 'Remove'. Voeg de 'Users' groep toe - en druk nu op 'OK'.

Niks werkt meer!!

Dat zal wel los lopen - wel kan het zo zijn dat je instellingen kwijt bent (reken daar maar op ) en dat niet alle programma's meer werken. Vaak zijn programma's echter wel werkend te krijgen met wat aanpassingen - of is er een andere manier die - al hoewel soms niet volledig ideaal - het juiste resultaat geeft. Het lijkt me leuk om hier wat tips, problemen en dergelijke over uit te wisselen.

[ Voor 10% gewijzigd door elevator op 12-02-2005 12:33 ]

[tommie-boy]

Goede post! Ik werk zelf al wat langer niet meer met volledige administrator rechten, ik moet zeggen dat het me erg goed bevalt, voor programma's als Nero heb je soms wat extra rechten nodig, zodat Nero ook blijft werken.

Het enige wat ik mis in de startpost, is hoe je je rechten omgooit als je al een account aan hebt gemaakt die (volgens mij standaard in XP Pro) al automagisch administrator rechten heeft gekregen. Dit kan nl. ook op een andere (ook minder omslachtige manier...)

start hiervoor 'lusrmgr.msc', open Gebruikers (of Users ) Dubbelklik op je gebruikersnaam, en klik op het Tabblad 'lid van' of 'Member of'. Klik op 'Toevoegen' daarna op 'geavanceerd'. Klik daarna op de knop 'nu zoeken'. Hier zal een lijstje uit komen met alle beschikbare groepen die je toe kunt wijzen aan een account. Klik op de groep die je wilt toekennen, en daarna 2x op 'ok', daarna op 'Toepassen'. Vergeet niet je Administrator rechten weg te halen en daarna overnieuw in te loggen...

[ Voor 44% gewijzigd door tommie-boy op 17-10-2004 17:21 . Reden: spelling..... ]

[elevator]

Goed idee - ik heb het even bijgevoegd

[ Voor 5% gewijzigd door elevator op 17-10-2004 18:31 ]

[Mike Jarod]

Om m'n eigen pc's ben ik altijd als admin ingelogd, maar pc's die ik installeer voor anderen (vnl families etc) laat ik tegenwoordig altijd onder een normale user draaien. Nadeel is dat ze af en toe aan de foon hangen omdat ze niet alles mogen als deze gebruiker.

Nav dit topic was ik wel benieuwd naar de verschillen tussen de built in groepen (in detail), en ik vond op de MS site hier redelijke documentatie over:

Microsoft Windows XP - Groups and default security settings

Als iemand documentatie vindt met meer details, hou ik me aanbevolen

[ Voor 5% gewijzigd door Mike Jarod op 17-10-2004 18:43 ]

[TromboneFreakus]

Ik vertel mensen bij wie ik de zooi installeer dat ze gewoon altijd moeten werken in een gebruiker met beperkte rechten, tenzij...
* ze software moeten installeren
* drivers vernieuwd moeten worden (maar dat doe ik dan wel, een leek merkt dat toch nauwelijks).

Installatie van software dan nog bij voorkeur via "Uitvoeren als..." (dan ga je niet ondertussen surfen en onbewust bijv. spyware binnenhalen).

Mijn punt is nu: waarom zou ik in zo'n geval een "Power User" i.pv. Administrator aanmaken voor die situaties?

[curry684]

Ik heb een tijd terug bij m'n schoonfamilie iedereen omgeplugd van administrator naar power user, en daar voorlopig nog heel weinig klachten over gehad (Girotel was de enige problematische). Volgende keer zal ik eens subtiel een paar accounts ompluggen naar 'user'

TromboneFreakus schreef op 18 oktober 2004 @ 09:56:
Mijn punt is nu: waarom zou ik in zo'n geval een "Power User" i.pv. Administrator aanmaken voor die situaties?

Power User is een groep die default aanwezig is, en die je kunt gebruiken voor mensen met 'enig' verstand van zaken

[ Voor 39% gewijzigd door curry684 op 18-10-2004 16:56 ]

[MrDry]

Toch vind ik het op z'n minst gezegd raar dat sommige software niet werkt als je lokaal geen admin rechten hebt.
AutoCAD 2000i bijvoorbeeld. Gelukkig neemt 2004 genoegen met poweruser.

Het is toch vreemd dat ontwikkelaars je dat opdringen ?

[Anoniem: 19973]

Leuk idee, maar als je tegenwoordig nieuwe games koopt, zoals bijv. The Sims2 kun je die niet eens spelen zonder admin rechten, en zo ken ik ook nog wel een aantal andere software pakketten.

[TromboneFreakus]

curry684 schreef op 18 oktober 2004 @ 16:55:
Ik heb een tijd terug bij m'n schoonfamilie iedereen omgeplugd van administrator naar power user, en daar voorlopig nog heel weinig klachten over gehad (Girotel was de enige problematische). Volgende keer zal ik eens subtiel een paar accounts ompluggen naar 'user'

[...]

Power User is een groep die default aanwezig is, en die je kunt gebruiken voor mensen met 'enig' verstand van zaken

Helemaal akkoord met wat je hier meldt.

Maar.... ik zou het net iets anders aanpakken is mijn betoog. Voor een standaard SOHO/Prive situatie kan iedereen prima af met accounts met beperkte rechten (Users).

Daarnaast maak je dan een gebruiker met een heldere naam als 'Beheerder' en deze beveilig je met een wachtwoord. Die gebruiker ken je dan Administrator-rechten toe, zodat als er iets beheerd moet worden, meteen ook alle instellingen toegankelijk zijn.

Ik heb het dan over de situatie van bijvoorbeeld een gezinscomputer, waarbij de vele gebruikers gewoon werken met de standaardsoftware aanwezig op de computer.

Nu ben ik benieuwd: waarom zou je in dat geval die 'Beheerder' slechts 'Power User' rechten geven?

[elevator]

Mike Jarod schreef op 17 oktober 2004 @ 18:43:
Om m'n eigen pc's ben ik altijd als admin ingelogd, maar pc's die ik installeer voor anderen (vnl families etc) laat ik tegenwoordig altijd onder een normale user draaien.

Ik pik jouw reactie er eventjes uit - maar ik zie hier een aantal mensen posten dat ze zelf als administrator inloggen, maar voor anderen is 'user' goed genoeg

Waarom log je op dit moment zelf nog als administrator in? Natuurlijk heeft het ontbreken van administrator rechten een aantal nadelen, maar loop je nou echt zo vaak tegen deze nadelen aan?

TromboneFreakus schreef op 18 oktober 2004 @ 09:56:
Mijn punt is nu: waarom zou ik in zo'n geval een "Power User" i.pv. Administrator aanmaken voor die situaties?

Ik zou dat ook niet doen - Power User is (mijn inziens) puur een 'transitie' account van Microsoft om de overstap tussen de wat lossere 'User' rechten van NT4 te porteren naar de strenge user rechten van Windows 2000 en XP. Als je iemand met 'veel' rechten nodig hebt in de situatie zoals jij die beschrijft zou ik die dan ook gewoon administrator rechten geven - maar inderdaad enkel gebruiken als het niet anders mogelijk is

Toch vind ik het op z'n minst gezegd raar dat sommige software niet werkt als je lokaal geen admin rechten hebt.
AutoCAD 2000i bijvoorbeeld. Gelukkig neemt 2004 genoegen met poweruser.

Het is toch vreemd dat ontwikkelaars je dat opdringen ?

Het is zeker slecht - en in geval van 'normale' eind gebruikers software is het zelfs een teken dat er over security in het ontwerp van de software maar erg slecht is nagedacht. Overigens levert een kleine google zoektocht op 'Autocad 2004 "power user"' op dat vanaf Autocad 2004 ook geen poweruser meer nodig zou hebben?

[beascob]

dit alles geldt voor XP Pro, ik op mijn wxp home bak kan geen poweruser instellen...:(
ik heb dus ook geen lusrmgr.msc...:'(

maar kan ik mijn account terug brengen naar [restricted] user?,
[ik heb nog een admin],
en toch voldoende rechten instellen om bepaalde spellen te spelen?

[phaedrus]

Ben een paar maanden geleden geswitched van admin naar user, eerst op 1 pc om te testen, later op de andere waar ik mee werk.
Ik heb een paar shortcuts naar o.a. explorer met 'runas' zodat ik indien nodig wat dingetjes kan door met admin rechten. Op deze manier heb ik eigenlijk nooit meer als admin hoeven in te loggen.

Op mijn werk werkt alles en iedereen als admin. Toen ter sprake kwam dat ik als user werkte was de reactie van een van de systeembeheerders: 'nou nou, afzien'.

[Mike Jarod]

elevator schreef op 18 oktober 2004 @ 21:12:
Ik pik jouw reactie er eventjes uit - maar ik zie hier een aantal mensen posten dat ze zelf als administrator inloggen, maar voor anderen is 'user' goed genoeg

Waarom log je op dit moment zelf nog als administrator in? Natuurlijk heeft het ontbreken van administrator rechten een aantal nadelen, maar loop je nou echt zo vaak tegen deze nadelen aan?

Precies zoals je zelf al zei, gemakzucht

Waarom zou je als beperkte user werken als je:
• bepaalde applicaties niet kan draaien
• geen (diepe) systeeminstellingen kan wijzigen
• niet alle data op je schijf kan benaderen

Thuis
Ik (en iedereen hier) ben thuis hobbyist. Het gebeurt vaak genoeg dat je ad-hoc systeeminstellingen wijzigt, bepaalde software installeert enzovoorts. Je leest iets op het internet, of je hebt zomaar een ingeving, en vervolgens ga je iets doen met je pc. Het is gewoon ontzettend beperkend als je dan geforceerd wordt dingen te doen onder een andere user. Dat haalt voor mij een stuk van de 'pc-beleving' weg. Je wil pielen, uitzoeken, en op je bek gaan zodat je er wat van leert en er plezier in hebt. Hoe meer obstakels, hoe minder snel men ergens voor gaat.

_{Er schijnt zelfs een forum op het internet te zijn waar allemaal gekken met deze instelling rondlopen}

Wat is dan het nadeel Juist, dingen zoals virussen en spyware. Veel mensen (including me) zijn dan zo koppig om te denken dat ze al die dingen wel aankunnen. Domme gedachte want vroeg of laat worden we toch wel geinfecteerd. Maar toch gaan we koppig door. We leren pas iets als we hard op ons bek gegaan zijn.

Kortom: ik wil geen beperkingen, ik wil 'tweaken'

Werk
Op je werk, werk je. Punt. Daar ga je geen software installeren, dat doet systeembeheer voor je. Is er iets brak dan fixen zij het. Geen reden om hier uitgebreide rechten te hebben.

Anderen
Hier bedoel ik families etc mee. Mensen die minder zicht op de 'gevaren' van een computer hebben. Als mensen ergens niet goed mee om kunnen gaan geef ze dan ook niet alle mogelijkheden, daar wordt (ongewild) misbruik van gemaakt. Ik geef dit soort systemen/users vanuit het oogpunt van beveiliging daarom weinig rechten. Hoe minder ze kunnen slopen / geinfecteerd worden, des te minder irritatie, des te minder ik me ermee hoef te bemoeien, des te minder val je anderen er mee lastig (denk bv aan malware die je als spamdoos gebruikt).

