M 4.51 Benutzerprofile zur Einschränkung der Nutzungsmöglichkeiten von Windows NT
Verantwortlich für Initiierung: Leiter IT, IT-Sicherheitsmanagement
Verantwortlich für Umsetzung: Administrator
Benutzerprofile dienen der Speicherung von benutzerspezifischen Einstellungen der Benutzerumgebung. Dies ist u. a. der Inhalt von Programmgruppen, die Netzwerk- und Druckerverbindungen und die farbliche Darstellung des Bildschirms. Weiterhin können über Benutzerprofile die Möglichkeiten der Benutzer, mit Windows NT zu arbeiten, in verschiedener Hinsicht eingeschränkt werden. Die Verwaltung der Profile erfolgt mit dem Benutzerprofil-Editor (UPEDIT.EXE unter Windows NT 3.51 bzw. POLEDIT.EXE unter Windows NT 4.0).
Benutzerprofile können für verschiedene Einsatzzwecke erstellt werden:
- um bei Single-User-Systemen nach einer erneuten Anmeldung die ursprünglich festgelegten Einstellungen wiederherzustellen,
- um bei Multi-User-Systemen für jeden Benutzer eigene Einstellungen festzulegen,
- damit bei server-gespeicherten Benutzerprofilen jeder Benutzer von jeder NT-Workstation aus dieselbe Oberfläche erhält,
- um einheitliche Benutzerumgebungen zentral vorzugeben (sowohl bei Stand-alone-Systemen als auch bei vernetzten),
- um eine eingeschränkte Benutzerumgebung einzurichten, beispielweise um zu verhindern, dass Benutzer Änderungen an Desktop-Einstellungen vornehmen, oder den Zugriff auf die Systemsteuerung einzuschränken.
Grundsätzlich muss zwischen lokalen und server-gespeicherten Benutzerprofilen unterschieden werden. Lokale Benutzerprofile werden nur auf dem lokalem IT-System abgelegt, während server-gespeicherte Benutzerprofile zentral auf dem NT-Server verwaltet werden.
Fällt bei Verwendung von server-gespeicherten Benutzerprofilen der Server aus, dann wird auf die lokale Kopie zurückgegriffen.
Daneben muss zwischen persönlichen und verbindlichen Benutzerprofilen unterschieden werden. Persönliche Benutzerprofile sind vom Benutzer beliebig änderbar, verbindliche werden vom Administrator vorgegeben.
Verbindliche Profile bleiben von einer Sitzung zur nächsten erhalten, während einer Sitzung durchgeführte Veränderungen gehen beim Abmelden verloren. Diese Profile werden in dem Verzeichnis abgelegt, der im Profileintrag des betreffenden Kontos angegeben ist, und sie tragen unter der Version 3.51 von Windows NT die Dateinamenserweiterung .MAN. Ab Version 4.0 wird ein Profil dadurch als verbindliches Profil gekennzeichnet, dass die Datei NTUSER.DAT in NTUSER.MAN umbenannt wird.
Persönliche Profile, die auf einem Server abgelegt werden, können verwendet werden, um Benutzern unabhängig von der Arbeitsstation, von der aus sie sich anmelden, dieselbe Umgebung zur Verfügung zu stellen. Persönliche Profile werden in dem Verzeichnis abgelegt, der im Profileintrag des betreffenden Kontos angegeben ist, und sie tragen unter Version 3.51 die Dateinamenserweiterung .USR.
