Контроль учетных записей пользователей (авторизация)
Контроль учетных записей (UAC) позволяет пользователям выполнять общие задачи в качестве неадминистрататоров, обычных пользователей и администраторов без необходимости переключать пользователей, выходить из системы или использовать запуск от имени. Поведение контроля учетных записей для параметра «Никогда не уведомлять» больше не отключает контроль учетных записей. Параметр «Никогда не уведомлять» предоставляет разделенный маркер и всегда автоматически повышает необходимые привилегии. Эта тонкость может привести к проблемам совместимости приложения. Вы по-прежнему можете отключить контроль учетных записей с помощью групповых политик или вручную, задав раздел реестра.
Windows Server 2008 R2, Windows 7, Windows Server 2008 и Windows Vista: Параметр «Никогда не уведомлять» отключает контроль учетных записей.
Например, если вы выполните следующие действия, чтобы изменить параметр «Никогда не уведомлять», вы получите разные результаты при попытке создать файл в папке, требующей повышенных привилегий. Windows 8 поведение заключается в запрете доступа. Поведение Windows 7 позволяет создать файл File.txt.
- Нажмите кнопку Пуск. В поле поиска введите «Изменить параметры контроля учетных записей».
- Щелкните или коснитесь изменить параметры контроля учетных записей, чтобы открыть его.
- Переместите ползунок в положение Никогда не уведомлять.
- Нажмите кнопку ОК.
- Перезапустите компьютер.
- Нажмите кнопку Пуск , а затем — Выполнить. В поле Открыть введите «Cmd.exe». Обратите внимание, что заголовок окна не содержит строку «Администратор».
- Введите «echo > %windir%\system32\File.txt».
Контроль учетных записей был добавлен в Windows Server 2008 и Windows Vista. Стандартная учетная запись пользователя является синонимом учетной записи пользователя в Windows XP. Учетные записи пользователей, входящие в группу локальных администраторов, будут запускать большинство приложений в качестве обычного пользователя.
Сведения об UAC см. в следующих разделах.
| Раздел | Описание |
|---|---|
| Рекомендации по контролю учетных записей при разработке пользовательского интерфейса | Общие сведения об UAC. |
| Разработка приложений, требующих прав администратора | Модели для разработки приложений, выполняющих операции, требующие прав администратора, но выполняющиеся от имени обычного пользователя. |
| Справочник по авторизации | Подробные сведения о функциях авторизации, интерфейсах, структурах и других элементах программирования. |
Отключение контроля учетных записей пользователей Windows – все методы
Контроль учетных записей пользователей Windows, также известный как UAC, является интегрированной функцией во всех операционных системах Microsoft, которая позволяет вам контролировать компьютер, запрашивая разрешение, прежде чем вносить изменения, требующие прав администратора.
Прежде чем объяснять, как отключить контроль учетных записей Windows, следует сказать, что UAC всегда должен быть активным, поскольку он может предотвращать и блокировать несанкционированные изменения, которые могут поставить под угрозу безопасность компьютера.
Контроль учетных записей можно отключить несколькими способами: в настройках UAC, в системном реестре или в командной строке.
Отключить контроль учетных записей Windows в настройках
- Нажмите на клавиатуре компьютера клавиши Win (это клавиша с логотипом Windows) и R одновременно. Откроется окно «Выполнить».
- В поле Открыть: введите useraccountcontrolsettings и нажмите кнопку ОК .
- Откроется окно настроек контроля учетных записей Windows.
- Теперь переведите селектор до «Никогда не уведомлять».
- Нажмите ОК .
Чтобы завершить процедуру и отключить контроль учетных записей Windows, вы должны перезагрузить компьютер.
Отключить контроль учетных записей Windows в реестре
Чтобы отключить UAC, мы можем использовать редактор реестра Windows (→ что такое реестр Windows).
Важно: редактор реестра может быть запущен только с учетной записью администратора.
- Нажмите на клавиатуре компьютера клавиши Win (это клавиша с логотипом Windows) и R одновременно. Откроется окно «Выполнить».
- В поле Открыть: введите regedit и нажмите ОК . Откроется редактор реестра. Перед изменением реестра рекомендуется создать резервную копию (→ как сделать резервную копию реестра Windows) или точку восстановления, которую можно использовать в случае проблем (→ как создать точку восстановления Windows).
