2. Admin Konto eingerichtet, das 1. lässt sich nicht zum Standarduser machen

[Dee]

Nachtrag:
Wenn das Haupt-Adminkonto aktiv ist und ich rufe über Systemeinstellungen den Benutzeraccount auf, kann ich auch keine Rechteänderung vornehmen. Auch dort ist der Haken bei "Benutzer darf den Rechner verwalten" grau hinterLegt und kann nicht entfernt werden.

 

[kitchenmaker]

OK, und nun noch die Frage, wie heißt das Hauptadminkonto? Etwa admin?

 

[Dee]

OK, und nun noch die Frage, wie heißt das Hauptadminkonto? Etwa admin?

Wie ich schon sagte: nein, das mach' ich auch grundsätzlich nicht. Die heißen "Pumuckel" oder sonstwie

Wie ich es verstehe, hat er den neuen Account als Admin eingerichtet. Lieber TE, klär das bitte mal kurz auf. Denn dann lässt es sich nicht anwählen, meiner Meinung nach. Oder Rastafari?

Selbstverständlich habe ich jedes weitere Admin-Konto mit dem ersten Admin-Hauptkonto erstellt. Jedes neue Adminkonto bekam die Berechtigung, den Rechner zu verwalten. Von jedem zusätzlichen Admin-Konto aus kann ich jedes andere Admin-Konto zum Standardkonto machen (also Verwaltungsrechte entziehen), nur eben beim ersten Konto nicht. Aber genau das(!!) war mein Ziel und ist Inhalt der verlinkten Beschreibung.

 

[MacAlzenau]

Wo liegt mein Fehler MacAlzenau? Er kann dem 1.Admin nur die Adminrechte entziehen wenn er sich in diesem Account befindet. Und genau das hab ich als Problem aus den vorhergehenden Posts so erlesen. Oder steh ich jetzt voll auf dem Schlauch?

Sorry, das mit dem Schlauch war wohl ich - bin davon ausgegangen, daß er genau das gemacht hat und es eben nicht klappte.

 

[Dee]

Sorry, das mit dem Schlauch war wohl ich - bin davon ausgegangen, daß er genau das gemacht hat und es eben nicht klappte.

Deswegen habe ich extra die Anleitung verlinkt, deren Anweisungen ich gefolgt bin. Daran ist eigentlich nichts misszuverstehen.

Wie Ihr seht, habe ich es nun nachträglich entgegen der Anleitung aus dem ersten Adminkonto heraus probiert und es klappte auch nicht.
Darüber bin ich allerdings auch nicht erstaunt, es wäre in meinen Augen völlig sinnfrei ein OS zu entwickeln, in dem ein Admin sich selbst die Adminrechte entziehen kann, was ihn unter Umständen mit ausschließlich Standardkontos auf dem Rechner zurücklässt und Ihm jegliche Möglichkeit nimmt, wieder Verwaltungsrechte zu bekommen, da diese nur von Admins vergeben werden können.

Die einzig logische Vorgehensweise kann nur sein, dass ein zweiter Admin dem ersten Admin die Verwaltungsrechte entzieht und genau das beschreibt die verlinkte Anleitung. Somit ist für mein Verständnis die einzige logische Vorgehensweise eben das Abmelden des zu ändernden Kontos und das Durchführen der Änderung von einem zweiten Adminkonto aus, wie in der verlinkten Anweisung beschrieben.

Die Frage ist: warum geht's nicht?

 

[tomasm]

Hallo,

ein ADMIN hat per default keine Zugriffe auf andere ADMIN Konten etc. mit normalen Usern hab ich das noch gar nicht getestet, aber wird wohl auch so sein. Nur der ROOT könnte über die SHELL auf alle Verzeichnisse zugreifen..

Du könntest Natürlich z.B. mit einen FileBrowser (z.B. muCommander) mit root rechten starten, dann hast Du damit alle Rechte auf alle Filesysteme und Dateien und kannst damit alles machen..