Unter Version 3.51 werden die Benutzerprofile im Verzeichnis %SystemRoot%\system32\config in den Benutzern zugeordneten Dateien abgelegt. Dabei werden die folgenden Einstellungen im Benutzerprofil abgelegt:
- Programm Manager: alle vom Benutzer einstellbaren Optionen einschließlich Programmgruppen, Programme und ihre Eigenschaften, sowie alle abspeicherbaren Einstellungen
- Dateimanager: alle vom Benutzer wählbaren Einstellungen einschließlich der Netz-Verbindungen
- Kommandomodus: alle vom Benutzer wählbaren Einstellungen
- Druck Manager: netzweite Druckerverbindungen sowie alle abspeicherbaren Einstellungen
- Systemsteuerung: alle Einstellungen für Farben, Maus, Desktop, Zeiger, Tastatur, Ländereinstellungen und Klänge sowie die Einträge zur Benutzerumgebung im Element "System"
- Zubehör: alle benutzerspezifischen Einstellungen der Anwendungen
- Fremdanwendungen: alle Einstellungen, die von diesen Anwendungen als benutzerspezifische Optionen unterstützt werden
- Anmerkungen bei der online Hilfe: alle dort eingetragenen Anmerkungen des betreffenden Benutzers
Ab Version 4.0 werden Benutzerprofile als Verzeichnisbaum unter dem Unterverzeichnis Profiles des Windows-Verzeichnisses %SystemRoot%, also im allgemeinen \WINNT\Profiles, als Verzeichnis mit dem Namen des Benutzers, z. B. \WINNT\Profiles\Schmidt, abgelegt. Dabei wird die gesamte Struktur der Arbeitsoberfläche und insbesondere die Struktur der einzelnen Programmgruppen dort abgelegt. Die folgenden Unterverzeichnisse können dabei vorhanden sein:
- Anwendungsdaten: Anwendungsspezifische Daten
- Desktop: Elemente der Arbeitsoberfläche einschließlich der direkt auf der Arbeitsoberfläche abgelegten Dateien und Shortcuts
- Druckumgebung: Shortcuts zu den Einträgen in den Druckerordnern
- Favoriten: Shortcuts zu Programmeinträgen und Ordnern mit Favoriten
- Netzwerkumgebung: Shortcuts zu den Einträgen der Netzumgebung
- Persönlich: Shortcuts zu den Einträgen in den privaten Programmgruppen
- Recent: Shortcuts zu den zuletzt verwendeten Dokumenten
- SendTo: Shortcuts zu den Einträgen, die im Kontextmenü als Ziele von Sende-Operationen, wie etwa zu einem Diskettenlaufwerk, verwendet werden können
- Startmenü: Struktur des gesamten Startmenüs einschließlich aller Shortcuts zu Programmen und Programmgruppen
- Vorlagen: Shortcuts zu Dokumentenvorlagen
Sonstige Einstellungen, wie etwa der Verweis auf das als Hintergrund der Arbeitsoberfläche verwendete Bild oder andere benutzerspezifische Einstellungen der Systemsteuerung, werden im Ordner Profiles in der Datei NTUSER.DAT abgelegt.
Die folgenden Optionen können unter Version 3.51 verwendet werden, um die Möglichkeiten der Benutzer mit Windows NT zu arbeiten in verschiedener Hinsicht einzuschränken:
- Einstellungen für Programm Manager: Hier kann festgelegt werden, ob Programme über "Datei - Ausführen" gestartet werden dürfen, die aktuellen Einstellungen gespeichert werden dürfen und ob allgemeine Programmgruppen angezeigt werden. Außerdem kann die Autostartgruppe festgelegt werden.
- Einstellungen für Programmgruppen: Hier kann der Zugriff auf bestimmte Programmgruppen gesperrt werden und für ungesperrte Programmgruppen verschiedene Änderungsbefugnisse vergeben werden.
- Den Benutzern kann das Verbinden bzw. Trennen von Netzdruckern über den Druckmanager erlaubt oder verboten werden.
- Es kann erzwungen werden, dass die Ausführung des Anmeldeskriptes abgewartet wird, bevor der Programm-Manager gestartet wird. Diese Option sollte immer aktiviert sein, damit die im Anmeldeskript vorgesehenen Aktionen auf jeden Fall durchgeführt werden.
Ab der Version 4.0 können die folgenden Einschränkungen mit Hilfe des Systemrichtlinien-Editors festgelegt werden:
- Systemsteuerung: Hier kann der Zugriff auf die Systemsteuerungsoption "Anzeige" beschränkt werden. Wenn diese Option gewählt wurde, können noch zusätzlich die Registerkarten "Hintergrund", "Bildschirmschoner", "Darstellung" und "Einstellungen" einzeln ausgeblendet werden, und die Option "Anzeige" kann auch als Ganzes deaktiviert werden.