---

Hmm ik ga nogal van de koers af Je vraag was eigenlijk wat ik merk van de beperkingen. Geen idee want ik werk dus alleen als admin. Het is hoogst irritant als aan je systeem loopt te sleutelen en dat je continue als een andere gebruiker moet inloggen (of run as..). Het is niet zo dat ik alleen maar Word gebruik en loop te internetten. Ik - net zoals veel anderen hier - doe veel met m'n pc. Dan is een beperkende user irritant.

Brengt ons meteen bij de volgende vraag: hoe komt het dat de Linux community zoveel mogelijk root vermijdt? En Windows gebruikers dus niet? Besef van beveiliging? Aard van het OS? Opvoeding / instelling van de gebruikers?

_{damn wat een lulverhaal ... ach ja *verstuur bericht*}

[DefaultUser]

Een groot verschil tussen het draaien als normale gebruiker of administrator is onderandere welk bestandssysteem je draait.
Uiteraard draai ik XP met NTFS. Maar ik kan me voorstellen dat toch veel PC's enkele of alle partities in FAT32 zijn geformateerd. Dan heb je geen rechtenproblemen op de bestanden.

Voor mijn werk houd ik me op dit moment bezig met het "certificeren" van software. Dat houd onder ander in: het testen/werkend krijgen van allerlei software programma's zodat ze met normale user rechten gebruikt worden.
Administrator of Power User is alleen bij hele hoge uitzondering toegestaan.

Uit ervaring weet ik dat in de meeste gevallen programma's prima werken als de gebruiker schrijf rechten heeft op de programma-directory in C:\Program Files.
Enkele programma's gebruiken ook .INI bestanden in de C:\WINDOWS of C:\WINNT directory. Daar moet de gebruiker (of de lokale Users/Gebruikers group) schrijfrechten op krijgen. De hele C:\WINDOWS of C:\WINNT "open" zetten lijkt mij niet verstandig.

Hierdoor geef je de controle van het Operating Systeem niet uit hande. Hooguit kan de applicatie in kwestie "verprutst" worden. Dat is op te lossen.

Vervelende programma's bestaan er ook. Windows 2000 en XP kennen namelijk complexe rechten structuren in de registry.
Programma's kunnen hierdoor niet werken wanneer een gebruiker met normale rechten een bepaalde sleutel in de registry wilt maken, wijzigen of verwijderen.
Nero is daar een goed voorbeeld van, maar ICQ is ook niet vriendelijk wat dat betreft (ICQ lite daarentegen wel)
Voor NERO is overigens het programma burnrights beschikbaar. Hiermee kan een normale user toch NERO gebruiken en toegang krijgen tot de brander.

In mijn werk gebruik ik de tools NTFILEMON en NTREGMON van sysinternals regelmatig.
Dit kan door de applicatie als normale user te starten en in de achtergrond een van deze programma's met "Run As" te laten draaien als administrator. Dan kan je erachter komen welke bestanden of registersleutels open gezet moeten worden om het programma beschikbaar te maken voor een normale gebruiker. Bekende Access Denied meldingen.

Wel moet je in het begin aardig stoeien met deze programma's maar al doende leert men.

De PC van mijn vader draait al een hele tijd met Windows 2000 en een normale user.
Er mag niets geinstalleerd worden en spyware/spellen etc. worden niet geinstalleerd.
Hooguit af en toe eens een nieuwe flash/shockwave player installeren.

Een erg leuk topic. Ik hoop dat ik jullie nog eens van enige hulp kan zijn...

[Brent]

Ik vind dit wel een interessant topic, echter de startpost lijkt nog in aanbouw.

Ik zou wel willen we wat nou precies het verschil is tussen Admin en Power-user. Wat kan je meer met een administrator account? En wat is daar veiliger aan in een thuissituatie?

[spone]

Zelf draai ik altijd als admin (jaja, shame on me) maar het is veruit het makkelijkst. Aangezien ik toch eigenlijk op mn eigen systeem veel te veel pruts, moet ik wel admin zijn. Wanneer ik echter via terminal services op mn server werk, daar o.a. mn files etc etc staan, ben ik gewoon ingelogd als een gewone user.

Zeker games etc hebben veel te veel te veel rechten nodig, zeker die games als the sims. Bij programma's als Nero kan ik me het nog voorstellen, omdat die direct de hardware aanspreken, maar een spelletje dat via een directX laag met de hardware communiceert...nèh.

Bij anderen (die meestal een beetje noob zijn ) zijn ze gewoon user, of soms power user, hangt er een beetje vanaf wat ze willen doen, en of ik snel aanwezig kan zijn om de eventuele schade te repareren.

offtopic:
[quote]Breepee schreef op 18 oktober 2004 @ 22:46:
Ik vind dit wel een interessant topic, echter de startpost lijkt nog in aanbouw.

Ik zou wel willen we wat nou precies het verschil is tussen Admin en Power-user. Wat kan je meer met een administrator account? En wat is daar veiliger aan in een thuissituatie?[/quote]

Daar hebben ze google voor

[ Voor 51% gewijzigd door spone op 18-10-2004 23:03 ]

[curry684]

elevator schreef op 18 oktober 2004 @ 21:12:
[...]

Waarom log je op dit moment zelf nog als administrator in? Natuurlijk heeft het ontbreken van administrator rechten een aantal nadelen, maar loop je nou echt zo vaak tegen deze nadelen aan?

Developen werkt voor geen meter zonder local adminrechten

[Brent]

spone schreef op 18 oktober 2004 @ 22:58:

offtopic:
Daar hebben ze google voor

offtopic:
Zullen we dan meteen dit topic op slot gooien of op zn minst de startpost eruit slopen

Als we hier het Administrator zijn afmoedigen, moet er toch op zn minst even duidelijk het verschil in de startpost staan, en laat ik die nu net niet kunnen editten

[mutsje]

Thuis log ik in als Administrator. Waarom eigenlijk inderdaad denk puur uit gewoonte. Op het werk log ik in als domain admin of Enterprise admin al naar gelang het domain waar ik op inlog. Omdat ik beheer doe heb ik volledige rechten nodig en mag niet gehinderd worden door het ontbreken hiervan.
Voor mijn citrix/powerfuse omgeving heb ik speciale user accounts waar ik mee inlog om te kijken of policies en instellingen naar wens applied worden. Ik denk dat 90% van de thuisgebruikers geen administrator rechten nodig hebben omdat ze normale user(wat is normaal..) zijn. Thuis heb ik ook een windows 2003 domain draaien en expirimenteer ik ook enorm veel en ja ook daar heb ik speciale test accounts om te kijken of alles naar wens verloopt zoals ik dat wil met policies en restrictive permissions.

Momenteel ben ik met een project bezig om een machine volledig dicht te timmeren (terminal server welliswaar) en misschien ga ik hier nog een howto van maken.

[elevator]

Mike Jarod schreef op 18 oktober 2004 @ 22:33:
Precies zoals je zelf al zei, gemakzucht

Waarom zou je als beperkte user werken als je:
• bepaalde applicaties niet kan draaien
• geen (diepe) systeeminstellingen kan wijzigen
• niet alle data op je schijf kan benaderen

Natuurlijk is het een klein stukje een obstakel wat je voor jezelf opwerpt - maar hoe vaak wijzig je nou diepe systeeminstellingen in de praktijk?

En wat is er mis om op dat moment nog eventjes in te loggen als administrator - danwel via 'runas' het benodigde als administrator te draaien?

Ik meen dit als een oprechte vraag - ik ben afgelopen zondag zelf geswitched van 'Administrator' user naar een regular user simpelweg om het eens uit te proberen. Gewoon eens kijken waar ik tegen aan loop (en kijken wat op te lossen valt en hoe - en wat eventueel niet). Het zou natuurlijk leuker zijn als een aantal mensen ook hun ervaringen posten om op dit moment de stand hiervan te meten

Ik (en iedereen hier) ben thuis hobbyist. Het gebeurt vaak genoeg dat je ad-hoc systeeminstellingen wijzigt, bepaalde software installeert enzovoorts. Je leest iets op het internet, of je hebt zomaar een ingeving, en vervolgens ga je iets doen met je pc. Het is gewoon ontzettend beperkend als je dan geforceerd wordt dingen te doen onder een andere user. Dat haalt voor mij een stuk van de 'pc-beleving' weg. Je wil pielen, uitzoeken, en op je bek gaan zodat je er wat van leert en er plezier in hebt. Hoe meer obstakels, hoe minder snel men ergens voor gaat.

OK- maar dat betekent dus dat het 'RunAs' gedeelte voor jou te beperkend is? Wat lukt er niet mee (of wat maakt het omslachtig) dat het niet goed werkt dan?

Brengt ons meteen bij de volgende vraag: hoe komt het dat de Linux community zoveel mogelijk root vermijdt? En Windows gebruikers dus niet? Besef van beveiliging? Aard van het OS? Opvoeding / instelling van de gebruikers?

Dit zal een combinatie van het security systeem (Windows' security systeem is veel krachtiger), gewoonte (de meeste Windows gebruikers zijn gegroeid uit Win95 en daar kon je altijd alles) en gemakszucht zijn gok ik

Maar toch zou het ondertussen eens interessant zijn om te bekijken ofdat de technologie van Microsoft en de leveranciers van software al zo ver is om dit eens terug te draaien en naar het door de meeste IT'ers zo gekoesterede 'least possible rights' systeem terug te gaan

---

spone schreef op 18 oktober 2004 @ 22:58:
Zeker games etc hebben veel te veel te veel rechten nodig, zeker die games als the sims. Bij programma's als Nero kan ik me het nog voorstellen, omdat die direct de hardware aanspreken, maar een spelletje dat via een directX laag met de hardware communiceert...nèh.

Had Nero geen programma om te voorkomen dat je administrator rechten nodig hebt?
* elevator weet het eigenlijk niet zeker - ik gebruik sinds een tijdje CDBurnerXP Pro welke het branden als niet-admin op hun 'features' pagina heeft staan

curry684 schreef op 18 oktober 2004 @ 23:48:
Developen werkt voor geen meter zonder local adminrechten

Dat is echt een veel te algemene opmerking Natuurlijk zijn er een (boel/aantal) dingen die als 'regular user' misschien niet zo fijn werken (device drivers maken wordt idd vrij lastig zonder admin rechten ) - maar ik kan me niet voorstellen dat voor het maken van een web applicatie je per se altijd moet werken onder een admin account (dat is overigens wat anders dan geen admin rechten hebben )

Breepee schreef op 19 oktober 2004 @ 09:20:

offtopic:
Zullen we dan meteen dit topic op slot gooien of op zn minst de startpost eruit slopen

Als we hier het Administrator zijn afmoedigen, moet er toch op zn minst even duidelijk het verschil in de startpost staan, en laat ik die nu net niet kunnen editten

Ik leg in mijn startpost toch duidelijk uit dat een administrator 'te veel' rechten heeft? Het rechtensysteem van Windows bestaat uit een groot aantal verschillende sub-systemen die totaal het rechten plaatje maken en ik kan niet echt een duidelijk overzicht maken van wat er te veel is.

