|
Mit dem Programm Benutzermanager oder Benutzermanager für Domänen kann man die Administrationsarbeit leicht erledigen.
Man kann:
. Neue Benutzer anlegen
. Neue lokale Gruppen anlegen
. Neue globale Gruppen anlegen
. Gruppen und Benutzer verwalten
. Richtlinien für Benutzerkonten festlegen
. Richtlinien für Benutzerrechte festlegen
. Richtlinien für die Überwachung festlegen
. Vertrauensstellungen zwischen Domänen einrichten
Nach dem Aufrufen des Benutzer-Managers sieht man eine Liste der Benutzer und Gruppen, die bei Windows NT bereits definiert sind. Einige Benutzergruppen und Benutzer sind bereits vom System definiert. Diese kann man zum Teil anpassen, in manchen Fällen muß man solche Anpassungen sogar vornehmen, um ein sicheres System einzurichten.
Um auf Windows NT zugreifen zu können benötigt man ein Benutzerkonto das Informationen wie
. Benutzername, vollständiger Name
. Kennwort
. Anmeldezeiten
. Profil, Kontentyp, etc. enthält.
Vordefinierte Benutzer sind z.B. der Administrator und der Gast, die bereits bei der Installation von Windows NT angelegt werden.
Das Administratorkonto ist der zunächst wichtigste Benutzer, da er alle zur Verwaltung eines Computers oder einer Domäne benötigten Rechte besitzt.
Das Konto selbst kann nicht gelöscht werden, es kann jedoch umbenannt werden, was auch ratsam ist.
Wenn man den Namen dieses Kontos unverändert beläßt, ist die Gefahr eines unbefugten Eindringens in das Netzwerk deutlich größer, da damit zumindest schon einmal der Benutzername eines Administrators bekannt ist und nur noch das Kennwort dazu ermittelt werden muß. Ebenso wie er sich nicht löschen läßt, kann der Benutzer Administrator auch nicht aus der vordefinierten Gruppe Administratoren entfernt werden.
Das Gastkonto hingegen wird zwar bei der Installation angelegt, ist bei einem Windows NT Server aber standardmäßig deaktiviert. Bei einer Workstation ist dies nicht der Fall. Aus Sicherheitsgründen sollte man es auch dort sperren, da sich sonst jeder unter diesem Konto ohne Kennwort anmelden kann.
Dieses Konto besitzt sehr wenige Berechtigungen, so daß ein Benutzer, der unter diesem Konto angemeldet ist, zumindest keinen Schaden anrichten kann. Er besitzt allerdings unter Umständen die Möglichkeit, auf Daten (lesend) zuzugreifen.
Für das Anlegen neuer Benutzer ist es zunächst wichtig, sich zu überlegen, wer alles als Benutzer definiert werden soll. In der Regel wird für jeden Benutzer auch ein Benutzerkonto definiert. Jedoch sollte man nicht jeden Benutzer einzeln definieren, sondern damit beginnen die Benutzer mit ähnlichen Einstellungen zunächst einmal zu definieren und anschließend zu klonen.
Damit kann man sich viel Arbeit sparen, da zum Beispiel die Benutzerrechte, Gruppenzugehörigkeiten und andere Informationen eines Benutzers übernommen werden. Man muß nur noch individuelle Werte wie den Benutzernamen und Kommentare für jeden Benutzer eingeben.
Grundsätzlich teilt sich das Programmfenster des Benutzermanagers in zwei Bereiche:
1.1.1 Benutzerkonten
Der obere Teil des Fensters listet alle Benutzerkonten der Domäne auf. Man sieht den eigentlichen Benutzernamen, der bei der Anmeldung zu vergeben ist. Daneben ist Platz für die Darstellung des vollständigen Namens und eine Beschreibung für das Benutzerkonto.
1.1.2 Gruppenkonten
Globale Gruppen werden definiert, um Benutzer zusammenzufassen.
Lokale Gruppen werden definiert, um diesen Berechtigungen zuzuordnen.
1.1.3 Benutzerkonto-Richtlinien:
Damit regelt man, wie Benutzer ihre Kennwörter verwenden müssen. Die Richtlinien tragen entscheidend zur Sicherheit des Netzwerkes bei.
Die Einstellungen gelten für alle Konten in der Domäne.
Hier kann man z.B. Beschränkungen für das Kennwort angeben. Außerdem kann man hier auswählen, ob das Konto gesperrt werden soll oder nicht.
1.1.4 Benutzerrechte-Richtlinien:
Damit vergibt man Rechte an Benutzer oder Gruppen. Mit einem Recht ist die Möglichkeit verbunden, eine bestimmte Aktion im System durchzuführen. Meldet sich ein Benutzer an einem Konto an, dem das entsprechende Recht gewährt ist, kann er die betreffende Aktion ausführen. Falls einem Benutzer ein bestimmtes Recht nicht gegeben ist, verweigert Windows NT die Ausführung bestimmter Aktionen.
Um Benutzern neue Rechte zu geben, muß nur der lokalen Gruppe die gewünschte zusätzliche Berechtigung zugeordnet werden. Ebenso lassen sich Berechtigungen genau so leicht wieder entfernen, indem diese einfach der lokalen Gruppe genommen werden.
Sollen sich solche Veränderungen nicht auf alle Benutzer beziehen, können die Änderungen auch durch eine Änderung der Zuordnung von globalen Gruppen zu lokalen Gruppen durchgeführt werden.
Benutzerrechte dürfen nur von Administratoren vergeben und verwaltet werden.
1.1.4.1 Rechte:
Ein Recht betrifft das gesamte System. (z.B. wirkt sich das Ändern der Systemzeit auf alle Stationen der Domäne aus)
1.1.4.1.1 Zugriffsrechte:
Zugriffsrechte regeln die Möglichkeiten der Benutzer auf die Ressourcen des Systems oder Netzwerk zuzugreifen (zB Verzeichnisse und Drucker).
1.1.4.1.2 Systemrechte:
Systemrechte gewähren einem Benutzer die Möglichkeit, an dem betreffenden System bestimmte Aktionen durchzuführen oder Werte zu ändern. Dazu gehören zB Treiber in das System zu laden oder zu entfernen, Ändern der Systemzeit, Herunterfahren es Systems und ähnliches.
Die Systemrechte werden im Benutzermanager unter dem Menü Richtlinien - Benutzerrechte verwaltet. (Angezeigt werden hier jedoch nur die Standard-Benutzerrechte; tatsächlich existieren noch weitere Berechtigungen, die man erhält, indem man das Kontrollkästchen "weitere Benutzerrechte anzeigen" aktiviert. )
1.1.4.2 Berechtigungen:
Eine Berechtigung betrifft ein bestimmtes Objekt. (z.B. wird einem Benutzer die Berechtigung erteilt, seine Dateien auf einem bestimmten Drucker auszudrucken)
Rechte, die im Zusammenhang mit dem normalen Netzbetrieb stehen, sind z.B.
. Ändern der Systemzeit,
. Herunterfahren von einem Fernsystem aus
. Laden und Entfernen von Gerätetreibern
. Hinzufügen von Arbeitsstationen zur Domäne
. Lokale Anmeldung
. Sichern von Dateien und Verzeichnissen, etc.
Zugriffsrechte im System und Benutzerrechte werden ausschließlich lokalen Gruppen zugeordnet. Damit ist eindeutig, welcher Art von Gruppe Rechte gegeben werden.
Globale Gruppen, die nur in der Domäne definiert werden können, werden ausschließlich für die Zusammenfassung von Benutzern verwendet. Diesen werden aber keine Rechte zugeordnet.
|
