So verhindern Sie den Eingabeaufforderungszugriff für bestimmte Benutzer

Manchmal möchten Sie möglicherweise aus verschiedenen triftigen Gründen verhindern, dass ein bestimmter Benutzer das Eingabeaufforderungsfenster (cmd.exe) öffnet. In diesem Artikel wird erläutert, wie Sie verhindern können, dass bestimmte Benutzer die Eingabeaufforderung öffnen oder Windows-Batchdateien ausführen.

Eingabeaufforderungszugriff für bestimmte Benutzer verhindern

Das Sperren der Eingabeaufforderung kann mit NTFS-Berechtigungen erfolgen, indem Sie a. hinzufügen Aberkennen Berechtigungseintrag (für cmd.exe) für einen bestimmten Benutzer oder eine Gruppe. Dies kann mit dem integrierten Konsolentool erfolgen icacls.exe oder das Dialogfeld Erweiterte Sicherheitseinstellungen.

Methode 1: Verwenden des Befehlszeilenprogramms ICacls.exe

Von einem erhöhte oder Administrator-Eingabeaufforderung Fenster und führen Sie diese Befehle aus:

Takeown /f cmd.exe. icacls cmd.exe /deny ramesh: RX

.. wobei „ramesh“ der Benutzername ist, den Sie am Zugriff auf cmd.exe hindern möchten. Weitere Informationen zu den Befehlen takeown.exe und icacls.exe finden Sie im Artikel

Übernehmen Sie den Besitz einer Datei oder eines Ordners mithilfe der Befehlszeile in Windows.

---

Methode 2: Verwenden des Dialogfelds für erweiterte Berechtigungen

1. Öffne das C:\Windows\System32 Mappe.
2. Klicken Sie mit der rechten Maustaste auf cmd.exe und klicken Sie auf Eigenschaften. Klicken Sie alternativ auf das Eigenschaften Schaltfläche in der Multifunktionsleiste.
   
3. Wählen Sie im Dateieigenschaften-Dialog die Registerkarte Sicherheit und klicken Sie auf die Schaltfläche Erweitert. Dadurch wird das Dialogfeld Erweiterte Sicherheitseinstellungen geöffnet.
   
4. Standardmäßig TrustedInstaller besitzt cmd.exe. Klicken Sie auf „Ändern“, um den Besitz der Datei zu ändern.
   
5. Geben Sie „Administratoren“ ein und drücken Sie die EINGABETASTE.
   
6. Sie sehen die folgende Meldung. Schließen Sie einfach das Dialogfeld Erweiterte Berechtigungen und öffnen Sie es erneut.

   Wenn Sie gerade den Besitz dieses Objekts übernommen haben, müssen Sie die Eigenschaften dieses Objekts schließen und erneut öffnen, bevor Sie Berechtigungen anzeigen oder ändern können.

7. Die Gruppe Administratoren ist jetzt der Eigentümer der Datei. Sie können nun nach Bedarf Berechtigungseinträge hinzufügen. Klicken Berechtigungen ändern, die sich jetzt in ändert Hinzufügen.
   
8. Klicken Hinzufügen
   
   
9. Klicken Wählen Sie einen Schulleiter aus
10. Geben Sie den Benutzernamen ein (z. B. ramesh) und klicken Sie auf OK.
    
11. Von dem Typ Dialog, wählen Aberkennen
    
    
12. Aktivieren Sie die Kontrollkästchen für Lesen, Lesen & ausführen, und klicken Sie auf OK.

    So würde der Dialog Erweiterte Sicherheitseinstellungen nun aussehen:
    

13. Klicken Sie im Dialogfeld Erweiterte Sicherheitseinstellungen auf OK. Sie sehen die folgenden Meldungen. Klicken ja fortfahren.

    Sie legen einen Eintrag zum Verweigern von Berechtigungen fest. Deny-Einträge haben Vorrang vor den Allow-Einträgen. Dies bedeutet, dass, wenn ein Benutzer Mitglied von zwei Gruppen ist, einer Gruppe, der eine Berechtigung gewährt wird und einer anderen, der dieselbe Berechtigung verweigert wird, dem Benutzer diese Berechtigung verweigert wird. Möchtest du fortfahren? Sie sind dabei, die Berechtigungseinstellungen für Systemordner zu ändern. Dies kann die Sicherheit Ihres Computers beeinträchtigen und dazu führen, dass Benutzer Probleme beim Zugriff auf Dateien haben. Möchtest du fortfahren?

Testen, ob es funktioniert

Um zu testen, ob der Block funktioniert, Verwenden Sie Ausführen als (oder runas.exe), um cmd.exe als diesen bestimmten Benutzer zu starten.

runas /user: ramesh c:\windows\system32\cmd.exe

Das würde folgenden Fehler auslösen:

Kann nicht ausgeführt werden - cmd.exe → 5: Zugriff verweigert

Oder melden Sie sich einfach bei diesem Benutzerkonto an und versuchen Sie, cmd.exe zu starten. Der Benutzer „ramesh“ kann die Datei nicht lesen oder ausführen.

Das ist alles. Sie haben jetzt den Zugriff auf die Eingabeaufforderung (cmd.exe) für diesen bestimmten Benutzer deaktiviert.