Als je echter suggesties hebt om de startpost beter te maken en daar ook actief in bent mag je me dat altijd laten weten?

[ Voor 10% gewijzigd door elevator op 19-10-2004 10:34 ]

[blackd]

elevator: wat betreft Nero, je bedoelt Nero BurnRights

[TRON]

Op m'n gezins-pc werkt iedereen, waaronder ik onder gewone 'user'-rechten. Wanneer ik iets wil/moet installeren of aanpassen, dan gebruik ik vaak 'run as' om dat te doen. In de praktijk heb ik er zeer weinig last van. Je moet er rekening mee houden dat je bepaalde dingen niet meer 1, 2, 3 kan doen. Sommige dingen kosten eventjes net wat meer tijd en dan heb ik het over installeren/configureren.

Immers, sommige applicaties vinden het niet leuk als jij de betreffende applicatie wil opstarten als 'user' wanneer je het als 'administrator' geinstalleerd hebt. Dat kan soms een irritant uitzoekwerkje worden.

Maar verder? Weinig problemen. Juist veel meer voordelen, omdat er vrijwel GEEN spyware meer door de gehele computer verspreid zit, niet dat ik daar last van had, maar bepaalde leden van het gezin zorgden er voor dat dit wel met enig regelmaat voorkwam.

[Gerco]

Ik heb geprobeerd op mijn Windows installatie als User te werken, aangezien ik dat op linux ook al tijden doe op de desktop en dat prima bevalt. Helaas was mijn ervaring niet zo positief te noemen. De functies waar ik nog Windows voor gebruik (Developen in VB6 en Fortis telebankieren) werken geen van beiden lekker zonder admin rechten.

• Visual Studio 6 start op met talloze foutmeldingen over rechten in de registry en wil niets compileren.
• Fortis Internetbankieren (vanwege die kaartlezer ws) wil helemaal niet werken vanwege het ontbreken van de Fortis Security Layer bij de normale user, echter kan die user die hele layer ook niet installeren.

Ik heb de helpdesk van Fortis hierover gemaild en het antwoord kwam ongeveer neer op "Het kan wel, maar we zeggen niet hoe want dat is te ingewikkeld. Zoek maar bij Microsoft naar een oplossing". Dit antwoord had ook de toon van "Dat moet je ook helemaal niet willen, zeik niet zo en werk als admin".

Ik kan ook niet anders dan concluderen (niet alleen hierdoor, maar dit zijn mijn twee grootste bezwaren) dat het Windows platform prima geschikt is om met beperkte rechten te werken, maar dat de meeste recente apps het nog niet zijn. Dat zit eraan te komen, maar voordat het zover is dat zelfs de educatieve software van mn schoonzusje werkt onder een gewone user account (meestal is dat nog 16 bit spul) zijn wel weer een paar jaar verder, helaas.

[Brent]

elevator schreef op 19 oktober 2004 @ 10:33:
Ik leg in mijn startpost toch duidelijk uit dat een administrator 'te veel' rechten heeft?

Maar niet precies wat.

elevator schreef op 19 oktober 2004 @ 10:33:
Ik leg in mijn startpost toch duidelijk uit dat een administrator 'te veel' rechten heeft? Het rechtensysteem van Windows bestaat uit een groot aantal verschillende sub-systemen die totaal het rechten plaatje maken en ik kan niet echt een duidelijk overzicht maken van wat er te veel is.

OK, maar aangezien je de drie groepen opnoemt en daaronder 0, 1 of 2 punten dacht ik dat er nog wel meer verschil zou bestaan (kan een user bijv. programma installeren?). Het lijstje leek iig niet 'af'

elevator schreef op 19 oktober 2004 @ 10:33:
Als je echter suggesties hebt om de startpost beter te maken en daar ook actief in bent mag je me dat altijd laten weten?

De precieze details weet ik dus niet (zal wel ergens op msdn rondzwerven) maar het lijkt me dat hier mensen zijn die dat beter weten dan ik (zoals ik al zei, ik ben maar een simpele thuisgebruiker geinteresseerd in het eventueel veiliger maken van zijn computertje ).

[leon1e]

Gerco schreef op 19 oktober 2004 @ 11:34:
Ik heb geprobeerd op mijn Windows installatie als User te werken, aangezien ik dat op linux ook al tijden doe op de desktop en dat prima bevalt. Helaas was mijn ervaring niet zo positief te noemen. De functies waar ik nog Windows voor gebruik (Developen in VB6 en Fortis telebankieren) werken geen van beiden lekker zonder admin rechten.

• Visual Studio 6 start op met talloze foutmeldingen over rechten in de registry en wil niets compileren.
• Fortis Internetbankieren (vanwege die kaartlezer ws) wil helemaal niet werken vanwege het ontbreken van de Fortis Security Layer bij de normale user, echter kan die user die hele layer ook niet installeren.

Ik heb de helpdesk van Fortis hierover gemaild en het antwoord kwam ongeveer neer op "Het kan wel, maar we zeggen niet hoe want dat is te ingewikkeld. Zoek maar bij Microsoft naar een oplossing". Dit antwoord had ook de toon van "Dat moet je ook helemaal niet willen, zeik niet zo en werk als admin".

Ik kan ook niet anders dan concluderen (niet alleen hierdoor, maar dit zijn mijn twee grootste bezwaren) dat het Windows platform prima geschikt is om met beperkte rechten te werken, maar dat de meeste recente apps het nog niet zijn. Dat zit eraan te komen, maar voordat het zover is dat zelfs de educatieve software van mn schoonzusje werkt onder een gewone user account (meestal is dat nog 16 bit spul) zijn wel weer een paar jaar verder, helaas.

Vaak zijn de oplossingen vrij simpel te vinden, hiervoor moet je twee dingen in gedachten houden:

1. Als user heb je veel minder rechten op het file system
2. Als user heb je veel minder rechten op het register (bestaan die ook?: klik maar eens met rechts op een key in regedit en kies machtigingen )

Natuurlijk moet je deze bestanden/keys opzoeken dit kun je vrij simpel doen met deze tools:

http://www.sysinternals.com/ntw2k/source/regmon.shtml http://www.sysinternals.com/ntw2k/source/filemon.shtml

Hier kun je vrij simpel een process includen en andere excluden, zo zie je precies welke rechten je moet aanpassen.

Succes

[ Voor 3% gewijzigd door leon1e op 19-10-2004 12:02 ]

[Gerco]

leon1e schreef op 19 oktober 2004 @ 12:01:
1. Als user heb je veel minder rechten op het file system

Dat weet ik en dat is het probleem ook niet. Waar het mij om gaat is dat *nix apps daar meestal goed mee omgaan omdat het op *nix altijd zo is geweest. Veel windows apps en developers komen uit het 98 tijdperk en houden daar geen rekening mee en dan krijg je apps die niet of slecht werken als user.

Dat je dat kan aanpassen is natuurlijk evident, maar daarmee los je het probleem niet op, enkel de symptomen. Ik kan nu als user nog steeds die app slopen. Kan Windows niets aan doen, maar dat is mijn punt ook niet.

2. Als user heb je veel minder rechten op het register (bestaan die ook?: klik maar eens met rechts op een key in regedit en kies machtigingen )

Bedankt voor je hulp, maar hoewel jij dat niet kon weten beschik ik al over die kennis. Alleen had ik niet genoeg zin om dat te gaan uitzoeken. Het antwoord van Fortis deed mij spontaan alle goede moed verliezen. Als zelfs banken al zeggen dat je gewoon als admin moet werken gaat het bij mij even de verkeerde kant op Dat het (wel of niet) kan is mijn punt niet, lees mijn vorige post en dan specifiek de conclusie daarvan.

[ Voor 14% gewijzigd door Gerco op 19-10-2004 13:45 ]

[leon1e]

Gerco schreef op 19 oktober 2004 @ 13:41:

Bedankt voor je hulp, maar hoewel jij dat niet kon weten beschik ik al over die kennis. Alleen had ik niet genoeg zin om dat te gaan uitzoeken. Het antwoord van Fortis deed mij spontaan alle goede moed verliezen. Als zelfs banken al zeggen dat je gewoon als admin moet werken gaat het bij mij even de verkeerde kant op Dat het (wel of niet) kan is mijn punt niet, lees mijn vorige post en dan specifiek de conclusie daarvan.

Deze post was ook niet zo zeer gericht aan jou, maar meer voor algemeen gebruik . Verder ben ik het compleet met je eens dat dit niet de schuld van Microsoft is dat deze applicaties niet werken, de makers van de software zouden hier veel meer aandacht aan moeten besteden.

[Anoniem: 55212]

Toevallig ben ik net bezig 2 pc's thuis opnieuw te installeren e.d. Ik ga nu voor de Familie een user account maken en een admin* account aanmaken zodat het moeilijk word om spyware e.d. te installeren.

*of administrator zodra ik weet hoe ik die in het welkomsscherm tevoorschijn kan toveren. Is er ook een manier om bijvoorbeeld in te stellen dat een User zelfs de achtegrond niet kan wijzigen?

[ Voor 16% gewijzigd door Anoniem: 55212 op 19-10-2004 14:00 ]

[mduijvendijk]

2 Weken geleden heb ik op de pc die door het hele gezin wordt gebruikt, iedereen voor het eerst Gebruiker in plaats van Administrator (wat ze altijd waren) gemaakt.

Kort samen gevat:
- Het is een ramp
- ik moet nog steeds als administrator inloggen om updates af te ronden voor oa de virus scanner, terwijl ik nooit op de pc werk
- Gebruikers moeten meer rechten krijgen op mappen van spellen en Winamp
- Ik moet gebruikers tijdelijk Administrator rechten geven omdat sommige software de installatie onder die specifieke gebruiker anders niet wil afronden
- Mijn moeder kan niet even een mailtje sturen onder mijn vaders naam, omdat de bijlage in haar documenten staat (waar mijn vader dus niet bij kan)

[curry684]

elevator schreef op 19 oktober 2004 @ 10:33:
[...]

Dat is echt een veel te algemene opmerking Natuurlijk zijn er een (boel/aantal) dingen die als 'regular user' misschien niet zo fijn werken (device drivers maken wordt idd vrij lastig zonder admin rechten ) - maar ik kan me niet voorstellen dat voor het maken van een web applicatie je per se altijd moet werken onder een admin account (dat is overigens wat anders dan geen admin rechten hebben )

Webapplicaties kun je tegenwoordig debuggen middels een 'Debugger User' group op je user te zetten. Echter, je ramt nog wel eens een infinite loop in een pagina, en dan moet je dus aspnet_wp.exe redelijk snel af kunnen schieten. Services managen/developen lukt je ook niet als user. Sowieso heb je per definitie de groep 'VS Developer' nodig. Als je dat al optelt ben je al zowat admin, doe me dan maar gewoon administrator.

