Hallo Leute,

ich habe in einer kleinen Arbeitsgruppe bisher den WSUS 2.0 SP1 im Einsatz und jetzt mal auf einem Testrechner den WSUS 3.0 installiert. Alles soweit so gut und schön aber eine Frage zur Sicherheit stellt sich mir zu der ich weder hier per Suche noch per Google eine Antwort finden konnte, evtl. auch weil ich in Sachen Windows-Server nicht besonders fit bin, normalerweise setze ich Linux-Rechner als Arbeitsgruppenserver ein.

WSUS 3.0 läuft auf frisch installiertem Server 2003 Enterprise SP2 (kein R2) ohne weitere Software. Nun kann ich auf einem beliebigen Arbeitsplatz im Netz das WSUS-Konsolen-SnapIn installieren und mich ohne Eingabe von Name/Kennwort mit dem Server verbinden. Auf der Übersichtsseite steht dann "Benutzerrolle: Administrator". Das heißt daß jeder Mitarbeiter der in der Lage ist das SnapIn auf seinem Arbeitsplatz zu installieren auch am WSUS herumpfuschen kann? Beim WSUS 2.0 mußte ich ja einen gültigen Benutzernamen nebst Passwort eingeben, da war es also "out of the box" geschützt.

Wie kann ich diese "Benutzerrollen" verwenden so daß nur ein berechtigter Benutzer Änderungen am WSUS vornehmen kann? Updates abholen soll natürlich von allen klappen.

Das "Lustige" ist folgendes: Der Test läuft nicht in einer Domäne sondern als einfache Arbeitsgruppe ohne Active Directory, am Server sind außer dem Administrator keine Benutzer angelegt. Ich habe an einem Arbeitsplatz mit lokalen Adminrechten das SnapIn installiert und konnte mich dann von diesem Arbeitsplatz aus als eingeschränkter Benutzer (mit einer Name-Kennwort-Kombination die es auf dem WSUS3-Server definitiv nicht gibt) ohne weiteres mit dem Server verbinden, ohne Zugangsdaten. Das macht mich doch etwas stutzig! Der Administrator auf dem WSUS hat übrigens auch ein anderes Kennwort als der lokale am Arbeitsplatz, also können auch diese Zugangsdaten das nicht bewirken.

Die Gruppen WSUS-Administratoren und WSUS-Reporter existieren, haben aber keine Mitglieder.

Morpheus schrieb on 13.06.07 um 09:24:31:

"Ober sticht Unter" oder so ähnlich. Ich denke, ein (lokaler) "Ober-Administrator" hat automatisch die Möglichkeit, auch die Funktionen der Unter-Administratoren zu nutzen. Ein Administrator ist nicht Mitglied der Gruppe "Sicherungsoperator", darf aber trotzdem sichern. Genauso ist es bei den Druck- und Kontenoperatoren. Die Bezeichnung "WSUS-Administrator" ist vielleicht etwas unglücklich gewählt, "WSUS-Operator" trifft es besser und macht die Funktion der Rolle verständlicher...

Nein, das sollte m.E. nicht so gehen. Mein Beitrag war allerdings auch als Antwort auf Morpheus' Frage gedacht...