Immer mit erhöhten Rechten installieren
Diese Richtlinie veranlasst Windows Installer, Windows-Installer-Pakete mit erhöhten Systemberechtigungen zu installieren.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (2)
HKLM\Software\Policies\Microsoft\Windows\Installer\AlwaysInstallElevatedHKCU\Software\Policies\Microsoft\Windows\Installer\AlwaysInstallElevated
Diese Richtlinie veranlasst Windows Installer, Windows-Installer-Pakete mit erhöhten Systemberechtigungen zu installieren. Dadurch können auch Benutzer ohne Administratorrechte Pakete installieren, die geschützte Verzeichnisse oder Registrierungsschlüssel ändern müssen.
Die Einstellung besteht aus zwei REG_DWORD-Werten. Ihre Wirkung tritt nur ein, wenn AlwaysInstallElevated sowohl unter HKLM als auch im Benutzerprofil unter HKCU auf 1 gesetzt ist. Fehlt einer der Werte oder hat er einen anderen Wert, installiert Windows Installer nur verwaltete Anwendungen mit erhöhten Rechten; nicht verwaltete Anwendungen werden mit den Berechtigungen des aktuellen Benutzers installiert.
Hinweise
Sicherheit
Die Kombination beider Werte stellt ein erhebliches Risiko für die Systemsicherheit dar. Ein Benutzer kann ein entsprechend präpariertes Windows-Installer-Paket im privilegierten Installationskontext ausführen lassen und damit geschützte Dateien, Ordner oder Registrierungseinträge verändern. Dies kann zur dauerhaften Ausweitung seiner Berechtigungen führen.
Bereits der aktivierte Computerwert ist sicherheitsrelevant: Microsoft weist darauf hin, dass anschließend jeder Benutzer den zugehörigen Wert in seinem eigenen Benutzerprofil setzen kann. Der Computerwert allein aktiviert die erhöhte Installation noch nicht, schafft aber damit die Voraussetzung, die ein Benutzer durch den Wert unter HKCU selbst erfüllen kann.
Die Richtlinie erhöht den Installationskontext von Windows Installer. Sie gewährt dem angemeldeten Benutzer nicht unmittelbar allgemeine Administratorrechte für sämtliche Prozesse oder unabhängig vom Installationsvorgang uneingeschränkten Dateizugriff.
Hinweise
Die Einstellung betrifft Windows Installer und dessen Pakete. Sie ist nicht generell auf Installationsprogramme anderer Formate übertragbar.
Die Gruppenrichtlinie ist sowohl in der Computer- als auch in der Benutzerkonfiguration vorhanden. Damit sie für einen Benutzer wirksam wird, müssen die korrespondierenden Registrierungswerte in beiden Geltungsbereichen aktiviert sein.
Microsoft-Dokumentation
Microsoft Learn: AlwaysInstallElevated
Microsoft Learn: Richtlinien-CSP – ApplicationManagement