Ik blijf sowieso bij de statement die ik vaker op dit gebied heb gemaakt: iemand met verstand van zaken werkt beter, sneller en effectiever met administratorrechten. Vergelijk het met auto's: ik ben blij dat ik het materiaal niet heb om ze te repareren, want dan zou ik in de verleiding komen het te doen en dat komt nooit goed. Voor een ervaren automonteur is het echter geen probleem om in een onveilige auto rond te gaan rijden met alle tools op zak want hij krijgt 'm op de vluchtstrook wel weer aan de praat als het fout gaat. Op deze manier voel ik me na 20 jaar terecht veilig met administratorrechten op een willekeurige computer. Mensen moeten zichzelf net zo hard afvragen of het wel verstandig is voor hun om met administratorrechten het de digitale snelweg op te gaan als met een afgeragde auto op de analoge

[MOmax]

Elevator: bedankt voor 't starten van dit topic.

In de C'T NL van deze maand (oktober 2004) staan aardige artikelen ter ondersteuning van van jouw topic.

Momenteel is mijn account thusi en op 't het werk ingesteld als "Power user". Run as... wordt heel af en toe gebruikt... natuurlijk.

Dan nu mijn veiligheidstip:
Laatst heb ik een "Adminstrator" passwd gekraakt met Pro-Active Windows Sec. etc. van Elcomsoft. Dat was niet heel moeilijk! Conclusie: zorg er voor dat je admin-passwd langer is als 14 karakters, liefst met vreemde tekens (anders dan cijfer/letters) en schakel het oudere LM-authenticatie protocol uit. Alleen dan is je admin-apsswd redelijk onkraakbaar.

[Beaves]

tommie-boy schreef op 17 oktober 2004 @ 17:14:
Goede post! Ik werk zelf al wat langer niet meer met volledige administrator rechten, ik moet zeggen dat het me erg goed bevalt, voor programma's als Nero heb je soms wat extra rechten nodig, zodat Nero ook blijft werken.

Voor Nero is er een tool ("Nero BurnRights"), wat je kan downloaden op deze pagina. Daarmee kan je opgeven welke groepen gebruikers brand rechten hebben.

[mutsje]

MOmax schreef op 19 oktober 2004 @ 15:23:
Elevator: bedankt voor 't starten van dit topic.

In de C'T NL van deze maand (oktober 2004) staan aardige artikelen ter ondersteuning van van jouw topic.

Momenteel is mijn account thusi en op 't het werk ingesteld als "Power user". Run as... wordt heel af en toe gebruikt... natuurlijk.

Dan nu mijn veiligheidstip:
Laatst heb ik een "Adminstrator" passwd gekraakt met Pro-Active Windows Sec. etc. van Elcomsoft. Dat was niet heel moeilijk! Conclusie: zorg er voor dat je admin-passwd langer is als 14 karakters, liefst met vreemde tekens (anders dan cijfer/letters) en schakel het oudere LM-authenticatie protocol uit. Alleen dan is je admin-apsswd redelijk onkraakbaar.

Men raad aan om ALT+cijferbombo te gebruiken zodat je vreemde tekens krijgt. Programma's als Lohptcrack en dergelijke vinden dit niet fijn maar zullen het uiteindelijk wel kraken.

Verder kun je IPSEC nog inrichten NTLM uitschakelen alleen Kerberos aan ofwel de machine helemaal dichttimmeren maar begin dan met een simpele firewall te activeren....

Vaak wordt local administrator gewoon uit pure luiheid niet omgezet.

[Anoniem: 113297]

leuke topic!

ik werk sinds windows 2000 en nu met xp (een 4tal jaar in totaal) altijd met een een gewone gebruikersaccount, en het bevalt me uitstekend. de hoofreden is het enorme veiligheidsvoordeel. zloang er geen antivirusprogramma's bestaan die betrouwbaar zonder signature file kunnen werken, zal ik deze nooit gebruiken. de beperkte gebruikersaccount laat dit in alle veiligheid toe(met uitzondering van exploits die lekken van systeemprocessen uitbuiten, hier moet je ofwel de poort sluiten, of een firewall (ik doe beide :-))). geen van de hier aangehaalde problemen vormen een echt probleem. @curry694, je kan op voorhand je taakbeheerder of processexplorer openzetten in administratormode (runas). het afschieten van je aspnet_wp.exe proces is dan 1 klik (activeer venster) en 1 toets (delete) verwijderd van beëindiging. sneller kan toch niet? wat betreft nero (ok ik heb nog 5.5) moest ik helemaal niets ondernemen. vs6 draait prima (vereist een paar aanpassingen inderdaad, microsoft houdt zich soms ook niet aan de standaard). fortis ziet er iets moeilijker uit, maar mss kan je je gebruiker tijdelijk admin rechten geven en dan even de security layer installeren, daarna nog goede rechten op folders en registrykeys plaatsen. dexia netbanking was bv. ook een kleine ramp (rootfolder op de c:, aaargghh!!!), maar ook dit heb ik aan de praat gekregen.

[ Voor 1% gewijzigd door Anoniem: 113297 op 19-10-2004 16:21 . Reden: spelling ]

[Anoniem: 113297]

beascob schreef op 18 oktober 2004 @ 21:53:
dit alles geldt voor XP Pro, ik op mijn wxp home bak kan geen poweruser instellen...:(
ik heb dus ook geen lusrmgr.msc...:'(

maar kan ik mijn account terug brengen naar [restricted] user?,
[ik heb nog een admin],
en toch voldoende rechten instellen om bepaalde spellen te spelen?

poweruser is toch niet nodig en bovendien achterhaald. in home is het wel wat moeilijker, je zal met file & registrymonitor moeten achterhalen waar je wat moet toekennen. als je opstart in beveiligde modus en eenvoudig filebrowsen uitschakelt (in het engels tools->folder->options->view->display simple folder), dan je ook in xp home de gebruikersrechten van de mappen instellen. (@mduijvendijk: zo kan je moeder-vader probleem oplossen.)

[ronny]

leon1e schreef op 19 oktober 2004 @ 13:48:
[...]


Deze post was ook niet zo zeer gericht aan jou, maar meer voor algemeen gebruik . Verder ben ik het compleet met je eens dat dit niet de schuld van Microsoft is dat deze applicaties niet werken, de makers van de software zouden hier veel meer aandacht aan moeten besteden.

Dat is natuurlijk ook wel weer lekker makkelijk.
Tuurlijk kan MS er wel meer aan doen als ze dat willen.
Op allerlei andere gebieden kunnen ze ook heel erg strenge eisen stellen als ze dat willen.
Het makkelijkste wat ze kunnen doen is het niet eerder afgeven van het walgelijke *(designed voor Windows 2k of XP logo).

Maar ontopic. Ik werk zelf als ik onder Windows zit wel als Power User. Dat is idd gewoon gemakzucht. Ik ben er bij andere mensen al wel toe overgegaan om hun zo ver te krijgen dat ze over gaan naar beperkte accounts om zo een boel problemen te voor komen.
Mijn vrouw (eindelijk) logt helemaal niet in (win98 ) die drukt altijd op anuleren .
Maar zodra ik dat een keer overzet naar win2k gaat daar idd een beperkt account op.
Maar onder linux vind ik het helemaal nog niet vervelend om af en toe mijzelf te su'en of als root een prog op te starten.

* sorry dat is meer een persoonlijke vete. Ik krijg kriebels als op een compu staat dat het voor 1 OS ontwikkeld zou zijn. want veel hardware bestond al voor Bill wist dat hij met bv XP ging ontwikkelen. Een logo geschikt voor Windows XP is meer op zijn plaats.

[TromboneFreakus]

mduijvendijk schreef op 19 oktober 2004 @ 14:16:
2 Weken geleden heb ik op de pc die door het hele gezin wordt gebruikt, iedereen voor het eerst Gebruiker in plaats van Administrator (wat ze altijd waren) gemaakt.

Kort samen gevat:
- Het is een ramp
- ik moet nog steeds als administrator inloggen om updates af te ronden voor oa de virus scanner, terwijl ik nooit op de pc werk

Norton heeft daar geen probleem mee, met McAfee die door XS4ALL gratis wordt aangeboden ervaar ik het probleem inderdaad helaas ook.

- Gebruikers moeten meer rechten krijgen op mappen van spellen en Winamp

WinAmp snap ik niet, dat moet gewoon goed werken. Heb je wel eraan gedacht dat op al je mappen nu waarschijnlijk staat ingesteld dat de groep 'Administrators' hier het volledig beheer over heeft? Tot deze groep behoort nu bijna niemand meer!

Vaak als je instelt bij spellen dat iedereen van de groep Gebruikers er in kan schrijven - en ervoor zorgt dat dit bij alle mappen zo opnieuw wordt ingesteld!!! - dan moet dit prima werken. Evenzo geldt dit soms voor andere software, kortweg alle software die bestanden ergens anders dan in de submap c:\documents and settings\[username] wil wegschrijven....

- Ik moet gebruikers tijdelijk Administrator rechten geven omdat sommige software de installatie onder die specifieke gebruiker anders niet wil afronden

Doe dat nu niet, dan wennen ze nooit. Leer ze het truukje van 'Uitvoeren als...'.

- Mijn moeder kan niet even een mailtje sturen onder mijn vaders naam, omdat de bijlage in haar documenten staat (waar mijn vader dus niet bij kan)

Ik kan niet de auto van de buren pakken om even mee te rijden, want ik heb geen sleutel....

[elevator]

mduijvendijk schreef op 19 oktober 2004 @ 14:16:
- ik moet nog steeds als administrator inloggen om updates af te ronden voor oa de virus scanner, terwijl ik nooit op de pc werk

Dan moet je denk ik eens kijken ofdat je virusscanner daar geen oplossing voor heeft Heel het systeem van services werkt er namelijk mee dat je bepaalde services onder een account met meer rechten kan starten juist om hetgene wat jij hier zegt te voorkomen

- Mijn moeder kan niet even een mailtje sturen onder mijn vaders naam, omdat de bijlage in haar documenten staat (waar mijn vader dus niet bij kan)

Dat lijkt me ook niet meer dan normaal - als je wilt dat je als familie de documenten deelt kan je toch een gezamenlijke map aanmaken waar die gegevens inzitten?

---

curry684 schreef op 19 oktober 2004 @ 15:04:
Webapplicaties kun je tegenwoordig debuggen middels een 'Debugger User' group op je user te zetten. Echter, je ramt nog wel eens een infinite loop in een pagina, en dan moet je dus aspnet_wp.exe redelijk snel af kunnen schieten.

Dat zou je toch vrij gemakkelijk kunnen oplossen met een batchfiletje dat met 'runas' dat process afschiet?

Services managen/developen lukt je ook niet als user.

Jawel hoor - met 'subinacl' kan je op specifieke services rechten geven - en dus ook je het recht geven om een specifieke service of services te stopppen e.d.

Sowieso heb je per definitie de groep 'VS Developer' nodig. Als je dat al optelt ben je al zowat admin, doe me dan maar gewoon administrator.

Ik ken de specfieke rechten van 'VS Developer' niet - maar ik kan me niet per se voorstellen dat deze 'Full Control' heeft over heel je HKLM of %Systemroot%?

Ik blijf sowieso bij de statement die ik vaker op dit gebied heb gemaakt: iemand met verstand van zaken werkt beter, sneller en effectiever met administratorrechten.

Dat ben ik niet (meer) met je eens - al hoewel het misschien gemakkelijker is, is het kans op fouten (danwel bewust doordat je iets echt fout doet, danwel onbewust door een virus, spyware, e.d.) een stuk groter

Waarom zou je dat risico nemen - mits je op een adequate manier je werk kan uitvoeren zonder die extra rechten?