- На левой панели найдите этот ключ: HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Policies \ System
- На правой панели найдите элемент EnableLUA и дважды кликните по нему.
- Откроется окно «Изменение параметра DWORD».
- В поле Значение: поменяйте 1 на 0.
- Нажмите ОК .
- Закройте редактор реестра.
Чтобы завершить процедуру и отключить контроль учетных записей Windows, необходимо перезагрузить компьютер.
Отключите контроль учетных записей с помощью командной строки
- Откройте командную строку Windows от имени администратора.
- Скопируйте и вставьте следующую команду в командную строку: C:\Windows\System32\cmd.exe /k %windir%\System32\reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- Нажмите Enter на клавиатуре компьютера.
Чтобы завершить процедуру и отключить контроль учетных записей Windows, вы должны перезагрузить компьютер.
Что произойдет, если отключить контроль учетных записей
В заключение руководства мы объясним, что произойдет, если вы решили отключить контроль учетных записей Windows.
- Вы больше не будете получать никаких уведомлений о том, нужно ли разрешить или запретить изменения, требующие административных прав.
- Если вы используете стандартную учетную запись пользователя, вы не сможете вносить изменения, требующие авторизации администратора, поскольку они будут автоматически заблокированы.
- Если вы используете учетную запись администратора, некоторые программы могут вносить изменения в компьютер без предварительного разрешения.
Важное замечание: единственный пользователь Windows, на которого не распространяется UAC, – это Супер Администратор, который по соображениям безопасности отключен по умолчанию (→ что такое учетная запись Супер Администратора и как её включить).
Изменение параметров управления доступом пользователей
Параметры user контроль доступа помогают предотвратить внесение изменений в устройство потенциально опасными программами и программным обеспечением. Если вы получили сообщение о настройке этих элементов управления на зарегистрированном рабочем или учебном устройстве, это означает, что вашей организации требуется, чтобы ваше устройство было более защищенным. В этой статье описывается, как настроить уровень защиты в соответствии с требованиями организации.
Настройка уровня защиты
Вы можете настроить параметры контроля учетных записей пользователей в панель управления.
- Перейдите в меню Пуск и откройте панель управления.
- Выберите Система и безопасность.
- В разделе Безопасность и обслуживание выберите Изменить параметры контроля учетных записей пользователей.
- Переместите ползунок на один из следующих уровней:
- Уведомлять меня только о том, что приложения пытаются внести изменения в мой компьютер (по умолчанию)
- Всегда уведомлять
- Нажмите OK, чтобы сохранить изменения.
- Выберите Да при появлении запроса на подтверждение изменений.
Проверка доступа в Корпоративный портал
После внесения изменений в контроль учетных записей вернитесь к Корпоративный портал и запустите на устройстве проверка, чтобы зарегистрировать изменения в приложении.
- Откройте Корпоративный портал для Windows.
- Перейдите в раздел Устройства и выберите свое устройство.
- Выберите Проверить доступ.
Дальнейшие действия
Требуется дополнительная помощь? Обратитесь к специалисту службы ИТ-поддержки. Контактные сведения см. в разделе Справка & поддержки в приложении Корпоративный портал или войдите на веб-сайт Корпоративный портал для получения сведений о службе технической поддержки.
Обратная связь
Были ли сведения на этой странице полезными?
Отключение контроля учетных записей пользователей (UAC) в Windows Server
В этой статье описывается, как отключить контроль учетных записей пользователей (UAC) в Windows Server.
Применяется к: Windows Server 2012 R2
Исходный номер базы знаний: 2526083
Аннотация
При определенных ограниченных обстоятельствах отключение UAC в Windows Server может быть приемлемой и рекомендуемой практикой. Эти ситуации возникают только в том случае, если выполняются оба следующих условия:
- Только администраторам разрешено входить на сервер Windows в интерактивном режиме на консоли или с помощью служб удаленных рабочих столов.
- Администраторы войдите на сервер под управлением Windows только для выполнения на сервере законных системных административных функций.
Если одно из этих условий не выполняется, UAC должен оставаться включенным. Например, сервер включает роль служб удаленных рабочих столов, чтобы неадминистративные пользователи могли входить на сервер для запуска приложений. В этом случае приложение UAC должно оставаться включенным. Аналогичным образом, приложение UAC должно оставаться включенным в следующих ситуациях:
- Администраторы запускают на сервере рискованные приложения. Например, веб-браузеры, почтовые клиенты или клиенты обмена мгновенными сообщениями.
