Network Configuration Operators Gruppe

[bob]

Hallo,

unter windows xp und vista konnten Standard User, die in der Gruppe "Network Configuration Operators" sin, netzwerk spezifische änderungen vornehmen (IP Adresse, Gateway usw).
Meine Benutzer müssen skripte ausführen können, die die Änderungen vornehmen.
Unter Windows 7, wenn ich den benutzer in die Gruppe setze und als der Benutzer die eigenschaften vom Netzwerk adapter ändern will, muss ich mich dennoch als Admin authentifizieren.
Und mit Steel Run oder elevate klappt es auch nicht so wirklich.

Auch wenn ich die entsprechenden Gruppenrichtlinien deaktiviere (was an sich dann jedem benutzer diese Änderung erlauben sollte) klappt es auch nicht.

Hab ich da noch irgendwas übersehn?

Vielen Dank

[dmichael]

Handelt es sich um Domänen- oder Arbeitsgruppen-Computer? Sind die Benutzer auch in der Gruppe der lokale Administratoren?

[bob]

es ist eine einzemaschine die momenten (probiere noch mit Win7 rum) noch nicht in der Domäne angemeldet ist.
Es gibt einen speziellen Benutzeraccount für Aussenzwecke für den die ipeinstellungen verändert werden müssen.
Die andern Notebooks wo xp oder vista drauf ist, klappt es einfach die Benutzer in die entsprechende lokale Gruppe hinzuzufügen.

Die Benutzeraccounts in die Gruppe der lokalen Admins zu setzten wäre wohl kontraproduktiv Die sollten schon eingeschränkt sein.

[/dev/null/]

Evtl. leigt das Problem in richtung Heimgruppe die Windows neu Implementiert hat.
Allerdings kann ich dir persönlich keine erfahrungwerte liefern, da ich Win7 erst seit dem 15-10-09 benutze.

Du kannst die Gruppenrichtlinien erst am der Professional Version Global verändern, ich gehen davon aus, das du diese nutzt?

[dmichael]

Ich würde die Kiste erstmal in die Domäne aufnehmen, so dass die Domänenrichtlinien erstmal auf der Maschine wirksam werden und dann kannst Du mit globalen Gruppen arbeiten. Sonst ist das ja alles wie Trockenschwimmen. Und /dev/null/ kann durchaus mit seiner Annahme auch richtig liegen. Check das erstmal ab.

[bob]

na, es muss auch klappen wenn die Kiste als Standalone maschine benutzt wird. es sind auch welche da die hängen nie an der Domäne sondern befinden sich immer nur in den Transportern für den Aussendienst. Das hat bisher immer problemlos geklappt. Mit vista, xp und davor.
Und ja es ist Win 7 Pro

das mit der homegroup muss ich mir dann mal ankucken....das ist etwas was ich sowieso nicht verstehe was DAS verloren hat in einem Professional system...grr

[dmichael]

Ok, aber wie willst Du denn ein Domänen-Benutzerkonto in die Gruppe der lokalen Netzwerkkonfigurations-Operatoren aufnehmen, wenn der Rechner noch nie Kontakt mit der Domäne hatte? Man kann ja da auch keine servergespeicherten Profile verwenden und die Domänenrichtlinien sind auch noch nicht wirksam geworden. Bei den Vergleichsrechnern ist das aber so. Das ist einfach nicht vergleichbar.

[bob]

?
wer hat was von Domänen-Benutzerkonten gesagt?
Es sind normale lokale Benutzerkonten die mit lokalen GPO funktionieren sollen. Resp einfach in einer andern Gruppe sein sollen.

[dmichael]

Müsste man in einer technischen Referenz von Win7 nachlesen (falls es die schon gibt), was MS bei Win7 unter Netzwerkfunktionen versteht. Immerhin werden die Einstellungen von einem Stück Hardware verändert. Bin mir nicht ganz sicher, ob das unter Netzwerkfunktionen fällt. Die Änderung wird auch von einem Skript ausgeführt. Man könnte dann als einstweiligen Workaround bis zur endgültigen Lösung das Skript im Kontext des jeweiligen Local Admins ausführen lassen, ohne das hierfür dem Benutzer das Kennwort mitgeteilt werden muss.

Meine praktische Erfahrung mit rund 15.000 von mir betreuten Rechnern war letztendlich die, dass Aussendienstler auf Antrag immer einen Local Admin bekommen, weil es doch gewaltige Umgebungsunterschiede gibt. Das reicht von einem Hotel in China mit einer Modemeinwahl ohne Freizeichen auf der Amtsleitung bis zum Fremd-LAN in einer Entwicklerumgebung in den USA und der VPN-Einwahl auf das Gateway in Deutschland oder einem WLAN-Hotspot auf einem International Airport. Man kann dann kaum verlangen, dass der Anwender sein Notebook schnell mal mit DHL zur Umkonfiguration nach Hause sendet und er für die nächsten paar Tage mit seinem Smartphone rumspielt. Natürlich war der Support für diese Maschinen kostenpflichtig und nicht von Pauschalen abgedeckt. Aber von irgendetwas muss man ja leben :-) Aber wenn Deine Rechner nicht weit weg fahren und die sowieso alle paar Tage wieder im Haus sind, würde die von Dir gewünschte Berechtigung ausreichen.