---

Dan nog even mijn ervaringen tot nu toe

ICQ wilde niet meer starten - maar met de hulp van deze post:

quote: http://web.icq.com/help/b...?tid=7291&topic_id=451753

[list]• Set the permissions to the "C:\Program...\ICQ" folder to "FULL CONTROL" to USER
• run regedt32.exe
• Set the permissions to HKEY_LOCAL_MACHINE\Software\Mirabilis to "FULL CONTROL" to USER
• Open key HKEY_CLASSES_ROOT\CLSID
• Create the key with name {F04F50AF-8379-40B0-B22B-A60CB82E0DA3}
• Open key HKEY_CLASSES_ROOT\CLSID\{F04F50AF-8379-40B0-B22B-A60CB82E0DA3}
and create the String value with name "Default"
• Go to the security (permissions) dialog for key {F04F50AF-8379-40B0-B22B-A60CB82E0DA3} and append USER.
• Set to USER only "read" permission.
• Go to the "Advanced..." button and set ALL the permissions except "Delete".

Werkt het zonder problemen

Verder kwam ik erachter dat als je security log vol zit je niet meer via 'Remote Desktop' in kan loggen erg vervelend maar wel op te lossen door je eventlog wat anders in te stellen.

Daarnaast liep ik tegen het standaard probleem aan dat een Citrix client geen permissies heeft op de registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSLicensing waardoor je niet in kan loggen

[GH45T]

Ik log nu inmiddels ook al een dik jaar in altijd als user en niet als administrator. Dit werkt op zich helemaal fantastisch maar ik heb wel nog 1 puntje van kritiek voor Microsoft: Waarom is het niet mogelijk om een Explorer venstertje (ook wel bekend onder verkenner ) als andere gebruiker uit te voeren? Als dit het geval was zou je even snel wat noodzakelijke dingetjes kunnen veranderen op je hd en ondertussen al je andere programma's lekker in je user accountje door laten draaien.

Wat ik bijvoorbeeld gemerkt heb als voordelen is dat je eigelijk helemaal geen virusscanner of spyware killer meer nodig hebt puur en alleen maar omdat het geen enkele kans maakt. ik voer zelf wel nog altijd windows update uit en heb een goede software firewall draaien achter mijn 3 routers (paranoia ) en ik heb sinds dat ik standaard user ben nergens meer last van. Ook blijven pc's op deze manier langer snel en slippen ze niet zo snel dicht. Als je programma's hebt die niet standaard werken als je user bent kun je dit vaak omzeilen door de map van het programma in c:\program files\ de user full rights te geven. Alleen programma's als Nero krijg je zonder hulpmiddelen niet aan de gang (heeft denk ik iets met de imapi burnengine te maken)

Ik heb dit al zo vaak tegen vrienden / bekenden gezegd maar ze staan altijd maar wat te lachen met mijn uitvoeren als; maar blijkbaar zijn er dus meer mensen die hier iets in zien

[elevator]

GH45T schreef op 19 oktober 2004 @ 21:11:
Waarom is het niet mogelijk om een Explorer venstertje (ook wel bekend onder verkenner ) als andere gebruiker uit te voeren? Als dit het geval was zou je even snel wat noodzakelijke dingetjes kunnen veranderen op je hd en ondertussen al je andere programma's lekker in je user accountje door laten draaien.

Ik vermoed dat dit te maken heeft met het punt dat Windows standaard maar 1 process per explorer.exe gebruikt en dus je originele explorer.exe op zoekt

Ik heb dit bij mij al aan staan (en bij mij start explorer.exe ook gewoon in een apart process?) - dus je zou eens kunnen proberen om dit aan te zetten (My Computer -> Tools -> Folder Options -> Launch Folder Window in Seperate Processes) ?

[Anoniem: 113297]

elevator schreef op 19 oktober 2004 @ 21:24:
[...]

Ik vermoed dat dit te maken heeft met het punt dat Windows standaard maar 1 process per explorer.exe gebruikt en dus je originele explorer.exe op zoekt

I

exact. je kan ook iexplore gebruiken als explorer. kijk ook eens even naar http://blogs.msdn.com/aaron_margosis/

[GH45T]

elevator schreef op 19 oktober 2004 @ 21:24:
[...]

Ik vermoed dat dit te maken heeft met het punt dat Windows standaard maar 1 process per explorer.exe gebruikt en dus je originele explorer.exe op zoekt

Ik heb dit bij mij al aan staan (en bij mij start explorer.exe ook gewoon in een apart process?) - dus je zou eens kunnen proberen om dit aan te zetten (My Computer -> Tools -> Folder Options -> Launch Folder Window in Seperate Processes) ?

Vraag me niet waarom maar Windows XP maakt blijkbaar gebruik van 2 verschillende "Explorers":P 1 is de explorer.exe (welke volgens mij het visuele aan windows regelt) en 1 is de explorer (zonder extensie en hij regelt volgens mij het hele verkenner gebeuren) Als ik de door jouw aangeboden optie gebruik krijg ik ieder mapje wat ik dubbel aanklik in een nieuw venstertje te zien. Als ik dit zou doen zou ik gauw genoeg door de explorer venstertjes gek worden

Ik heb zelf nog snel een manier bedacht hoe dit te omzeilen. Ik dacht er opeens aan dat Internet Explorer ook gebruikt kan worden als een explorer voor bestanden en mappen. Internet Explorer is wel als Administrater uit te voeren als je met rechts er op klikt dus heb ik een shortcut op mijn desktop geplaatst met daarin

code:

"C:\Program Files\Internet Explorer\IEXPLORE.EXE" C:\

Dit werkt ook perfect; enige nadeel wat er aan kleeft is dat je na alles wat je doet op F5 moet duwen om je wijziging te zien maar goed ik vind dat niet erg; anders was ik vaak tussen gebruikers aan het switchen om even wat rechten op een mapje te verkrijgen of om even een bestandje te verwijderen. Dit is hiermee opgelost

edit:

Je moet in de internet explorer die je hebt uitgevoerd als administrator natuurlijk niet gaan internetten als het niet nodig is (lees: windows update) anders heb je er nog niets aan om als user in te loggen

[ Voor 8% gewijzigd door GH45T op 19-10-2004 21:40 ]

[alt-92]

GH45T schreef op 19 oktober 2004 @ 21:37:
Vraag me niet waarom maar Windows XP maakt blijkbaar gebruik van 2 verschillende "Explorers":P 1 is de explorer.exe (welke volgens mij het visuele aan windows regelt) en 1 is de explorer (zonder extensie en hij regelt volgens mij het hele verkenner gebeuren) Als ik de door jouw aangeboden optie gebruik krijg ik ieder mapje wat ik dubbel aanklik in een nieuw venstertje te zien. Als ik dit zou doen zou ik gauw genoeg door de explorer venstertjes gek worden

* alt-92 gebruikt liever een commander-achtig ding + runas dan.
Bijkomend voordeel is ook dat je geen scriptable windowsshel meuk kan runnen omdat het een compleet standalone app is.

[elevator]

Anoniem: 113297 schreef op 19 oktober 2004 @ 21:31:
exact. je kan ook iexplore gebruiken als explorer. kijk ook eens even naar http://blogs.msdn.com/aaron_margosis/

Ik heb inderdaad die blog wel gezien (was ook mijn aanleiding om dit topic te starten eigenlijk) - maar ik heb schijnbaar volledig over dat artikel heen gekeken, maar het valt allemaal dus ook logisch te berenederen

[GH45T]

BackSlash32 schreef op 19 oktober 2004 @ 21:49:
[...]


* GH45T gebruikt liever een commander-achtig ding + runas dan.
Bijkomend voordeel is ook dat je geen scriptable windowsshel meuk kan runnen omdat het een compleet standalone app is.

Ja; daar heb je in principe wel gelijk in maar ik kan echt wel verstandig mijn bestanden verkennen hoor Ik heb dan 1 process administrator rechten gegeven en zolang ik dat proces van internet af houd kan het in principe weinig kwaad of ik moet een beetje gare bestanden gaan openen maar dat is niet mijn essentie; Ik weil gewoon wat shares en dergelijke kunnen maken terwijl ik geen administrator ben; ook wil ik af en toe een mapje verwijderen of hernoemen of wat dan ook; dan hoef ik me in principe niet zo druk te maken om onveilige scripts die mijn pc binnen komen dringen of zie ik iets over het hoofd?

[Anoniem: 13624]

GH45T schreef op 19 oktober 2004 @ 21:37:

edit:

Je moet in de internet explorer die je hebt uitgevoerd als administrator natuurlijk niet gaan internetten als het niet nodig is (lees: windows update) anders heb je er nog niets aan om als user in te loggen

Is er geen mogelijkheid om iexplore in een aparte mode op te starten (dmv command argumenten).
Rechts folder i.p.v. Niks of in mijn geval favorieten en dan natuurlijk in offline mode.
Zodat je niet opeens kan internetten zonder melding?

[beascob]

vervolg WXP Home bak omzetten.
vandaag mijn [admin] account omgezet naar nieuwe gebruiker zoals TS aangeeft.
systeem wordt 1,0 Gb groter....; De file en settingstransferwizard geeft netjes aan wat niet gelukt is...;(
maar het lijkt helemaal mijn oude settings, tot ik mijn niet MS programma's start.
een borland data engine weigert, hijackthis en spybot hebben geen rechten,en meer...
Dan maar uitzoeken en sleutelen aan de rechten van onder andere de gebruikersgroep op de C:program files en Doc/usersettings.

2 uur later ... de image er maar weer opgezet.

wat heb ik geleerd?

Ghost werkt in ieder geval uitstekend en WXP eigenlijk ook wel.
maar terug naar een gewoon account?
Bij mijn volgende verse installatie zal ik het vanaf het begin moeten opzetten.
Niet achteraf dus.

[GH45T]

beascob schreef op 20 oktober 2004 @ 22:45:
vervolg WXP Home bak omzetten.
vandaag mijn [admin] account omgezet naar nieuwe gebruiker zoals TS aangeeft.
systeem wordt 1,0 Gb groter....; De file en settingstransferwizard geeft netjes aan wat niet gelukt is...;(
maar het lijkt helemaal mijn oude settings, tot ik mijn niet MS programma's start.
een borland data engine weigert, hijackthis en spybot hebben geen rechten,en meer...
Dan maar uitzoeken en sleutelen aan de rechten van onder andere de gebruikersgroep op de C:program files en Doc/usersettings.

2 uur later ... de image er maar weer opgezet.

wat heb ik geleerd?

Ghost werkt in ieder geval uitstekend en WXP eigenlijk ook wel.
maar terug naar een gewoon account?
Bij mijn volgende verse installatie zal ik het vanaf het begin moeten opzetten.
Niet achteraf dus.

Je zult inderdaad wat moeite moeten doen om er aan te wennen; en het zal ook niet meteen allemaal lukken maar als je het eenmaal onder de knie hebt zul je zeer tevreden zijn met een user accountje en geen administrator rechten; je kunt werkelijk op de meest ongure websites rondsurfen zonder dat een virus of spyware programma enig vat krijgt op je computer. Je zult versteld staan hoe soepel een computer draait als je altijd als user inlogt.

