Elevation: Erwerb des Admin-Token in Administrator gegenüber Standardkonten in Windows

Ich bin kürzlich verwirrt worden, wie die Benutzerkontensteuerung zwischen Standardkonten und Administratorkonten funktioniert.

Wie wir alle wissen, ermöglicht UAC bei aktivierter Benutzerkontensteuerung, dass Standardkonten oder Administratorkonten im Administratorbestätigungsmodus Zugriff auf das Administrator-Token erhalten, um Aufgaben auszuführen, für die Administratorzugriff auf den Computer erforderlich ist. Dadurch können wir Token wechseln, ohne den Benutzer zu wechseln .

Es scheint jedoch, dass das Wechseln von Token nicht wirklich das ist, was passiert: Vor einiger Zeit habe ich eine Anwendung ausgeführt, die die Shell (explorer.exe) ändern würde. Ich habe das Programm mit einem Standardkonto ausgeführt, erforderte jedoch einen erhöhten Zugriff: Daher habe ich die Benutzerkontensteuerung verwendet, um die Anmeldeinformationen des Administrators anzugeben, damit der Vorgang abgeschlossen werden konnte. Ich habe keine Veränderung an der Schale gesehen; Ich loggte mich dann bei dem Administrator-Konto ein, dessen Anmeldeinformationen ich verwendete, und ich sah, dass die Shell in diesem Konto geändert wurde, was offensichtlich nicht das war, was ich wollte

Es schien mir, dass die Benutzerkontensteuerung im Wesentlichen nur ein "Run-as-User" war, bei dem das Programm tatsächlich als dieser Benutzer ausgeführt wurde. Das bedeutete, dass ich es nicht nur auf Hochtouren lief: Ich habe das Programm buchstäblich als diesen Benutzer ausgeführt.

Meine Frage ist: Kann ein Standardkonto das Administrator-Token verwenden, das Programm jedoch tatsächlich als Standardbenutzer ausführen und das Profil des aktuellen Benutzers verwenden? Ansonsten scheint es mir so, als müssten Sie, wenn Sie Administratoraufgaben erledigen müssen, sich bei einem Administratorkonto anmelden, das den gesamten Zweck der Benutzerkontensteuerung missachtet - da die Benutzerkontensteuerung ein Programm als Administrator ausführt und nicht nur das Administratorrechte,

Ist diese Trennung von Token und Profil möglich? Oder müssen alle Benutzer in diesem Fall nur Administratoren sein? Es scheint mir, dass dies für viele Organisationen gelten würde, wenn nur allen Benutzern der volle Administratorzugriff gewährt wird.

Kann jemand bitte etwas Licht auf dieses werfen?

Ich würde gerne wissen, ob es möglich gewesen wäre, dem besagten Programm ein Administrator-Token bereitzustellen. Dieses Programm sollte jedoch im aktuellen Benutzerkonto ausgeführt werden, nicht im Benutzerkonto des Administrators, dessen Berechtigungsnachweise angegeben wurden - mit anderen Worten, hätte es dies war es möglich, die Shell im Standardkonto mit diesem Programm zu ändern? Das Ziel wäre, den Prozess als angemeldeter Benutzer (unabhängig von den aktuellen Berechtigungen) mit Administratorrechten zu starten, nicht als Prozess unter einem Konto mit Administratorrechten.

Hoffe das macht Sinn,

Erklärung : Ich beziehe mich nicht auf den Admin-Genehmigungsmodus oder die Funktionsweise der Benutzerkontensteuerung. Ich weiß bereits, dass, wenn die Benutzerkontensteuerung auf eine sichere Einstellung festgelegt ist, sogar Administratoren dazu aufgefordert werden. Wenn diese Option nicht deaktiviert ist, verwenden Administratoren standardmäßig das Standard-Token. Ich spreche davon, wann das Administrator-Token abgerufen wird. Ist es möglich, den Prozess weiterhin als angemeldeter Benutzer auszuführen, nur mit dem Admin-Token? (nicht mit "Als Benutzer ausführen", aber vielleicht etwas wie "Ausführen als / mit" Token ")) usw. Auf diese Weise würden allgemeine Administratorberechtigungen verwendet, und nicht die Administratorberechtigungen eines Benutzers.

Ist das überhaupt möglich oder habe ich gerade auf eine Funktion hingewiesen, die nicht in Windows ist?

Müsste ich, um das hier beschriebene Ziel zu erreichen, das Standardkonto möglicherweise jederzeit in ein Administratorkonto umwandeln, wenn etwas erhöht werden muss, und es anschließend wieder in ein Standardkonto umwandeln? Aufgrund von Kommentaren scheint dies nicht möglich zu sein, und dies scheint ein Fehler im Betriebssystem zu sein, da UAC grundsätzlich unbrauchbar wird.

FALLBEISPIEL : Vor einigen Jahren habe ich versucht, ein Programm auszuführen, das das Thema meines Computers ändert, das zum Patchen des Systems erforderlich war (eines dieser Programme von Drittanbietern). Es erforderte Administratorrechte. Ich habe keine Änderung gesehen, aber dann habe ich mich bei dem Administratorkonto angemeldet, dessen Passwort ich verwendet hatte, und festgestellt, dass alle Aktivitäten für dieses Konto übernommen wurden !! Ich musste mich ein paar Mal damit beschäftigen, damit es funktioniert, aber es war ein wirklich ungewöhnlicher Prozess. Wäre die einfachste Lösung, einfach dieses Standardkonto vorübergehend bei einem Administrator zu bewerben und es anschließend wieder herabzusetzen?