Tomas

 

[Dee]

Hallo,

ein ADMIN hat per default keine Zugriffe auf andere ADMIN Konten etc. mit normalen Usern hab ich das noch gar nicht getestet, aber wird wohl auch so sein. Nur der ROOT könnte über die SHELL auf alle Verzeichnisse zugreifen..

Du könntest Natürlich z.B. mit einen FileBrowser (z.B. muCommander) mit root rechten starten, dann hast Du damit alle Rechte auf alle Filesysteme und Dateien und kannst damit alles machen..

Tomas

Warum kann ich dann mit allen zusätzlichen Adminkonten allen anderen zusätzlichen Adminkonten die Verwaltungsrechte entziehen?

Mit root-Rechten zu starten löst mein Problem nicht, sondern macht es noch schlimmer! Siehe meinen Link im ersten Beitrag. Natürlich hätte ich dann auf alle Daten Zugriff, aber das Sicherheitsproblem wäre nicht gelöst. Dann kann ich ja auch gleich mit meinem Admin-Account online bleiben , da hab' ich auch Zugriff auf alle Daten.

 

[MacAlzenau]

Ich denke, du sollst mit lediglich mit root-Rechten die Admin-fähigkeit von Benutzer 1 löschen. Das muß ja in irgendeiner Datei gespeichert sein.

 

[Rastafari]

Ich konnte das Problem jetzt nachvollziehen, die genaue Ursache bei dir kenne ich jedoch nicht.
Möglicherweise hatte der Vorbesitzer das Konto ursprünglich unter "admin" angelegt und erst nachträglich den Namen geändert. Oder es handelt sich um einen Bug in bestimmten Versionen der Installations-DVDs? Oder ein Bug in einem der Konfigurationshelfer für die diversen Freigabedienste? Ich werds beobachten...

Übrigens: Es ist durchaus normal, dass sich ein Admin auch selbst dieses Privileg nehmen kann, die Änderung erfordert dann nur einen Neustart bis sie wirksam wird. Das geht durchaus, es muss nur immer mindestens ein Admin übrigbleiben, der letzte verbleibende kann das nicht mehr.

Um zu sehen wie dir zu helfen ist bräuchte ich etwas Info von dir.
Öffne mal unter diesem problematischen Konto ein Terminal und gib ein:

dscl -url /Local/Default -read /Users/[COLOR="#0000CD"]shortname[/COLOR] AuthenticationAuthority

...wobei das "shortname" durch den Kurznamen des betreffenden Kontos zu ersetzen ist.
Den Textoutput lass mal sehen. Die darin vorkommenden kryptischen Zahlenkolonnen machst du aber bitte unkenntlich, die gehen niemanden was an ausser dir und ich brauche sie nicht, mich interessiert nur das was in der Zeile davor steht, und zwar bis hin zum @-Zeichen.

 

[Dee]

Übrigens: Es ist durchaus normal, dass sich ein Admin auch selbst dieses Privileg nehmen kann, die Änderung erfordert dann nur einen Neustart bis sie wirksam wird. Das geht durchaus, es muss nur immer mindestens ein Admin übrigbleiben, der letzte verbleibende kann das nicht mehr.

Jau, das macht Sinn und so meinte ich das auch. Einer muss mindestens immer übrig bleiben.

 

[kitchenmaker]

Ich vermute die "admin-Installation" Dann bleibt es immer ausgegraut und man kann die Adminrechte nicht entziehen.

 

[Dee]

Öffne mal unter diesem problematischen Konto ein Terminal:

Gott sei Dank funzt bei Apple copy'n'paste
Das macht die Mac-Shell schonmal wesentlich sympathischer als die von Windows, hi hi hi.

OK, hab' ich gemacht und bekam 'ne Fehlermeldung. Aus der Meldung entnehme ich, dass das Konto ursprünglich wohl tatsächlich admin geheißen hat?