[Anoniem: 113297]

MOmax schreef op 19 oktober 2004 @ 15:23:
Dan nu mijn veiligheidstip:
Laatst heb ik een "Adminstrator" passwd gekraakt met Pro-Active Windows Sec. etc. van Elcomsoft. Dat was niet heel moeilijk! Conclusie: zorg er voor dat je admin-passwd langer is als 14 karakters, liefst met vreemde tekens (anders dan cijfer/letters) en schakel het oudere LM-authenticatie protocol uit. Alleen dan is je admin-apsswd redelijk onkraakbaar.

niet enkel uitschakelen, maar de hashes ook nog een verwijderen:
www.toolcrypt.org - thrashlm

http://www.toolcrypt.org/tools/thrashlm/index.html

[elevator]

beascob schreef op 20 oktober 2004 @ 22:45:
maar het lijkt helemaal mijn oude settings, tot ik mijn niet MS programma's start.
een borland data engine weigert, hijackthis en spybot hebben geen rechten,en meer...
Dan maar uitzoeken en sleutelen aan de rechten van onder andere de gebruikersgroep op de C:program files en Doc/usersettings.

De File and Transfer settings wizard copieert je profiel - en dat je systeem dus groter wordt is inderdaad logisch (het is ook de manier om ervoor te zorgen dat je geen data verliest )

Daarnaast - dat Spybot en Hijackthis geen rechten meer hebben -- dat is volgens mij het hele idee achter niet meer inloggen als administrator? Dat je minder rechten hebt

[Anoniem: 114862]

Thuis log ik gewoon in als admin,

en de andere gebruikers thuis ook, heb wel een poosje de admin rechten weg gehaald, maar dat vonden ze toch niet zo leuk.

en poweruser zie ik alleen maar op mijn werk, voor mensen die het echt nodig hebben om bijvoorbeeld een software pakket te installeren wat wij zelf niet uitrollen.
Zodra dit gedaan is, zijn ze weer normale users.


ik zie er gewoon geen nut in, om thuis als normale user in te loggen, wat schiet ik er mee op?
Het is alleen maar vervelen als ik iets wil installeren (kan via runas, maar dit wil ook niet met elk softwarepakket)

[blizt]

Wat je er mee opschiet is vaak zat genoemd in dit topic njh....
Minder kans op spyware etc., zeker op 'n familiepc kan dat prettig zijn.

Overigens, vrijdag haal ik m'n nieuwe 200GB HD op - dus ook nieuwe install XP, dan ga ik ook vanaf het begin als user werken... Of misschien gebruik ik gewoon weer lekker Windows 2000 (denk het niet echter, gezien de boottijd vooral ).

[BadVibes]

Ik gebruik al jaren (sinds begindagen win2k) niet meer het Administrator account voor 'normaal' gebruik. Een paar shortcuts die met "Run as..." onder het Admin account gestart kunnen worden is voldoende voor wat IIS en Computer onderhoud. Programma's installeer ik 99% als Aministrator.

Nog een leuke en veilige tip (heb topic wat snel doorgelopen, weet niet zeker of ie langs is gekomen);

Je kan bij het login scherm (met alle namen/iconen van gebruikers) het Administrator account verbergen zodat niemand dit account ziet en dus ook niet bijv. het wachtwoord kan gokken.

Je gaat hiervoor naar de reg sleutel:

- HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Winlogon \ SpecialAccounts \ UserList \,
- Kiest nieuwe DWORD waarde,
- De waarde moet exact de Administrator accountnaam zijn (bij voorkeur niet standaard "Administrator".)
- en zet de waarde ervan op "0".

Start je computer opnieuw op en je Admin account (of ieder ander account) zal verborgen blijven.

Twee keer "Ctrl + Alt + Delete" zorgt ervoor dat je de standaard login box te zien krijgt, dan kun je dus als Admin inloggen.

[Anoniem: 114862]

je kan ook gewoon bij control panel>>user accounts use logon screen en fast user switching uitzetten, en dan in de "Local Security Policy" "disable CTRL+ALT+DEL requirement for logon" op disable zetten.

zet ook even "do not display last user name in logon screen" op enable,
en rename de administrator naam.

en ik heb in 1 maand misschien 1 spyware item, aangezien ik mozilla firefox gebruik.

[tweak_dude]

Ik probeer het draaien als normale user nu ook uit. Grotendeels werkt dit ook goed. 1 programma heb ik echter nog niet werkend gekregen: uIce, voor mijn afstandbediening. Dit programma laadt bij het starten een driver. Nu ik echter als user draai lukt dat niet meer. Reinstal onder user account (setup wel als admin moeten draaien) gedaan. Ook heb ik in de security policy editor de rechten voor het starten en stoppen van drivers toegevoegd aan mijn account. Dit helpt helaas niet. De enige manier waarop ik het programma aan de gang heb gekregen is door het als admin uit te laten voeren. Nadeel hiervan is dat ik iedere keer het admin wachtwoord op moet geven (wat opzich ook wel logisch is). Heb ik iets overzien of zit dit programma zo dwars dat ik wel admin moet draaien?

[DefaultUser]

tweak_dude schreef op 21 oktober 2004 @ 16:39:
Ik probeer het draaien als normale user nu ook uit. Grotendeels werkt dit ook goed. 1 programma heb ik echter nog niet werkend gekregen: uIce, voor mijn afstandbediening. Dit programma laadt bij het starten een driver. Nu ik echter als user draai lukt dat niet meer. Reinstal onder user account (setup wel als admin moeten draaien) gedaan. Ook heb ik in de security policy editor de rechten voor het starten en stoppen van drivers toegevoegd aan mijn account. Dit helpt helaas niet. De enige manier waarop ik het programma aan de gang heb gekregen is door het als admin uit te laten voeren. Nadeel hiervan is dat ik iedere keer het admin wachtwoord op moet geven (wat opzich ook wel logisch is). Heb ik iets overzien of zit dit programma zo dwars dat ik wel admin moet draaien?

Je zou eens met FILEMON en/of REGMON kunnen kijken wat dat programma allemaal wilt en niet kan als je het als normale user start...
Te downloaden bij http://www.sysinternals.com/.

[Motrax]

Vandaag de boel omgezet van admin naar gewone gebruiker, vanwege de veiligheid (laptop om mee te werken).

Op zich bevalt het wel, maar het volgende niet:
- Outlook, een standaard Office gebeuren moest handmatig worden overgezet qua e-mail enz. en alle instellingen en accounts
- Instellingen in heel Office terug naar af
- Zelf gemaakte sjablonen van o.a. Word zijn niet meegenomen Dat is iets om in de gaten te houden
- Sommige programma's even opnieuw moeten installeren
- Met Gebruikersaccounts moest ik eerst een nieuw admin aanmaken, vervolgens kon ik pas een normale gebruiker aanmaken. Met 'lusrmgr.ms' heb ik dit kunnen oplossen, maar dit was dus niet hetzelfde (wist ik niet ). Met lusrmgr.msc kan je ook de standaard 'Administrator' account een andere naam geven, met Gebruikersaccounts dus niet.
- Programma's installeren werkt goed met 'Run as', maar vergeet niet dat het met het deinstalleren ook moet, je kan de meest wazige foutmeldingen hiermee krijgen
- Met het overzetten van instellingen en bestanden werd verklaard dat Acrobat opnieuw moest worden geinstalleerd, maar het werkte gewoon goed.

Kortom: voor normaal gebruik en normale programma's is ingelogt zijn als normale gebruiker heel goed te doen.
Voor de uitzonderingen 'Run as' of even omloggen als admin (gaat snel met m'n laptopje )

Verder moet ik nog even uitzoeken hoe het met de netwerkinstellingen gaat, want ik zit zoooo vaak op andere netwerken enz. (draadloos, utp, routers, crosscable enz enz).

[ Voor 9% gewijzigd door Motrax op 01-11-2004 20:04 ]

[elevator]

Motrax schreef op 01 november 2004 @ 20:03:
- Outlook, een standaard Office gebeuren moest handmatig worden overgezet qua e-mail enz. en alle instellingen en accounts
- Instellingen in heel Office terug naar af
- Zelf gemaakte sjablonen van o.a. Word zijn niet meegenomen Dat is iets om in de gaten te houden

Je hebt naast de standaard Transfer Settings Wizard ook een Office transfer settings wizard - ik vermoed dat als je die gebruikt had dat je dat een boel werk had gescheeld?

[Motrax]

Wel snotverdriedubbeltjes... zoiets ja...
Nog nooit gezien. Weer wat geleerd. In Office 2003 heet het overigens 'Mijn instellingen opslaan' Nederlands natuurlijk.
Dat zou heeeel wat tijd hebben gescheeld...

Van netwerk veranderen of instellen is als normale gebruiker trouwens niet te doen. Misschien een run-as, of op een bepaalde service admin-rechten geven, maar daar heb ik geen verstand van...

[elevator]

Je kan een en ander automatiseren door middel van 'netsh' - als je dat koppelt in een batchfiletje (runas met de optie /savecred) kan je als het goed is vrij gemakkelijk switchen

[Anoniem: 114862]

@motrax:

onder administrative tools>>Computer Management>>Local users and groups kan je ook een user aanmaken (en als je wilt lid maken van administrators), en eventueel administrator hernoemen naar iets anders

[0siris]

Als gewone gebruiker kun je toch ook met shift-rechtermuisknop op een .exe klikken, dan kiezen voor "run as" / "uitvoeren als" en daar administrator credentials ingeven?
_{Of werkt dit alleen in een netwerk met een AD enzo ?}

[Anoniem: 114862]

0siris schreef op 03 november 2004 @ 10:57:
Als gewone gebruiker kun je toch ook met shift-rechtermuisknop op een .exe klikken, dan kiezen voor "run as" / "uitvoeren als" en daar administrator credentials ingeven?
_{Of werkt dit alleen in een netwerk met een AD enzo ?}

dit is ook mogelijk als er geen AD gebruikt wordt

[blizt]

Osiris: bedankt!
Ik heb hier "net" 'n 2k-bak geïnstalleerd en ik wist echt gewoon niet meer hoe je dan "run as" kon doen, had alleen nog geen zin/tijd gehad om te googlen.
Was dus gewoon shift ;x

[Wimmel]

Ik draai al enige tijd als non-admin. De rest van de familie is het nog nooit geweest tot Sims2 uitkwam. Zowel met regmon als met filemon gezocht, maar het niet zonder admin rechten aan de praat gekregen.

Oplossing:
Ik heb een nieuwe admin gebruiker aangemaakt. Dmv een aangepaste snelkoppeling wordt sims2 nu in een admin-context opgestart zonder dat de ingelogde gebruiker admin rechten heeft. Eventueel kun je met gpedit de rechten van dit account nog inperken.

Maak een snelkoppeling met een aangepast target (doel ?):

%systemroot%\system32\runas.exe /user:computernaam\adminusernaam /savecred "pad naar Sims2.exe"

De eerste keer dat je deze snelkoppeling gebruikt dien je het wachtwoord op te geven, daarna wordt dit onthouden door het systeem. Mijn familie weet dus niet het wachtwoord van een admin account.

