macOS Sierra Nur Benutzer, nicht Admin anzeigen auf Startbildschirm

[groucho]

Hallo,
auf meinem Macbook Pro ( MacOS 10.12) mit SSD habe ich neben meinem Admin-Konto aus Sicherheitsgründen ein anderes Benutzerkonto, das ich ausschließlich nutze (aber eben ohne Systemzugriff). Außerdem habe ich FileVault aktiviert. In der aktuellen Installation habe ich es so eingestellt, dass nach dem Start des Rechners nur der Startbildschirm mit dem Symbol meines Benutzerkontos erscheint, wo ich mich dann anmelde. Mein Adminkonto erscheint erst, wenn ich mich wieder abmelde.

Jetzt plane ich eine Neuinstallation und weiß leider nicht mehr, wie ich diese Einstellung reproduzieren kann. Hat jemand eine Tipp? Geht das überhaupt noch mit den neueren Betriebssystemen?

Danke im Voraus.

 

[Macs Pain]

habe ich neben meinem Admin-Konto aus Sicherheitsgründen ein anderes Benutzerkonto, dass ich ausschließlich nutze (aber eben ohne Systemzugriff).

Wenn der Benutzer das Adminpasswort kennt kann er trotzdem alles machen. So wie auch der Admin für alles das Passwort eingeben muss. Sprich es gibt eigentlich keine Sicherheitsgründe für einen zweiten Benutzer wenn man nur selber den Rechner nutzt.

Wo so eine Einstellung versteckt sein könnte wüsste ich aber im Moment nicht

 

[groucho]

Ist Selbstschutz. Falls eine obskure Seite ans System will. Als Admin ist da vielleicht schnell mal ok gedrückt. Geht als Benutzer nur mit Authentifizierung.

 

[Schiffversenker]

Ich tippe auf irgendein Zusatz-/Hilfs-Programm.
Wenn ich jemals von so einer Möglichkeit gelesen hätte auf Systemebene, würde da sicher was im Hinterkopf klngeln.

Ich benutze auch noch einen Nichtadmin-Benutzer, aber eher aus historischen Gründen und um für Testzwecke immer einen zweiten zur Hand zu haben. Soweit ich weiß, muß aber bei den neueren Systemen auch der Admin ein Paßwort eingeben bei so ziemlich allen Installationen oder Änderungen. Big Sur geht noch weiter und verlangt noch mehr, z.B. explizite Voll-Freigaben der Festplatte für bestimmte Programme et cetera.

 

[Andi]

Ich tippe auf irgendein Zusatz-/Hilfs-Programm.
Wenn ich jemals von so einer Möglichkeit gelesen hätte auf Systemebene, würde da sicher was im Hinterkopf klngeln.

Nö. Das ging/geht noch? mit
sudo defaults write com.apple.loginwindow HideAdminUsers true

User mit id <500 sieht man nicht mal in Systemeinstellungen...

 

[Andi]

Wenn der Benutzer das Adminpasswort kennt...

Ja dann läuft eh was falsch. Der Benutzer soll nicht sehen wer Admin ist und kann für die ihn wichtigen Befehle in die sudoerlist eingetragen werden. Das ist Pschikologie und meine Oma hieß nicht Wetterwachs...

 

[Tealk]

Als Admin ist da vielleicht schnell mal ok gedrückt.

Also ich muss mich bei jedem Admin vorgang entweder mit der TochID oder mit Kennwort authentifizieren.

 

[Macs Pain]

Ist Selbstschutz. Falls eine obskure Seite ans System will. Als Admin ist da vielleicht schnell mal ok gedrückt. Geht als Benutzer nur mit Authentifizierung.

Auch als Admin nur mit Authentifizierung.

 

[Macs Pain]

Ja dann läuft eh was falsch. Der Benutzer soll nicht sehen wer Admin ist und kann für die ihn wichtigen Befehle in die sudoerlist eingetragen werden. Das ist Pschikologie und meine Oma hieß nicht Wetterwachs...

Macht auch total Sinn wenn der Admin und der Benutzer dieselbe Person sind. ^^

 

[TheWizard]

Einen Admin-Account zu "verstecken" nennt man "Security by obscurity" und bringt rein gar nichts...

 

[Tealk]

kann für die ihn wichtigen Befehle in die sudoerlist eingetragen werden.

Es gibt eine Whitelist wo man sich dann nicht als Admin authentifizieren muss?

 

[lisanet]

Es gibt eine Whitelist wo man sich dann nicht als Admin authentifizieren muss?

yep. -> /etc/sodoers

Aber Vorsicht, damit kann man viel Unfug anrichten und das System unbewusst sehr weit öffnen.

 

[Andi]

...nicht als Admin authentifizieren muss?

Authentifizieren muss der User trotzdem - halt mit seinem Passwort.

So würde ich z.B einen Schülerrechner einrichten. Wenn der erst mal suchen muss wer Admin ist... usw.

Es ist eher kosmetisch - ein Sicherheitsgewinn ist marginal. Aufpassen muss man mit der id<500 die sollte frei sein und bleiben...

 

[Andi]

Macht auch total Sinn wenn der Admin und der Benutzer dieselbe Person sind. ^^

Wenn Apple so eine Funktion anbietet wird sie wohl auch für bestimmte Fälle Sinn ergeben...

Das war aber auch nicht die Frage des TE.

 

[Macs Pain]

Wenn Apple so eine Funktion anbietet wird sie wohl auch für bestimmte Fälle Sinn ergeben...

Stimmt. Wenn es mehrere Personen gibt, die denselben Mac nutzen.

 

[lisanet]

Authentifizieren muss der User trotzdem - halt mit seinem Passwort.

... über die sodoers kann man doch auch einstellen, das keine Passwortabfrage kommt, oder ist das auf dem Mac anderweitig blockiert? (ich habe es nicht getestet).

 

[oneOeight]

... über die sodoers kann man doch auch einstellen, das keine Passwortabfrage kommt, oder ist das auf dem Mac anderweitig blockiert? (ich habe es nicht getestet).

Nein, da kannst wie sonst auch einzelne Befehle oder alle für einzelne Benutzer, Gruppen oder alle ohne Passwort setzen.

 

[Andi]

...oder ist das auf dem Mac anderweitig blockiert?

Ich meine sudo funktioniert nicht ohne Passwort falls man das in Systemeinstellungen->Benutzer noch so konfigurieren kann. Meinst Du das? Die Frage ist berechtigt ob der Unterbau noch Unix konform ist . Mit 10.4/10.5 wurde das mit Badge noch unterstrichen...

 

[wiefra3]

es gibt eigentlich keine Sicherheitsgründe für einen zweiten Benutzer wenn man nur selber den Rechner nutzt.

Es macht nur Sinn, wen man seinen Partner*in oder Kids am Rechner lässt, denen sollte aber nicht das Admin Passwort verraten
Auf dem Air hab ich meine Partnerin und Gast aktiv.....

 

[Andi]

Es macht nur Sinn, wen man seinen Partner*in oder Kids am Rechner lässt, denen sollte aber nicht das Admin Passwort verraten

Bis die Kids dahinter kommen das der/die Partner*in mehr Rechte hat als die/der Partner*in 😬

Es muss schon kommuniziert werden. Es gibt viele nützliche Terminaloneliner die ein sudo verlangen und da will ich als Admin gar nicht eingreifen müssen...