- Administrator: Dies ist das erste erstellte Konto. Es verfügt im Allgemeinen über die Berechtigung, Systemeinstellungen zu ändern, beliebige Anwendungen auf dem Computer zu installieren und Systemaktualisierungen durchzuführen. Es kann beim erstmaligen Einrichten des Computers durch den Setup Assistant erstellt werden, oder nach der Einrichtung über System Settings > Users & Groups.
- Standard: Dies ist das am besten geeignete Konto für die allgemeine Nutzung. Es kann viele Aufgaben ausführen. Es kann Anwendungen über den App Store installieren. Es kann Einstellungen ändern, die den eigenen Benutzer betreffen, mit Ausnahme von Einstellungen, die das gesamte System betreffen. Standard-Konten können über System Settings > Users & Groups erstellt werden.
- Guest: Konzipiert für Benutzer, die Ihren Computer vorübergehend nutzen müssen. Es ist standardmäßig deaktiviert. Anmeldezugriff und Zugriff auf freigegebene Ordner können gewährt werden. Wenn sich der Benutzer abmeldet, werden alle erstellten Dateien automatisch gelöscht. Guest-Konten können über System Settings > Users & Groups aktiviert werden.
- Sharing: Dies ist ein Kontotyp, der keine Anmeldemöglichkeit am Computer bietet und ausschließlich für Freigabezwecke verwendet wird. Wenn Sie eine Datei oder einen Ordner auf der Festplatte Ihres Computers freigeben möchten, können Sie einen Sharing-Benutzer definieren, indem Sie einen ACE-Eintrag (Access Control Entry) zu den Berechtigungen hinzufügen, und anderen Benutzern den Zugriff auf die Datei mit diesen Anmeldedaten ermöglichen. Sharing-Konten können über System Settings > Users & Groups erstellt werden.
Wenn wir eine hierarchische Rangfolge erstellen müssen, können wir sie folgendermaßen schreiben: Root > Administrator > Standard > Guest
…Und der Hauptdarsteller unseres Artikels: Root
Es ist das Konto mit den höchsten Berechtigungen in macOS und steht sogar über dem Administrator-Konto. Benutzer, die nur Windows-Erfahrung haben, sollten bis zu diesem Punkt des Artikels nichts Unbekanntes vorgefunden haben. Aber einer der Punkte, an denen sich macOS von Windows unterscheidet, ist das Root-Konto. Auf einem Mac ist der Benutzer mit den höchsten Berechtigungen nicht der Administrator, sondern Root. Bei Bedarf können Sie Admin-Konten für verschiedene Operationen einschränken. Ein Beispiel dafür finden Sie in unserem Artikel darüber, wie Sie Admin-Benutzer an der Installation von Anwendungen hindern können.
Das Root Account kann jede Einstellung ohne jegliche Einschränkung ändern. Es verfügt überall über Lese- und Schreibberechtigungen, mit Ausnahme der von SIP geschützten Ordner. Unter normalen Umständen können Sie sich nicht mit dem Root-Konto am Computer anmelden. Die Anmeldeberechtigung kann durch die Anwendung Directory Utility erteilt werden, die sich unter Macintosh HD / System / Library / Core Services / Applications befindet. Dies ist jedoch nicht etwas, das wir für die allgemeine Nutzung empfehlen würden.
Wenn Sie eine Operation mit Root-Berechtigungen durchführen möchten, während Sie Ihren Computer mit einem Admin-Konto verwenden, können Sie dies über die Terminal-Anwendung mit Befehlen tun, die mit sudo beginnen.
Anmeldung für das Root Account aktivieren
Wie oben beschrieben, wird dies nicht empfohlen. Schreiben wir es noch einmal: Die Aktivierung der Anmeldung für Root wird nicht empfohlen. Wenn Sie dies dennoch auf einem Test-Mac oder in einer VM-Umgebung ausprobieren möchten, können Sie die folgenden Schritte befolgen, um das Root-Konto für die Anmeldung zu aktivieren:
- Öffnen Sie die Anwendung namens Directory Utility, die sich im Ordner Macintosh HD/System/Library/Core Services/Applications befindet.
- Klicken Sie auf das Schlosssymbol in der unteren linken Ecke des sich öffnenden Fensters und geben Sie Ihren Admin-Benutzernamen und Ihr Passwort ein.
- Wählen Sie im Menü Edit den Befehl Enable Root User.
- Legen Sie ein Passwort für den Root-Benutzer fest. Bestätigen Sie und schließen Sie das Fenster.
- Melden Sie sich von Ihrem aktuellen Benutzer ab und melden Sie sich mit dem Root-Benutzer an Ihrem Computer an. Der Benutzername lautet Root; das Passwort ist das, das Sie in Directory Utility festgelegt haben.
Zu Testzwecken können Sie versuchen, einen der Befehle in der System Settings-Anwendung zu verwenden, der Sie nach Ihrem Admin-Passwort fragt. Sie werden sehen, dass die Aktion ohne Passwortabfrage durchgeführt wird. Beispielsweise können Sie versuchen, die Gatekeeper-Einstellung im Bereich Privacy & Security auf „Nur App Store“ zu ändern.