Op deze wijze heb ik ook een 'admin explorer' en 'admin cmd-box' gemaakt, waardoor ik indien nodig vrij gemakkelijk systeemwijzigingen kan doorvoeren.

[SaURoN]

mja ik werk als domein user gewoon maar wel me zelf als local admin ingesteld en ja ben zelf systeembeheerder als ik admin nodig heb log ik dan wel weer in
thuis wel aparte account met admin rechten..Dit meer omdat ik nu eenmaal hele rechten structuur heb en geen zin heb het om te bouwen

[Anoniem: 114862]

ja psies,

maar ik ben ook systeembeheerder (tenminste in opleiding)
en als ik steeds zou moeten switchen tussen user account om bijvoorbeeld een user aan te maken, ben ik verkeerd bezig.

Als lokale admin kan je gewoon geen user accounts aanmaken in de nds

(dit kan zover ik weet ook niet onder AD )

[elevator]

Anoniem: 114862 schreef op 05 november 2004 @ 16:40:
maar ik ben ook systeembeheerder (tenminste in opleiding)
en als ik steeds zou moeten switchen tussen user account om bijvoorbeeld een user aan te maken, ben ik verkeerd bezig.

Dat is natuurlijk een wel erg luie instelling Als het goed is zit jij niet de hele dag users aan te maken dus heb ik persoonlijk veel twijfels erbij ofdat je echt wel het meerendeel van je tijd echt admin rechten nodig hebt

Maar goed - daar gaat dit topic dan ook over he - probeer het gewoon eens uit en ga eens op zoek naar manieren (scripts, registry aanpassingen, e.d.) die het leven als non-admin user bijna bet zo gemakkelijk maken als admin user. Maar dan wel met alle voordelen van geen admin user zijn

[Anoniem: 113297]

Wimmel schreef op 04 november 2004 @ 22:41:
Ik draai al enige tijd als non-admin. De rest van de familie is het nog nooit geweest tot Sims2 uitkwam. Zowel met regmon als met filemon gezocht, maar het niet zonder admin rechten aan de praat gekregen.

Oplossing:
Ik heb een nieuwe admin gebruiker aangemaakt. Dmv een aangepaste snelkoppeling wordt sims2 nu in een admin-context opgestart zonder dat de ingelogde gebruiker admin rechten heeft. Eventueel kun je met gpedit de rechten van dit account nog inperken.

Maak een snelkoppeling met een aangepast target (doel ?):

%systemroot%\system32\runas.exe /user:computernaam\adminusernaam /savecred "pad naar Sims2.exe"

De eerste keer dat je deze snelkoppeling gebruikt dien je het wachtwoord op te geven, daarna wordt dit onthouden door het systeem. Mijn familie weet dus niet het wachtwoord van een admin account.

Op deze wijze heb ik ook een 'admin explorer' en 'admin cmd-box' gemaakt, waardoor ik indien nodig vrij gemakkelijk systeemwijzigingen kan doorvoeren.

krijg je specifieke foutmeldingen als je het als gewone user probeert te draaien? het is namelijk wel opletten met de savecred switch: eenmaal deze ingegeven, kan de user daarna eender welk commando uitvoeren als administrator zonder het paswoord te hoeven ingeven.

ik gebruik deze switch ook, maar enkel voor users met nog minder rechten dan de gewone user (bv bij p2p programma's)

[TromboneFreakus]

Wimmel schreef op 04 november 2004 @ 22:41:

Maak een snelkoppeling met een aangepast target (doel ?):

%systemroot%\system32\runas.exe /user:computernaam\adminusernaam /savecred "pad naar Sims2.exe"

Op deze wijze heb ik ook een 'admin explorer' en 'admin cmd-box' gemaakt, waardoor ik indien nodig vrij gemakkelijk systeemwijzigingen kan doorvoeren.

Bedankt voor de tip. Aangezien velen - vooral dankzij de search - later nog op dit topic zullen terugkomen voor tips voor de helderheid de volgende aanvulling:

Maak een snelkoppeling naar

%systemroot%\system32\runas.exe /user:computernaam\adminusernaam /savecred "%systemroot%\system32\mmc.exe compmgmt.msc"

Voor eenvoudig computerbeheer. Bijna alles kun je hier al mee instellen: hardware, schijfbeheer, gebruikersbeheer, servicebeheer. De meeste probleemgevallen los je zo goed en veilig op.

De koppeling naar de commandprompt is erg handig, aangezien je op die prompt alle programma's kunt starten als Administrator met het commando 'start'. Dus bijv:

start explorer

Maak dezelfde snelkoppeling aan voor programma's als Ad Aware, Spybot Search & Destroy en andere spywaregerelateerde programma's. Dat maakt het verwijderen vermoedelijk net wat makkelijker, aangezien die software anders in een Administrator-user geladen wordt (terwijl S&D bezig is...). Overigens krijg je geen spywate als je consequent als gebruiker met beperkte rechten werkt....

Vult iemand even aan hoe je het softwareoverzicht oproept, dat is dan handig om omgewenste software snel te kunnen verwijderen....

[Anoniem: 113297]

het softwareoverzicht roep je op met 'control appwiz.cpl' in een runas, ofwel simpelweg control om het volledige controlpanel op te roepen

[TromboneFreakus]

Wat trouwens wel handig is: om problemen met de standaard administrator te voorkomen is het denk ik verstandig bij het 'run as' idee niet Administrator als gebruiker in te vullen, maar de naam van de door jezelf aangemaakte adminaccount. Gaat er immers iets mis met die account, dan kun je altijd nog met 2x ctrl-alt-del inloggen met de user Administrator.....

[Anoniem: 114862]

elevator schreef op 05 november 2004 @ 20:29:
[...]

Dat is natuurlijk een wel erg luie instelling Als het goed is zit jij niet de hele dag users aan te maken dus heb ik persoonlijk veel twijfels erbij ofdat je echt wel het meerendeel van je tijd echt admin rechten nodig hebt

Maar goed - daar gaat dit topic dan ook over he - probeer het gewoon eens uit en ga eens op zoek naar manieren (scripts, registry aanpassingen, e.d.) die het leven als non-admin user bijna bet zo gemakkelijk maken als admin user. Maar dan wel met alle voordelen van geen admin user zijn

is denk ik niet een luie instelling, maar een tijdbesparende

als ik moet inloggen om een user zijn wachtwoord te wijzigen ben ik gewoon te veel tijd kwijt!

Ik heb de hele dag rechten nodig om taken uit te kunnen voeren (in en uitloggen is ook niet echt efficient)

[TromboneFreakus]

Moderators: zien we het resutlaat van de discussie uiteindelijk terug in een van de FAQs of Howto's? Beveiliging van de pc's is immers telkens belangrijker.

En zonder mezelf op de brost te kloppen, wellicht ook iets doen met: Ervaringen: leken-proof installatie van Windows
??

[elevator]

Nee dat is niet de bedoeling dat het in de FAQ komt

[Shaidar]

Ik ben van plan volgend weekend m'n XP SP2 systeem opnieuw te installeren.

Nu log ik aan op XP met een user die administrator is (niet administrator zelf). Ik wil wel eens proberen om m'n PC als user (of poweruser) te gebruiken, en de administratie als administrator te doen (programma's installeren en dergelijke). Ik merk dat eens al m'n programma's geinstalleerd zijn, dat er daarna maar weinig meer bijkomt, en dat het vooral gebruik van de computer is... (office, communicatie, games, films/audio ...)

Dus: 'administrator' -> spreekt voor zich
en 'gewone user' -> kan programma's opstarten, games spelen, muziek luisteren,...

Nu had ik hierover enkele vragen:

- Zijn er mensen hier die op deze manier met hun PC werken? Wat zijn jullie ervaringen daaromtrend?

- Ik gebruik de Fast user switching mogelijkheid van XP. Stel dat ik aangelogd ben met m'n user, treden er dan problemen op als ik "fast switch" naar administrator, een programma installeer, daarna terug "fast switch" naar m'n gewone user, en het programma installeer?

- Kan er mij iemand zeggen wat de uiteindelijke bedoeling is van de "run as service"? Is dit bedoelt om programma's te installeren met administrative rights als je als gewone user bent aangelogd? (of heeft deze service geen echt doel?)

- Staat de NTFS security voor gewone users default al goed voor bijvoorbeeld de windows directory (ik denk aan alleen leesrechten, en geen schrijfrechten)? Of moet dat manueel nog allemaal in orde gezet worden?

[schnitzelcore]

Lees deze eens door...
Ervaringen: Niet inloggen als administrator onder Windows XP

[G33rt]

Twee replies gemerged met het andere topic

[Anoniem: 110288]

Leuk Topic!

Ik ben in XP net geswitched van admin naar poweruser. Ik heb alleen één groot probleem. Mijn run as werkt niet!! Als ik rechtermuisknop doe en dan run as, krijg ik mooi het venstertje met de mogelijkheid om als admin de toepassing uit te voeren. Als ik gewoon admin aanvink en password invul, krijg ik een melding dat de service niet geinstalleerd is. Hoe kan dit?

Voor de rest vind ik het helemaal niet slecht bevallen. Ik moet nu alleen eerst afmelden en dan weer inloggen als admin.

[Anoniem: 113297]

de service "secondary logon" moet gestart zijn.

[Bart©]

Ik snap eigenlijk niet waarom je een gebruiker ineens niet meer als Administrator in zou laten loggen. In eerdere versies van Windows (95,98 en ME) had men geen rechten en was iedere gebruiker 'administrator', of tenminste, een gebruiker kon alles en dat bleek (bijna) altijd goed te gaan. Ik zie de logica wel in een netwerkomgeving maar voor alle stand-alone thuis gebruikers is dat niet echt noodzakelijk, toch?

[schnitzelcore]

Als je verbonden bent met internet zit je toch ook in een netwerkomgeving?

[Gerco]

Sierra-NL schreef op dinsdag 23 november 2004 @ 10:51:
Ik snap eigenlijk niet waarom je een gebruiker ineens niet meer als Administrator in zou laten loggen. In eerdere versies van Windows (95,98 en ME) had men geen rechten en was iedere gebruiker 'administrator', of tenminste, een gebruiker kon alles en dat bleek (bijna) altijd goed te gaan.

In 98 hadden we nog geen spyware-explosie meegemaakt Als gewone user kun je het systeem niet slopen, je kunt (bijna) geen virussen en/of spyware krijgen omdat je alleen read-only toegang hebt tot de belangrijke systeemgebieden.

Tot zover de theorie, helaas werkt het niet altijd even fijn en vereisen redelijk wat programmas admin rechten of iig rechten op bepaalde plaatsen in de registry en in hun eigen appdir. Met wat gepiel zijn de meeste dingen echter wel werkend te krijgen.

1 van de dingen die ik hinderlijk vond aan het werken als niet-admin op Windows t.o.v op *nix is dat je in *nix even een nieuwe terminal opent, su't en je kan alles. In Windows moet je echt stoppen met je werkzaamheden, uitloggen, inloggen als Admin, werken en weer de andere kant op. Shortcuts naar een admin cmd prompt en fast user switching lossen daar een hoop van op, maar toch laat het gevoel me niet los dat het met Windows niet de bedoeling van MS is geweest om met beperkte rechten te werken en op *nix is dat vanaf het begin de bedoeling geweest.