Hier der output:

<dscl_cmd> DS Error: -14136 (eDSRecordNotFound)
*********s-macbook-pro:~ admin$

Das ist übrigens der Name der Vorbesitzerin, den ich mit **** unkenntlich gemacht habe!

 

[kitchenmaker]

Sag ich doch. admin....

 

[Rastafari]

Rrrräusperrr.
Die Rede war ausdrücklich vom KURZnamen, und der lautet ja wohl sehr deutlich sichtbar auf "admin", oder?

Da machst du jetzt folgendes (und zwar genau so):
- Meldest dich vom zweiten Konto aus an, admin muss abgemeldet sein.
- Öffnest die Systemeinstellung "Freigaben" und deaktivierst dort alle aktiven Dienste
- Wechselst in den Bereich "Benutzer" und entriegelst ihn
- Auf "Anmeldeoptionen" gehen und die automatische Anmeldung deaktivieren (falls nötig)
- Dort auch die "schnellen Benutzerwechsel" abschalten (falls aktiv)
- Wenn du bei mindestens einem der obigen Punkte eine Änderung vornehmen musstest: Erst einen Neustart durchführen, dann hierher zurückkehren
- Rechtsklick auf den 'admin' in der Liste, "erweiterte Einstellungen" aufrufen
- Ändere den Kurznamen (und sonst nichts) auf etwas anderes, zB 'adm'
- Schliesse den Dialog, wechsle kurz in der Liste zu den Eigenschaften eines anderen Kontos und wieder zurück zum admin
- Die Box ist jetzt verfügbar, mach das Häkchen weg
- Dann nochmals kurz hin- und her wechseln, um den Namen SOFORT wieder zurück auf 'admin' zu stellen (bevor du irgendwas anders tust)
- Systemeinstellung schliessen & Neustart

 

[Dee]

Rrrräusperrr.
Die Rede war ausdrücklich vom KURZnamen, und der lautet ja wohl sehr deutlich sichtbar auf "admin", oder?

Ich hab' Dich schon verstanden
Den Besitzernamen hab' ich aus anderen Gründen unkenntlich gemacht

Dass der Kurzname offensichtlich admin heißt, wusste ich vorher nicht, da das Konto bei mir anders heißt. Offensichtlich hatte der Vorbesitzer das Konto wohl doch Admin genannt und es wurde dann nachträglich umbenannt (vermutlich von mir selbst beim neu einrichten).

Danke für Deine Anleitung, Rastafari, das probier' ich heute Nachmittag!

 

[Rastafari]

Hatte ich vergessen zu erwähnen:
Ein Konto namens 'admin', das aber gar kein Administrator mehr ist, verträgt sich nicht gut mit einem OS X Server (der vertraut darauf).
Falls du irgendwann mal sowas gedenkst anzuschaffen, musst du dieses Unikum von Account vorher wieder loswerden. Sonst bekommst du als Resultat einen Rechner, der sich partout nicht via Netzwerk verwalten lassen will.

 

[Dee]

Hatte ich vergessen zu erwähnen:
Ein Konto namens 'admin', das aber gar kein Administrator mehr ist, verträgt sich nicht gut mit einem OS X Server (der vertraut darauf).
Falls du irgendwann mal sowas gedenkst anzuschaffen, musst du dieses Unikum von Account vorher wieder loswerden. Sonst bekommst du als Resultat einen Rechner, der sich partout nicht via Netzwerk verwalten lassen will.

Das ist erst mal völlig egal und auch nicht geplant, danke für den Hinweis!

Es hat geklappt, mein ursprüngliches Admin Hauptkonto ist nun Standardkonto!
Herzlichen Dank für die Anleitung, Rastafari!

Das Ganze erinnert mich ein bisschen an Windows. Ist ein bestimmtes Konto erst mal angelegt, kann man es zwar in der Übersicht und Anmeldung umbenennen, systemintern bleibt aber der erste vergebene Name aktiv, in meinem Fall "admin" wie vom Vorbesitzer eingegeben.

