UAC-Einschränkungen auf lokale Konten bei Netzwerkanmeldungen anwenden
Der Registry-Wert steuert die UAC-Zugriffstokenfilterung für lokale SAM-Konten, die sich über eine Netzwerkanmeldung am Computer authentifizieren.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\LocalAccountTokenFilterPolicy
Der Registry-Wert steuert die UAC-Zugriffstokenfilterung für lokale SAM-Konten, die sich über eine Netzwerkanmeldung am Computer authentifizieren. Bei dem Typ REG_DWORD und den Wertdaten 0 erstellt Windows für ein lokales Administratorkonto ein gefiltertes Zugriffstoken. Die administrativen Bestandteile des Tokens stehen der Remotesitzung dadurch nicht zur Verfügung.
Das Konto wird bei dieser Netzwerkanmeldung wie ein Standardbenutzer behandelt und kann innerhalb derselben Sitzung keine Rechteerhöhung anfordern. Seine weiterhin nutzbaren Zugriffe richten sich nach den Berechtigungen des gefilterten Tokens. Der Wert verweigert daher nicht grundsätzlich die Anmeldung oder jeden Netzwerkzugriff.
Hinweise
Sicherheit
Die Tokenfilterung verhindert, dass die Anmeldeinformationen eines lokalen Administratorkontos über eine gewöhnliche Netzwerkanmeldung unmittelbar vollständige Administratorrechte auf dem Zielcomputer bereitstellen. Dadurch erschwert sie unter anderem die Remotenutzung kompromittierter oder auf mehreren Computern identisch verwendeter lokaler Administratoranmeldeinformationen und begrenzt bestimmte Möglichkeiten zur lateralen Bewegung.
Die Einstellung ersetzt keine Kontosperre und kein Verbot von Netzwerkanmeldungen. Ressourcen, die bereits für Standardbenutzer oder für das gefilterte Token zugänglich sind, bleiben erreichbar.
Mögliche Nebenwirkungen
Remoteverwaltungsfunktionen, die ein vollständiges Administratortoken voraussetzen, können trotz korrekter Anmeldeinformationen mit „Zugriff verweigert“ fehlschlagen. Dies kann beispielsweise WinRM-, WMI- und SMB-basierte Verwaltungswerkzeuge betreffen. Lokale Konten können mit dem gefilterten Token insbesondere nicht auf administrative Freigaben wie C$ oder ADMIN$ zugreifen.
Bei WMI-Abfragen können einzelne Provider weniger oder keine Daten zurückgeben, wenn die angeforderte Information Administratorrechte erfordert. Auch Verwaltungs- und Migrationsprodukte, die sich über ein lokales Administratorkonto verbinden, können in ihrer Funktion eingeschränkt werden.
Hinweise
Die Einstellung betrifft lokale Konten bei Netzwerkanmeldungen. Sie filtert nicht allgemein jede Anmeldung eines Administrators und gilt insbesondere nicht für eine interaktive Remotedesktopsitzung. Domänenkonten werden durch diesen Registry-Wert nicht zu lokalen, gefilterten SAM-Konten.
Microsoft dokumentiert die vollständige Durchsetzung der Remoteeinschränkungen für lokale Konten zusammen mit den UAC-Sicherheitsoptionen für den Administratorgenehmigungsmodus, einschließlich der entsprechenden Option für das integrierte Administratorkonto. Der Registry-Wert allein sollte deshalb nicht als vollständige Sperre sämtlicher Remotezugriffe mit allen lokalen Administratorkonten verstanden werden.
Microsoft-Dokumentation
Microsoft Learn: Benutzerkontensteuerung und Remoteeinschränkungen
Microsoft Learn: Lokale Konten