[elevator]

Gerco schreef op dinsdag 23 november 2004 @ 13:26:
Shortcuts naar een admin cmd prompt en fast user switching lossen daar een hoop van op, maar toch laat het gevoel me niet los dat het met Windows niet de bedoeling van MS is geweest om met beperkte rechten te werken en op *nix is dat vanaf het begin de bedoeling geweest.

Ik ben bang dat het niet zo zeer te maken heeft met 'de bedoeling van MS' - maar meer met het feit dat veel applicaties er niet voor geschikt zijn (waaronder een boel MS applicaties natuurlijk)

Het OS zelf (Windows) is wel degelijk hierop gemaakt (denk aan Terminal Services wat in feite hetzelfde is)

[ Voor 9% gewijzigd door elevator op 23-11-2004 13:32 ]

[jordan2k]

Zeker intresant topic.

hier op mn werk draait iedereen local admin rechten op zijn of haar pc omdat het ERP pakket en lotus notes niet opstart zonder deze rechten...

Thuis heb ik het netjes verdeeld in wat men echt nodig heeft. je kan eigenlijk voor iedere gebruiker andere rechten uitdelen.

[Gerco]

elevator schreef op dinsdag 23 november 2004 @ 13:32:Ik ben bang dat het niet zo zeer te maken heeft met 'de bedoeling van MS' - maar meer met het feit dat veel applicaties er niet voor geschikt zijn (waaronder een boel MS applicaties natuurlijk)

Wat ik bedoelde was meer de admin tools en dergelijke. Alles gaat er vanuit dat je echt als een admin account inlogd en je admin werk gaat doen ipv 1 app opstart onder een admin context vanuit een beperkte account.

Ik weet dat daar goede voorzieningen voor zijn dmv shortcuts en dergelijke, maar dat blijven voor mij als workarounds aanvoelen. Het voelt alsof ik dan "eromheen" zit te werken, "het werkt wel, maar". Echt een feitelijke basis heeft het niet meer denk ik, waarschijnlijk een overblijfsel uit het verleden, toen het allemaal half werkte.

Nu heb ik al een tijdje geen Windows bak meer beheerd aangezien ik plm een jaar geleden op desktop linux ben overgestapt. Op mn werk nog wel Windows, maar daar verander ik eigenlijk nooit iets aan de settings van de bak. Ik restart de webserver en sql server regelmatig, maar daar blijft het wel bij, ik ben btw wel local admin op die computer.

[Anoniem: 110288]

Anoniem: 113297 schreef op dinsdag 23 november 2004 @ 10:47:
de service "secondary logon" moet gestart zijn.

Oke bedankt, die heb ik er met n-lite uitgesloopt.

Trouwens zomaar een idee wat bij me op kwam op het gebied van spyware-bestrijding. Is het niet handig om gewoon als admin of poweruser in te loggen en dan IE te runnen als gebruiker met beperkte rechten?

[Zaggy]

Hallo, ik ben op de frontpage dit verhaal tegengekomen

Gepost door Fonk - zaterdag 12 februari 2005 - 05:41 Score: 1
Ik weet dat het een beetje off topic is.. maar ik las net iets over Admin rechten

Zelf heb ik daar ook vaak last van.. maar als het mag wil ik graag een tip delen.

Als je in het start menu namelijk naar de dos prompt gaat en gaat op die link staan (in het start menu dus niet uitvoeren nog) dan rechter knop en uitvoeren als....

Dan type je Administrator en je pass in.. als je command dan opend.. heb je een console (dos) in admin draaien.

Waarom ik dit een handig iets vind is omdat als ik naar bijv C:\Program files\Internet Explorer ga.. en dan gewoon iexplorer.exe in die dos box sleep

Dan start Internet Explorer onder Admin, maar het mooie is dan als je bij adres : Deze Computer ingeeft.. je dus gewoon in explorer zit MET Admin.

Handig toch? om te installeren zonder alles te moeten invullen als Run As...

Tuurlijk weet ik niet of als je een dosbox op deze manier als admin draait, je dan erg vatbaar bent voor de gevaren die je met een full admin account hebt.

Geen idee.. soms heb ik zo iets van pfff.. ik log gewoon als Admin in.. Maar de dos box tip is misschien voor wat tweakers een idee

En je kan dan checken als er bij explorere dus Deze Computer boven aan staat - Internet Explorer dan weet je dus dat DAT je Admin versie is.

Je kan ook de dos box rood maken, zodat je dsan weet van okee.. das Admin


En dan gewoon minimalizeren en klaar.

Meestal zet ik heb weer uit .. gewoon /Exit. Het enige wat je moet hebben draaien is natuurlijk Secondairy logon service.

Maar als je die service op Manual zet.. start ie dus op met de dosbox truck o.a.

Je kan hem daarna niet stoppen denk ik als user.. in services.. maar ik geloof dat secondairy logon niet zo schadelijk is voor aanvallen.

//

Probleem met Adaware is dat veel mensen het installeren terwijl als je erg goed oplet.. en je virusscanner op 100% kracht zet.. je soms geen eens adaware nodig hebt.

Ik draai altijd en al jaren AVP Monitor, zelfs op Windows server.. nog nooit last gehad van spyware.

Ondanks alles is het wel een vervelende zaak weer om dit te moeten lezen.

En het werkt perfect, en het lijkt me handig als ik dit scherm steeds bij het opstarten geminimaliseerd krijg , heeft iemand een idee hoe ik dit zou kunnen doen.

[ Voor 4% gewijzigd door Zaggy op 12-02-2005 11:27 ]

[Anoniem: 19199]

Misschien zit ik te

Waarom start ie niet gewoon iexplore.exe met RunAs?

[Zaggy]

Mja bijvoorbeeld , maar is er een commando om een programma met admin rechten op te starten?

[Anoniem: 20531]

runas onder cmd ?

[Zaggy]

[Greenstick]

Zaggy schreef op zaterdag 12 februari 2005 @ 11:48:
Mja bijvoorbeeld , maar is er een commando om een programma met admin rechten op te starten?

Je hebt er een scriptje in VBscript voor, dat staat hier wel ergens op het forum. Ik geloof in een topic over The Sims 2, want die moet je als administrator draaien, en aangezien velen de kinders niet als administrator op het systeem willen toelaten, komt dat nogal van pas .
Maar je kunt het dus ook gewoon handmatige met Runas doen

[Anoniem: 19199]

Ben op een idee gebracht!!!

Doe het volgende: maak een snelkoppeling en start als programma:
runas /noprofile /user:[compunaam]\administrator "C:\Program Files\Internet Explorer\iexplore.exe"

Noem 'm Admin Internet Explorer en draai 'm

Je krijgt nu een dos box waarin je het admin password inklopt en daarna start iexplore met admin rechten en je dos box is weer pleite!


Nice

[ Voor 7% gewijzigd door Anoniem: 19199 op 12-02-2005 11:59 . Reden: Volledig pad van iexplore dient opgenomen te worden ]

[Greenstick]

Anoniem: 19199 schreef op zaterdag 12 februari 2005 @ 11:57:
Ben op een idee gebracht!!!

Doe het volgende: maak een snelkoppeling en start als programma:
runas /noprofile /user:[compunaam]\administrator iexplore.exe

Noem 'm Admin Internet Explorer en draai 'm

Je krijgt nu een dos box waarin je het admin password inklopt en daarna start iexplore met admin rechten en je dos box is weer pleite!


Nice

Hmm ja, maar dat kan dus ook met een scriptje (dat werkt dus ook met RunAs) zodat je je admin password niet eens meer hoeft op te geven (want die zet je in de code)

[3dfx]

Greenstick schreef op zaterdag 12 februari 2005 @ 11:53:
Ik geloof in een topic over The Sims 2, want die moet je als administrator draaien, en aangezien velen de kinders niet als administrator op het systeem willen toelaten, komt dat nogal van pas .

Sims 2 is inmiddels ook als 'gewone' user te spelen als je de patch/update van EA installeert.

[Anoniem: 19199]

Greenstick schreef op zaterdag 12 februari 2005 @ 12:00:
[...]
zodat je je admin password niet eens meer hoeft op te geven (want die zet je in de code)

Waarom geef jij je Admin eigenlijk een wachtwoord?

[Zaggy]

Greenstick schreef op zaterdag 12 februari 2005 @ 12:00:
[...]


Hmm ja, maar dat kan dus ook met een scriptje (dat werkt dus ook met RunAs) zodat je je admin password niet eens meer hoeft op te geven (want die zet je in de code)

Welk script?

runas /user:hostname\username cmd

werkt goed, maar ik te ben lui word moe er van steeds dat wachtwoord invoeren.

[Greenstick]

Anoniem: 19199 schreef op zaterdag 12 februari 2005 @ 12:03:
[...]


Waarom geef jij je Admin eigenlijk een wachtwoord?

...waarna je hem versleuteld

Nog even de code:

code:

On Error Resume Next
dim WshShell,oArgs,sUser,sPass,sCmd,ProcessName
' ----------------------------
' configuratie variabelen
' ----------------------------
' sUser = Account
' sPass = Wachtwoord
' sCmd =  Pad naar commando bijv. cmd, mmc, regedit etc.
' ----------------------------
sUser="Administrator"
sPass="het administrator wachtwoord"
sCmd="Sims2.exe"
' ----------------------------
' Uitvoering
' ----------------------------
set oArgs=wscript.Arguments
set WshShell = CreateObject("WScript.Shell")
set WshEnv = WshShell.Environment("Process")
WinPath = WshEnv("SystemRoot")&"\System32\runas.exe"
set FSO = CreateObject("Scripting.FileSystemObject")
if FSO.FileExists(winpath) then
'wscript.echo winpath & " " & "verified"
else
wscript.echo "!! Foutmelding !!" & VBCRLF & "Kan " & winpath &" niet 
vinden of verifieren." & VBCRLF & "Je moet minstens Windows 2000 draaien 
anders werkt dit script niet."
set WshShell=Nothing
set WshEnv=Nothing
set oArgs=Nothing
set FSO=Nothing
wscript.quit
end if
rc = WshShell.Run("runas /user:" & sUser & " " & CHR(34) & sCmd & CHR(34), 2, FALSE)
wscript.Sleep 100    'even wachten tot het scherm geopend is
WshShell.AppActivate(WinPath) 'dos-prompt window activeren
wscript.Sleep 100       'nog even wachten..
WshShell.SendKeys sPass & "{ENTER}" 'Wachtwoord naar dos-prompt sturen
'set WshShell=Nothing
'set oArgs=Nothing
'set WshEnv=Nothing
'set FSO=Nothing
'wscript.quit

Je past even de waardes in de code aan (je eigen admin ww enzo ) en dan test je hem. Als hij werkt, dan versleutel je het script met Script Encoder

[ Voor 81% gewijzigd door Greenstick op 12-02-2005 12:21 ]

[Anoniem: 19199]

Greenstick schreef op zaterdag 12 februari 2005 @ 12:06:
[...]
...waarna je hem versleuteld

Hoe doe je dat dan, met de sleutel van de huidige gebruiker, waarmee ie dus ook weer te decrypten is?