Донецкий техникум промышленной автоматики

Управління UAC в Windows 7 і Windows Server 2008 R2

Функція контролю облікових записів UAC в Windows Vista викликала чимало суперечок. Тому не дивно, що в Windows 7 внесені поліпшення, не тільки змінили роботу функції контролю облікових записів, а й дозволяють більш гнучко налаштувати UAC. У Windows 7 і Windows Server 2008 R2 контроль облікових записів вдосконалений за рахунок того, що:

  • зменшено кількість запитів в різних ситуаціях;
  • збільшено число операцій, які звичайний користувач може виконувати без підвищення прав;
  • додані нові параметри UAC;
  • введені нові політики безпеки, що дозволяють налаштувати UAC для локальних адміністраторів і звичайних користувачів.

Microsoft приділяє велику увагу тому, щоб роз'яснити призначення контролю облікових записів в своїх новітніх операційних системах, тому логічно почати саме з цього питання.

Призначення контролю облікових записів

Коли контроль облікових записів був вперше представлений в Windows Vista, його позиціонували як засіб підвищення безпеки операційної системи, хоча пряме призначення UAC полягає не в цьому. Згодом незалежні експерти неодноразово демонстрували можливості обходу UAC. Коли в Microsoft прийшов Марк Русинович, на нього, схоже, було покладено завдання реабілітації UAC, і він почав методично пояснювати справжнє призначення контролю облікових записів. Він ввів поняття «межа захищеної зони» (security boundary) і всіма доступними засобами (Technet, конференції, блог) роз'яснював, що UAC такої кордоном не є. Наприклад, саме цій темі був присвячений один з його доповідей на конференції «Платформа 2008" ( http://technet.microsoft.com/ru-ru/magazine/cc138019.aspx ) у Москві.

Насправді контроль облікових записів був створений для того, щоб в системі можна було повноцінно працювати без прав адміністратора. Цю масштабну задачу необхідно було вирішувати тому, що в Windows 2000 / XP робота з адміністративної обліковим записом стала звичайною практикою. В цьому випадку проникнення шкідливого коду в систему веде до плачевних наслідків. Ситуація ускладнювалася тим, що багато розробників програм абсолютно не дбали про обмежені облікові записи, цілком покладаючись на те, що установка їх продуктів і робота з ними вестимуться з правами адміністратора. Виходило зачароване коло. Творці UAC змінили модель контролю доступу, в результаті чого була не тільки змінена робота облікових записів, а й реалізована віртуалізація файлової системи і реєстру.

Для користувачів ж контроль облікових записів фактично звівся до настільки нелюбимим запитам UAC. Основне їх призначення в тому, щоб повідомити користувача, що працює з правами адміністратора, про спроби додатки внести в систему зміни, що вимагають повного адміністративного доступу. Звичайному користувачеві, який не має прав на вчинення дії, тут же пропонується ввести облікові дані адміністратора. Зрозуміло, що розробники повинні планувати програми таким чином, щоб для роботи з програмою не було потрібно адміністративних прав. А якщо все програмне забезпечення в системі може працювати в контексті звичайного користувача, то вже немає необхідності в рутинній роботі з повними правами адміністратора. Налаштування системи можна проводити від імені адміністратора або під його обліковим записом, але це не щоденна завдання. І навіть якщо ви працюєте з правами адміністратора, UAC контролює виконання завдань, що вимагають повних адміністративних повноважень; він повідомляє користувача в тих випадках, коли потрібне підтвердження прав.

Таким чином, контроль облікових записів покликаний не запобігти проникненню шкідливого коду (для цього існує брандмауер і антивірусне / анти-шпигунське програмне забезпечення), а знизити наноситься їм шкоду - обмежити його вплив правами звичайного користувача. Строго кажучи, підвищується не безпека операційної системи, а її стійкість до несанкціонованого доступу.

До речі, значок щита в цьому розділі статті не випадковий - саме його ви бачите на кнопках, поруч з посиланнями і в пунктах меню операційної системи, коли потрібно підвищення прав. Іншими словами, якщо контроль облікових записів включений, звернення до елементу інтерфейсу, позначеному щитом, супроводжується запитом UAC. Колірна гамма щита змінилася в порівнянні з Windows Vista, але це далеко не єдина зміна в інтерфейсі.

Зміни в інтерфейсі

Доступ до параметрів функції контролю облікових записів спростився - їх можна відкрити з елементів панелі управління «Центр підтримки» і «Облікові записи користувачів», а також з командного рядка, запустивши UserAccountControlSettings.exe (див. Екран 1).

В налаштуваннях UAC замість двох можливостей управління (включений / виключений) з'явилося чотири режими роботи.

  • «Повідомляти при установці програм або спробі внесення ними змін, а також при зміні параметрів Windows користувачем». Це максимальний рівень контролю облікових записів.
  • «Повідомляти при установці програм або спробі внесення ними змін». Цей рівень використовується за умовчанням.
  • «Повідомляти при спробі установки програм або спробі внесення ними змін, але не затемнювати робочий стіл». Затемнення робочого столу (так званий безпечний робочий стіл, Secure Desktop) - це свого роду підтвердження автентичності вікна UAC, що дозволяє візуально відрізнити підроблені запити UAC від справжніх.
  • «Не повідомляти ні при установці програм або спробі внесення ними змін, ні при зміні параметрів Windows користувачем». Служба захисту користувачів відключений.

