EPM „Als aktueller Benutzer erhöhen“: Korrekte Benutzerprofil- und Umgebungsvariablen bei der Rechteerweiterung

Das ältere EPM-Modell mit einem isolierten virtuellen Administratorkonto ändert den Sicherheitskontext vollständig, sodass der Prozess unter einer anderen SID mit eigenem Profil unter C:\Users\<virtual_admin> und einer separaten HKCU-Registry (HKEY_USERS\<SID>) ausgeführt wird. Dadurch schlagen Anwendungen fehl, die auf %USERPROFILE%, %APPDATA% oder benutzerspezifische Pfade angewiesen sind, weil diese Umgebungsvariablen auf das Profil des virtuellen Kontos zeigen und nicht auf das des angemeldeten Benutzers.

„Erhöhen als aktueller Benutzer“ behebt das, indem die gleiche Benutzer-SID und der gleiche Profilkontext beibehalten werden und nur ein erhöhter Token für den Prozess hinzugefügt wird. Der Prozess läuft weiterhin unter dem ursprünglichen Benutzer, sodass %USERPROFILE%, %LOCALAPPDATA% sowie Registry-Pfade wie HKCU\Software korrekt auf C:\Users\<Benutzername> zeigen. Gleichzeitig fügt EPM die erforderlichen Administratorrechte dem Zugriffstoken hinzu, ähnlich wie bei einer UAC-Elevation, ohne die Identität zu wechseln.

Dadurch bleibt die Konsistenz von Dateisystem und Registry erhalten, weshalb Tools mit benutzerspezifischen Konfigurationen, lokalen Datenbankdateien oder Entwicklungsumgebungen wieder korrekt funktionieren. Man erhält administrative Rechte, ohne den Benutzerkontext zu verlieren und vermeidet die typischen Probleme getrennter Profile.

Der einzige relevante Punkt ist die Nachvollziehbarkeit: Da derselbe Benutzerkontext verwendet wird, erfolgt die Protokollierung erhöhter Aktionen über EPM-Richtlinien und nicht über Aktivitäten eines separaten Kontos.