In den ersten Zeilen dieses Artikels haben wir geschrieben, dass das Root-Konto befugt ist, „nahezu“ alles zu tun. Das Schlüsselwort hier ist „Nahezu“. Denn ob Sie Ihren Computer als Admin verwenden und sudo-Befehle nutzen, oder dem Root-Benutzer über Directory Utility Anmeldeberechtigungen erteilen — es gibt einige Bereiche, die Sie nicht berühren können, und einige Operationen, die Sie nicht durchführen können. Denn diese Bereiche werden durch SIP geschützt, was für System Integrity Protection steht. Selbst wenn Sie beispielsweise das Root-Konto durch Befolgen der obigen Schritte aktiviert haben, werden Sie feststellen, dass Sie Anwendungen wie Preview oder Calculator nicht aus dem Ordner Applications löschen können. Denn sie werden durch SIP geschützt.
Was ist dieses SIP?
SIP ist ein Sicherheitsmechanismus, der bestimmte Ordner sogar vor Eingriffen mit Root-Berechtigung schützt, um die Sicherheit des Betriebssystems zu gewährleisten. Die folgenden Verzeichnisse werden durch SIP geschützt:
- /System
- /usr
- /bin
- /sbin
- /var
- Alle standardmäßig mit macOS installierten Anwendungen.
Wenn Sie die vollständige Liste aller von SIP geschützten Dateien und Ordner sehen möchten, können Sie die Datei namens Rootless.conf im Ordner Macintosh HD/System/Library/Sandbox untersuchen.
Wenn Sie die vollständige Liste aller von SIP geschützten Dateien und Ordner sehen möchten, können Sie die Datei namens Rootless.conf im Ordner Macintosh HD/System/Library/Sandbox untersuchen.
Wenn Sie die Datei Rootless.conf etwas genauer untersuchen, können Sie sehen, dass auch der Ordner SystemPolicyConfiguration für Configuration Profile-Dateien in dieser Liste enthalten ist. Zusammenfassend gewährleistet SIP die Sicherheit des Betriebssystems und schützt viele Bereiche.
Wenn Sie aus irgendeinem Grund SIP deaktivieren möchten (nicht empfohlen), können Sie dies über das Terminal in der Recovery Partition tun. Befolgen Sie einfach diese Schritte:
- Starten Sie Ihren Computer von der Recovery Partition. Wenn Ihr Computer einen Intel-Prozessor hat, können Sie dies tun, indem Sie beim Start Command+R gedrückt halten; bei einem Apple Silicon-Prozessor halten Sie die Power-Taste beim Start gedrückt.
- Nachdem Ihr Computer von der Recovery Partition gestartet ist, öffnen Sie Terminal über das Menü Utilities.
- Geben Sie folgenden Befehl im Terminal ein:
csrutil disable
Wenn Sie Ihren Computer neu starten, wird der SIP-Schutz von den oben aufgeführten Ordnern entfernt worden sein.
Wenn Sie SIP wieder aktivieren möchten, wiederholen Sie die obigen Schritte und geben Sie diesmal csrutil enable ein.
Wie kann ich das SIP schützen, das meinen Computer schützt?
Wenn Sie Systemadministrator sind und nicht möchten, dass Benutzer SIP eigenständig deaktivieren, gibt es drei Methoden, um dies zu erreichen:
- Wenn Ihre Benutzer ihre Computer mit Standard-Benutzerberechtigungen verwenden, benötigen sie selbst beim Starten von der Recovery Partition mindestens Admin-Berechtigungen, um dort Operationen durchführen zu können. Somit können sie SIP nicht deaktivieren.
- Wenn Ihre Benutzer ihre Computer mit Admin-Berechtigungen verwenden, aber FileVault auf dem Computer aktiviert ist, können sie in der Recovery Partition ebenfalls keine Operationen durchführen.
- Wenn Sie den Firmware Password-Schutz für Intel Macs oder den Recovery Lock-Schutz für Apple Silicon Macs aktivieren, blockieren Sie den Zugang der Benutzer zur Recovery-Umgebung vollständig.
Zusammenfassung
Das Deaktivieren von SIP und das Aktivieren des Root-Benutzers, um Ihren Computer mit Root-Berechtigungen zu verwenden, führt zu verschiedenen Sicherheitslücken. Es kann vorteilhaft sein, verschiedene Vorsichtsmaßnahmen zu treffen, damit Benutzer diese Dinge nicht eigenständig durchführen können, und einige Warnmechanismen auf den von Ihnen verwalteten Macs einzurichten.
Ich möchte ein kleines Beispiel für diese Warnmechanismen aus Jamf Pro geben. Sie können ähnliche Strukturen für die von Ihnen verwendete MDM-Lösung nutzen.
In Jamf Pro können Sie im Bereich Computers > Smart Computer Groups eine Smart Group erstellen und als Suchkriterium System Integrity Protection auf Disabled setzen, um eine Liste aller Computer zu erhalten, bei denen SIP deaktiviert ist.
Falls Sie der Meinung sind, dass die deutsche Übersetzung Fehler enthält, schreiben Sie bitte eine E-Mail an melih.sancar@settings.blog
Photo by Tommy van Kessel on Unsplash
Kommentar verfassen