Unter Windows® 7 wird ein einfacher Mechanismus zum Ausführen von Endbenutzerkonten mit Standardbenutzerberechtigungen bereitgestellt, der es ermöglicht, dass zum Ausführen häufiger Aufgaben, z. B. Installieren eines Druckertreibers oder Herstellen einer Verbindung mit einen Drahtlosnetzwerk, keine Administratorberechtigungen mehr erforderlich sind. Diese grundlegende Änderung hilft dabei, die Sicherheit auf der Ebene des Betriebssystems aufrechtzuerhalten, indem schädliche Software (so genannte Malware) und Rootkits davon abgehalten werden, untenehmensweit Dateien und Einstellungen zu beschädigen.

Die Benutzerkontosteuerung (User Account Control, UAC) beruht auf der Sicherheitstheorie der geringsten Rechten, einem Konzept, nachdem die Benutzer die geringstmöglichen Rechte zur Durchführung ihrer Aufgaben haben sollten. Zu den Änderungen im Subsystem für UNIX-basierte Anwendungen, die mit der Benutzerkontosteuerung kompatibel sind, zählt auch die Verwendung des Benutzerkontos mit den geringsten Rechten (Least-privilege User Account, LUA).

Benutzerkontosteuerung

Die Benutzerkontensteuerung ist ein Sicherheitsfeature in Windows 7, das in Windows Vista eingeführt wurde.

Das primäre Ziel der Benutzerkontensteuerung ist es, die Angriffsfläche des Betriebssystems Windows 7 zu reduzieren, indem für alle Benutzer ein Standardbenutzermodus gilt und der Administratorzugriff auf autorisierte Prozesse beschränkt wird. Diese Beschränkung minimiert die Möglichkeiten der Benutzer, Änderungen durchzuführen, die die Computer destabilisieren oder das Netzwerk durch unerkannt auf dem Computer installierte schädliche Software unbeabsichtigt Viren aussetzen könnten.

Standardmäßig wird unter Windows 7 jede Anwendung als Standardbenutzer ausgeführt, auch wenn der aktuelle Benutzer sich als Mitglied der Administratorengruppe angemeldet hat. Im umgekehrten Fall, wenn Benutzer eine Anwendung starten möchten, für die Administratorberechtigungen erforderlich sind, werden sie von Windows 7 aufgefordert, ihre Absicht zu bestätigen. Nur Anwendungen, die mit Administratorrechten ausgeführt werden, können globale und Systemeinstellungen und das Verhalten ändern.

Weitere Informationen zur Benutzerkontensteuerung finden Sie auf der Microsoft-Website im Thema "Verstehen und Konfigurieren der Benutzerkontensteuerung in Windows Vista" unter https://go.microsoft.com/fwlink/?LinkId=70242 (möglicherweise in englischer Sprache).

Benutzerkontosteuerung und geringste Rechte im Subsystem für UNIX-basierte Anwendungen

Wenn ein Benutzer des Subsystems für UNIX-basierte Anwendungen, der Mitglied der Administratorengruppe ist, eine Anwendung, eine Shell oder einen anderen Task startet, werden die Anwendungen im Sicherheitskontext des Standardbenutzers ausgeführt.

Das folgende Beispiel zeigt, wie die Benutzerkontosteuerung Benutzer, die Mitglieder der Administratorengruppe sind, daran hindert, administrative Aufgaben ohne erhöhte Rechte durchzuführen.

Benutzer A ist Mitglied der Administratorengruppe und möchte ein neues Verzeichnis mit dem Namen test im Stammverzeichnis (/) erstellen. Das Erstellen neuer Verzeichnisse im Stammverzeichnis ist nur Mitgliedern der Administratorengruppe erlaubt. Obwohl Benutzer A Mitglied der Administratorengruppe ist, kann er das neue Verzeichnis aufgrund der LUA-Einschränkungen nicht erstellen. Benutzer A öffnet eine Korn-Shell mit erhöhten Rechten und ist berechtigt, das Verzeichnis test im Stammverzeichnis zu erstellen.

Um eine Anwendung oder eine Aufgabe mit erhöhten Rechten auszuführen, richten Sie sich nach den folgenden Anweisungen.

So wird es gemacht: Ausführen einer Anwendung als Administrator

Wenn das Subsystem für UNIX-basierte Anwendungen und sein Downloadpaket mit Tools und Hilfsprogrammen installiert sind, gibt es zwei Möglichkeiten, um eine Anwendung als Administrator auszuführen.

Verwenden der Windows-Benutzeroberfläche

Verwenden einer UNIX-basierten Befehlszeile

Mithilfe der Windows-Benutzeroberfläche

Um in der Windows-Benutzeroberfläche eine Anwendung auszuführen, die Administratorrechte erfordert, führen Sie die folgenden Schritte durch.

So führen Sie in der Windows-Benutzeroberfläche eine Anwendung als Administrator aus
  1. Klicken Sie mit der rechten Maustaste auf die ausführbare Datei der Anwendung.

  2. Klicken Sie im Kontextmenü auf Als Administrator ausführen.

Mithilfe einer UNIX-basierten Befehlszeile

Um in der UNIX-basierten Korn-Shell-Umgebung eine Anwendung auszuführen, die Administratorrechte erfordert, führen Sie die folgenden Schritte durch.

So führen Sie in einer Korn-Shell eine Anwendung als Administrator aus
  1. Klicken Sie auf Start, auf Alle Programme und auf Subsystem für UNIX-basierte Anwendungen, und zeigen Sie auf Korn-Shell.

  2. Klicken Sie mit der rechten Maustaste auf Korn-Shell, und klicken Sie dann auf Als Administrator ausführen.

  3. Wenn Sie dazu aufgefordert werden, zu bestätigen, dass die Shell als Administrator ausgeführt werden darf, klicken Sie auf Ja.