- Администраторы выполняют другие операции, которые должны выполняться из клиентской операционной системы, например Windows 7.
- Это руководство относится только к операционным системам Windows Server.
- UAC всегда отключен в выпусках Основных серверных компонентов Windows Server 2008 R2 и более поздних версий.
Дополнительные сведения
UAC был разработан для того, чтобы помочь пользователям Windows перейти к использованию стандартных прав пользователя по умолчанию. UAC включает несколько технологий для достижения этой цели. К числу таких технологий относится следующее:
- Виртуализация файлов и реестров. Когда устаревшее приложение пытается выполнить запись в защищенные области файловой системы или реестра, Windows автоматически и прозрачно перенаправляет доступ к части файловой системы или реестру, который пользователь может изменить. Она позволяет многим приложениям, для которых требуются права администратора в более ранних версиях Windows, успешно работать с правами только стандартных пользователей в Windows Server 2008 и более поздних версиях.
- Повышение прав на одном рабочем столе: когда авторизованный пользователь запускает и повышает уровень программы, результирующий процесс предоставляет более мощные права, чем права интерактивного пользователя рабочего стола. Объединяя повышение прав с функцией фильтрованного маркера UAC (см. следующий пункт маркера), администраторы могут запускать программы со стандартными правами пользователя. Кроме того, они могут повысить уровень только тех программ, для которых требуются права администратора с одной и той же учетной записью пользователя. Эта функция повышения прав одного и того же пользователя также называется Администратор утверждения. Программы также можно запускать с повышенными правами с помощью другой учетной записи пользователя, чтобы администраторы могли выполнять административные задачи на рабочем столе обычного пользователя.
- Отфильтрованный токен. Когда пользователь с административными или другими мощными привилегиями или членством в группах регистрируется, Windows создает два маркера доступа для представления учетной записи пользователя. Нефильтрованый маркер имеет все членство и привилегии пользователя в группе. Отфильтрованный маркер представляет пользователя с эквивалентом стандартных прав пользователя. По умолчанию этот отфильтрованный маркер используется для запуска программ пользователя. Маркер без фильтра связан только с программами с повышенными привилегиями. Учетная запись называется защищенной учетной записью администратора при следующих условиях:
- Он входит в группу «Администраторы».
- Он получает отфильтрованный токен при входе пользователя в систему
Если вы отключите контроль учетных записей пользователей: запустите всех администраторов в Администратор режиме утверждения. Он отключает все функции UAC, описанные в этом разделе. Этот параметр политики доступен с помощью локальной политики безопасности компьютера, параметров безопасности, локальных политик, а затем параметров безопасности. Устаревшие приложения, которые имеют стандартные права пользователя, которые ожидают записи в защищенные папки или разделы реестра, завершались ошибкой. Отфильтрованные маркеры не создаются. Все программы выполняются с полными правами пользователя, вошедвшего на компьютер. Он включает Internet Explorer, так как защищенный режим отключен для всех зон безопасности.
Одна из распространенных проблем с UAC и повышением прав на уровне одного рабочего стола, в частности, заключается в том, что оно предотвращает установку вредоносных программ или получение прав администратора. Во-первых, вредоносные программы могут быть написаны, чтобы не требовать права администратора. Кроме того, вредоносные программы можно записывать только в области профиля пользователя. Что еще важнее, повышение прав на уровне одного рабочего стола в UAC не является границей безопасности. Его можно перехватить с помощью непривилегированного программного обеспечения, которое выполняется на одном рабочем столе. Повышение прав на одном рабочем столе следует считать удобной функцией. С точки зрения безопасности защищенный администратор должен считаться эквивалентом администратора. Напротив, использование функции быстрого переключения пользователей для входа в другой сеанс с помощью учетной записи администратора подразумевает границу безопасности между учетной записью администратора и стандартным сеансом пользователя.
Для сервера под управлением Windows, на котором единственная причина интерактивного входа в систему заключается в администрировании системы, цель меньшего количество запросов на повышение прав нецелеснима или желательной. Системным средствам администрирования требуются права администратора. Когда всем задачам пользователя с правами администратора требуются права администратора, и каждая из них может активировать запрос на повышение прав, запросы являются лишь помехой для повышения производительности. В этом контексте такие запросы не могут и не могут способствовать разработке приложений, которым требуются стандартные права пользователя. Такие запросы не улучшают уровень безопасности. Эти запросы просто помогают пользователям щелкнуть диалоговые окна, не читая их.