Normalen Benutzern sollte der Zugriff auf die Systemsteuerung entzogen werden, da unbeabsichtigte Änderungen an den Systemeinstellungen Probleme verursachen können. Wenn zusätzlich der Zugriff auf die Systemsteuerungsoption "Anzeige" bzw. die Registerkarte "Bildschirmschoner" entzogen wird, kann verhindert werden, dass Benutzer die Bildschirmsperre deaktivieren. Dann muss der Administrator natürlich beim Einrichten von Benutzern die Bildschirmsperre aktivieren. - Shell: Hier können folgende Einschränkungen festgelegt werden:
- Befehl "Ausführen" entfernen
- Ordner unter Einstellungen im Menü "Start" entfernen
- "Task-Leiste" unter Einstellungen im Menü "Start" entfernen
- Befehl "Suchen" entfernen
- Laufwerke im Fenster "Arbeitsplatz" ausblenden
- Netzwerkumgebung ausblenden
- Kein Symbol "Gesamtes Netzwerk" in der Netzwerkumgebung
- Keine Arbeitsgruppen-Computer in Netzwerkumgebung
- Alle Desktop-Elemente ausblenden
- Befehl "Beenden" deaktivieren
- Keine Einstellungen beim Beenden speichern
- System: Hier können folgende Einschränkungen festgelegt werden:
- Programme zum Bearbeiten der Registrierung deaktivieren
- Nur zugelassene Anwendungen für Windows ausführen
Für normale Benutzer sollte kein Zugriff auf die Registrierung möglich sein, da Änderungen an der Registrierung schwerwiegende Probleme verursachen können.
Die meisten Benutzer müssen mit dem IT-System nur bestimmte Aufgabe wahrnehmen und benötigen dem entsprechend nur bestimmte Anwendungen. Daher sollte ihr Zugriff auch auf diese Anwendungen, wie z. B. ein Textverarbeitungsprogramm, eingeschränkt werden.
- Windows NT Shell: Hier können folgende Einschränkungen festgelegt werden:
- Nur erlaubte Shell-Erweiterungen verwenden
- Allgemeine Programmgruppen vom Menü "Start" entfernen
Unter Windows NT können sehr differenzierte Benutzerprofile erstellt werden. Diese sollten entsprechend der Sicherheitspolitik der Behörde bzw. des Unternehmens erarbeitet werden. Dies kann zeitaufwendig sein, da für verschiedene Benutzergruppen auch jeweils auf diese zurechtgeschnittene Benutzerprofile erstellt werden sollten. Alle Benutzerprofile müssen vorher darauf getestet werden, ob diese weder Lücken offen lassen noch die Benutzer an ihrer Aufgabenerfüllung hindern. Es ist auch zu bedenken, dass zu weitgehende Einschränkungen nicht nur zur Unzufriedenheit der Benutzer bis hin zur völligen Ablehnung des Systems führen können, sondern auch den Administratoren viel Arbeit verursachen können, wenn diese ständig Benutzerwünsche umsetzen müssen, wie z. B. eine andere Schriftgröße einstellen.
Die Windows NT Umgebung wird durch die Werte des aktuellen Benutzerprofils festgelegt, selbst wenn der aktuelle Benutzer weder über ein vorgeschriebenes noch über ein persönliches Profil verfügt oder auch wenn aktuell niemand angemeldet ist. Das User Default Profil wird unter den folgenden Bedingungen geladen:
- wenn der aktuelle Benutzer über kein eigenes (vorgeschriebenes oder persönliches) Profil verfügt und sich noch nie auf dem aktuellen Rechner angemeldet hat;
- wenn ein Benutzer sich auf dem Gastkonto anmeldet.
Im ersten Fall werden die aktuellen Werte der Benutzerumgebung beim Abmelden in ein neu erstelltes lokales persönliches Profil abgespeichert, im zweiten Fall gehen sie beim Abmelden verloren.
Wenn niemand angemeldet ist, werden die aktuellen Werte für den Bildschirmhintergrund und andere Umgebungsvariablen durch das System Default Profil bestimmt.
Ergänzende Kontrollfragen:
- Ist das Gastkonto, sofern es nicht gesperrt ist, durch ein Profil auf die minimal erforderliche Funktionalität eingeschränkt?