Ich gehe davon aus, dass eine systeminterne Änderung dieses unglücklich gewählten Namens wohl nur möglich ist, indem man den Rechner "from scratch" neu einrichtet, nachdem man die Festplatte formatiert hat?

Naja,dank Deiner hervorragenden Hilfe habe ich zumindest erreicht, was ich erreichen wollte: erhöhte Sicherheit beim täglichen Gebrauch durch eingeschränkte Rechte, weil es jetzt nur noch ein Standardkonto ist. Super!!

Rastafari, Du bist der Hit!
Danke nochmals recht herzlich für Deine geduldige Hilfe!

 

[Rastafari]

Ich gehe davon aus, dass eine systeminterne Änderung dieses unglücklich gewählten Namens wohl nur möglich ist, indem man den Rechner "from scratch" neu einrichtet, nachdem man die Festplatte formatiert hat?

Es ist nicht allzu schwierig, die Benutzerdaten von einem Konto an ein anderes zu übergeben. Bei den Einstellungen hakelt es aber schon manchmal - weil die Softwareentwickler das teilweise genau so wollen (Lizenzen).
Das umbenennen eines vorhandenen Kontos ist auch technisch möglich, aber riskant. So manches nicht besonders clever geschriebene Fremdprogramm/Skript bekommt das schon ernste Probleme. Wirklich sauber nach Empfehlung gestaltete Programme stecken das weg ohne das auch nur zu bemerken - aber ich kenne niemanden der nur sowas hat. Selbst iTunes oder Safari müssen da schon Kompromisse machen, um irgendwie zu ihren Windows-Versionen kompatibel zu bleiben oder vermurkste Internetstandards nicht zu brechen.

Naja,dank Deiner hervorragenden Hilfe habe ich zumindest erreicht, was ich erreichen wollte: erhöhte Sicherheit beim täglichen Gebrauch durch eingeschränkte Rechte, weil es jetzt nur noch ein Standardkonto ist. Super!!

Noch nicht ganz. Sämtliche Objekte, die du manuell per simplem Finder-Drag&Drop im Programme-Ordner und in der globalen Library installiert hast, bleiben weiterhin unter seinen Eigentumsrechten und damit auch weiterhin unter seinem vollen Zugriff.
Um dieses kleine Manko auch noch abzustellen braucht es ein wenig Politur von Hand. Angenommen, der zu kastrierende Admin heisst "admin_eins" und der neu angelegte ist "admin_zwei", dann muss dieser noch folgendes ins Terminal dreschen:

sudo find -x /Applications  -user "admin_eins"  -exec chown -h "admin_zwei" {} +
sudo find -x /Library  -user "admin_eins"  -exec chown -h "admin_zwei" {} +

[I][COLOR="#008080"]# Wenn auch noch die Objekte im Ordner für alle Benutzer
# an den neuen Admin übergeben werden sollen
# (Geschmackssache), dann zusätzlich auch noch das:[/COLOR][/I] 
sudo find -x /Users/Shared  -user "admin_eins"  -exec chown -h "admin_zwei" {} +

 

[Dee]

Herzlichen Dank, Rastafari!
Ehrlich gesagt habe ich mich für eine Neueinrichtung mit Formatierung der Festplatte entschieden.
Ich hab' ja auch noch das Soundproblem mit meinem Rechner und ich denke, ich sollte nun doch mal auf Nummer sicher gehen. Wer weiß, was für Überbleibsel sonst noch vom Vorbesitzer hier rumschwirren.

Ich schau' jetzt mal, wie ich bei Snow Leopard den Recoverymode starte, Control+R ist's schonmal nicht, wie mir scheint. Dann kann ich die Platte formatieren und neu installieren und zwar gleich so, dass das erste Adminkonto nicht gleichzeitig mein tägliches Userkonto ist

Backupimage ist gemacht!

 

[MacAlzenau]

SnowLeo hat keine Recovery Partition, du musst die Installations-DVD benutzen.