  4. Führen Sie das Programm aus, das Administratorrechte erfordert.

  5. Nachdem Sie die Anwendung ausgeführt haben, die erhöhte Rechte erfordert, schließen Sie die Shellsitzung.

    Um in der UNIX-basierten Shellumgebung andere Aufgaben auszuführen, die keine Administratorrechte benötigen, öffnen Sie eine neue Shellsitzung, ohne den Befehl Als Administrator ausführen zu verwenden.

EnableSuToRoot (Registrierungsschlüssel)

Die Benutzerkontosteuerung ist standardmäßig aktiviert. Anwendungen oder Tasks, die bei aktivierter Benutzerkontensteuerung die Identität eines anderen Benutzers annehmen, der Mitglied der Administratorengruppe ist (beispielsweise durch Verwenden der Hilfsprogramme su, cron oder login, setuid oder eines beliebigen Aufrufs aus der setuid oder exec_asuser-Familie), werden immer im Sicherheitskontext eines Standardbenutzerkontos ausgeführt.

Hinweis

Wenn eine Anwendung die Identität eines Standardbenutzers übernimmt, verfügt sie über dessen vollständigen Sicherheitskontext. Weitere Informationen über Standardbenutzer finden Sie auf der Microsoft-Website unter dem Artikel zu empfohlenen Vorgehensweisen für Entwickler und Richtlinien für Anwendungen in Umgebungen mit geringsten Rechten (https://go.microsoft.com/fwlink/?LinkId=70243, möglicherweise in englischer Sprache).

Mit den Standardeinstellungen kann eine Anwendung die Identität des Benutzers root nicht annehmen. Sie können dieses Verhalten kontrollieren, indem Sie den Registrierungsschlüssel HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SUA\EnableSuToRoot ändern.

So wird es gemacht: Ändern des Registrierungsschlüssels "EnableSuToRoot"

Wichtig

Das Administratorkonto unter Windows 7 und Windows Server 2008 R2 ist standardmäßig deaktiviert, um Computer und Daten vor dem Zugriff durch nicht autorisierte oder böswillige Benutzer zu schützen. Das Administratorkonto muss jedoch aktiviert sein, damit Benutzer die Identität des Root-Benutzers oder Administrators annehmen können. Da das Administratorkonto zuerst aktiviert werden muss, um die Einstellung des Registrierungsschlüssels EnableSuToRoot zu ändern, werden im Folgenden die dafür notwendigen Schritte erläutert. Sie müssen Mitglied der Administratorengruppe auf dem lokalen Computer sein, um das folgende Verfahren ausführen zu können.

So aktivieren Sie das Administratorkonto
  1. Klicken Sie auf Start, klicken Sie mit der rechten Maustaste auf Computer, und klicken Sie dann auf Verwalten.

  2. Öffnen Sie Lokale Benutzer und Gruppen im Hierarchiebereich des Snap-Ins Computerverwaltung.

  3. Wählen Sie Benutzer.

  4. Klicken Sie im Ergebnisbereich mit der rechten Maustaste auf Administrator, und klicken Sie dann auf Eigenschaften.

  5. Deaktivieren Sie das Kontrollkästchen für die Option Konto ist deaktiviert.

  6. Klicken Sie auf OK.

  7. Schließen Sie das Fenster Eigenschaften, und schließen Sie dann das Snap-In Computerverwaltung.

Führen Sie die folgenden Schritte aus, um die Einstellung des Registrierungsschlüssles EnableSuToRoot nach der Installation des Subsystems für UNIX-basierte Anwendungen zu ändern.

So ändern Sie die Einstellung des Registrierungsschlüssels "EnableSuToRoot"
  1. Klicken Sie auf Start, klicken Sie in das Textfeld Suche starten und geben Sie regedit ein, um den Registrierungs-Editor zu öffnen.

  2. Öffnen Sie im Hierarchiebereich den Registrierungsschlüssel HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SUA.

  3. Doppelklicken Sie im Ergebnisbereich auf EnableSuToRoot.

  4. Geben Sie im Feld Wertdaten den Wert 0 ein, um die Übernahme der Identität des root-Benutzers zu verweigern, bzw. 1, um sie zuzulassen.

    Die Standardeinstellung lautet 0.

  5. Klicken Sie auf OK.

  6. Schließen Sie den Registrierungs-Editor. Speichern Sie Ihre Änderungen, wenn Sie dazu aufgefordert werden.

Wenn der Wert dieses Schlüssels auf 0 gesetzt ist (Standardeinstellung), ist eine Übernahme der Identität des root-Benutzers nicht möglich. Ist der Wert auf 1 gesetzt, ist die Übernahme der Identität des root-Benutzers zugelassen. Wenn eine Anwendung die Identität des root-Benutzers oder eines Administratorkontos übernimmt, hat sie den administrativen Sicherheitskontext des root-Benutzers (Administrators).

"Setuid" und Administratorrechte

Benutzer, die Mitglied der Administratorengruppe sind, können Anwendungen nur dann mit dem Attribut setuid kennzeichnen, wenn sie zum Ausführen von Anwendungen und Tasks im administrativen Sicherheitskontext berechtigt sind.

Anhand des folgenden Beispiels wird das Kennzeichnen der Binärdatei /bin/regpwd veranschaulicht, die normalerweise mit dem Attribut setuid gekennzeichnet ist:

  1. Öffnen Sie nach den Anweisungen in diesem Thema eine Korn-Shell (ksh) mit erhöhten Rechten.

  2. Geben Sie chmod +s /bin/regpwd ein, und drücken Sie dann die EINGABETASTE.

  3. Geben Sie exit ein, um die ksh-Sitzung zu schließen.

Siehe auch