Это руководство применимо только к хорошо управляемым серверам. Это означает, что только пользователи с правами администратора могут выполнять вход в интерактивном режиме или через службы удаленного рабочего стола. Кроме того, они могут выполнять только допустимые административные функции. Сервер должен считаться эквивалентом клиентской системы в следующих ситуациях:
- Администраторы запускают рискованные приложения, такие как веб-браузеры, почтовые клиенты или клиенты обмена мгновенными сообщениями.
- Администраторы выполняют другие операции, которые должны выполняться из клиентской операционной системы.
В этом случае UAC должен оставаться включенным в качестве меры глубинной защиты.
Кроме того, если стандартные пользователи выполняют вход на сервер на консоли или через службы удаленного рабочего стола для запуска приложений, особенно веб-браузеров, приложение UAC должно оставаться включенным для поддержки виртуализации файлов и реестра, а также защищенного режима Internet Explorer.
Другим вариантом избежать запросов на повышение прав без отключения контроля учетных записей пользователей является установка контроля учетных записей: поведение запроса на повышение прав для администраторов в политике безопасности Администратор режима утверждения для повышения привилегий без запроса. С помощью этого параметра запросы на повышение прав автоматически утверждается, если пользователь входит в группу «Администраторы». Этот параметр также оставляет pmIE и другие функции UAC включенными. Однако не все операции, для которых требуется повышение прав администратора. Использование этого параметра может привести к повышенным привилегиям для некоторых программ пользователя, а к некоторым — к другим без возможности различий между ними. Например, большинство консольных служебных программ, для которых требуются права администратора, должны запускаться в командной строке или в другой программе с повышенными привилегиями. Такие служебные программы просто завершались сбоем при запуске в командной строке без повышенных привилегий.
Дополнительные эффекты отключения UAC
- При попытке использовать проводник Windows для перехода в каталог, в котором у вас нет разрешений на чтение, обозреватель предложит изменить разрешения каталога, чтобы предоставить учетной записи пользователя постоянный доступ к нему. Результаты зависят от того, включено ли приложение UAC. Дополнительные сведения см. в разделе «Продолжить» для доступа к папке в проводнике Windows. Ваша учетная запись пользователя добавляется в список ACL для папки.
- Если UAC отключен, проводник Windows продолжает отображать значки экранов UAC для элементов, для которых требуется повышение прав. Обозреватель Windows по-прежнему включает запуск от имени администратора в контекстные меню приложений и ярлыки приложений. Так как механизм повышения прав UAC отключен, эти команды не влияют. Приложения выполняются в том же контексте безопасности, что и пользователь, в который выполнил вход.
- Если функция UAC включена, то при использовании Runas.exe консоли для запуска программы с использованием учетной записи пользователя, на которую распространяется фильтрация маркеров, программа запускается с фильтрованным маркером пользователя. Если UAC отключен, запущенная программа запускается с полным маркером пользователя.
- Если функция UAC включена, локальные учетные записи, для которых применяется фильтрация маркеров, нельзя использовать для удаленного администрирования через сетевые интерфейсы, отличные от удаленного рабочего стола. Например, через NET USE или WinRM. Локальная учетная запись, которая выполняет проверку подлинности через такой интерфейс, получает только привилегии, предоставленные отфильтрованным маркерам учетной записи. Если UAC отключен, это ограничение удаляется. Ограничение также можно удалить с помощью LocalAccountTokenFilterPolicy параметра, описанного в статье KB951016. Удаление этого ограничения может увеличить риск компрометации системы в среде, где многие системы имеют локальную учетную запись администратора с одинаковыми именем пользователя и паролем. Мы рекомендуем убедиться, что для этого риска применяются другие меры по устранению рисков. Дополнительные сведения о рекомендуемых средствах устранения рисков см. в разделе «Устранение атак pass-the-Hash (PtH) и других краж учетных данных версии 1 и 2».
- PsExec, контроль учетных записей пользователей и границы безопасности
- При выборе параметра «Продолжить» для доступа к папке в проводнике Windows ваша учетная запись пользователя добавляется в список ACL для папки (база знаний 950934)
Обратная связь
Были ли сведения на этой странице полезными?