Крім вікна налаштувань, змінилися й діалогові вікна управління функцією контролю облікових записів. Зміни спрямовані на те, щоб користувачам була зрозуміла суть запиту (див. Екран 2).

Тепер в основному використовуються тільки два кольори:

  • синій - для компонентів, що мають цифровий підпис;
  • жовтий - для компонентів, які не мають цифрового підпису.

Червоний колір використовується тільки в тих рідкісних випадках, коли програма або компонент заблоковані адміністратором. Крім того, в запитах жирним шрифтом виділяється видавець програми. Для користувачів, спантеличених появою запиту, в діалоговому вікні передбачена посилання «Допомога в ухваленні рішення».

Зміни в роботі

Безумовно, в Windows 7 і Windows Server 2008 R2 робота цілеспрямовано велася з акцентом на зменшення кількості запитів UAC - саме цей аспект викликав найбільше невдоволення користувачів Windows Vista серед усіх претензій до операційної системи.

Зменшено кількість запитів

Яка буде використовуватися під рівень контролю - це нова можливість Windows 7 і Windows Server 2008 R2. Такий рівень неможливо було налаштувати в Windows Vista за допомогою призначеного для користувача інтерфейсу, політики безпеки або реєстру. Робота операційної системи була змінена для того, щоб, не знижуючи рівень безпеки, реалізувати автоматичне підвищення прав для виконання поширених адміністративних завдань, які викликали б близько половини запитів UAC. Це мало сенс зробити тому, що за статистикою 9 з 10 таких запитів користувачі все одно схвалювали.

Що ж стосується рівня, що дозволяє відключити безпечний робочий стіл, то його поява в інтерфейсі обумовлено бажанням продемонструвати максимальну сумісність UAC з апаратним забезпеченням. У деяких випадках затемнення робочого столу призводило до затримок в роботі операційної системи, чому міг бути причиною, наприклад, драйвер відеокарти. У Windows Vista була політика, яка дозволяє відключити безпечний робочий стіл, проте більшість користувачів про її існування навіть не підозрювали.

Якщо порівнювати кількість запитів UAC в Windows 7 і Windows Vista, то навіть при максимальному рівні контролю облікових записів кількість запитів в новій версії зменшилася. A рівень контролю, який використовується тепер за замовчуванням, ще більше повинен сприяти досягненню такого необхідного балансу між безпекою та нав'язливою турботою операційної системи. В таблиці 1 порівнюється кількість запитів двох верхніх рівнів контролю облікових записів в нових операційних системах і Windows Vista SP1.

Змінено робота компонентів

Багато компонентів нових операційних систем були перероблені, щоб зменшити кількість запитів UAC і зробити роботу користувачів більш комфортною. Позитивні зміни відбулися в роботі як звичайних користувачів, так і локальних адміністраторів (див. таблицю 2 ).

Адміністративні облікові записи

Зміни, що торкнулися вбудовану обліковий запис «Адміністратор», стосуються в основному роботи в безпечному режимі. Однак, перш ніж перейти до них, я б хотів розповісти про відмінності між вбудованою і іншими адміністративними обліковими записами.

Відповідно до одного з поширених помилок про контроль облікових записів, вбудований обліковий запис «Адміністратор» має більше прав, ніж звичайна. Це не так. Насправді відмінність лише в тому, що права вбудованої облікового запису автоматично підвищуються до максимальних при виконанні всіх завдань, тому запит UAC для неї не виводиться (див. Екран 3).

Екран 3)

Всі інші адміністративні облікові записи працюють в режимі адміністративного (Admin Approval Mode): контроль облікових записів запитує підтвердження дій, якщо потрібно підвищення прав. А якщо не потрібно, завдання виконуються з правами звичайного користувача.

Незнання цієї тонкощі нерідко збиває користувачів з пантелику. Наприклад, запуск командного рядка адміністратором виконується з правами звичайного користувача, оскільки саме по собі ця дія не має на увазі внесення важливих змін в систему. Для того щоб виконати завдання з повними правами, необхідно запустити її від імені адміністратора - відповідний пункт є в контекстному меню провідника. В цьому випадку Вам буде запропоновано UAC (див. Екран 4).

Оскільки запуск здійснений адміністратором, облікові дані вводити не потрібно - потрібно лише підтвердити дію. Крім того, поряд з пропозицією допомоги в ухваленні рішення, для адміністраторів в діалоговому вікні є посилання «Змінити при появі цього повідомлення», що відкриває параметри контролю облікових записів. Продовжуючи приклад з командним рядком, легко визначити, з якими правами вона була запущена (див. Екран 5).

Можна налаштувати політику безпеки таким чином, щоб у адміністративних облікових записів відбувалося підвищення прав без запиту UAC - досить буде лише запустити задачу від імені адміністратора. Тому немає ніякої необхідності в повсякденній роботі з вбудованою обліковим записом «Адміністратор».

На відміну від Windows Server 2008 R2, вбудована адміністративна обліковий запис в Windows 7 відключена. Якщо це єдина активна обліковий запис в групі "Адміністратори" при оновленні Windows XP до Windows 7, вона переводиться в режим схвалення.

Зміни, що стосуються роботи відключеною облікового запису «Адміністратор» в безпечному режимі, відображені в таблиці 3 .

Налаштування UAC за допомогою політик безпеки

Маючи права локального адміністратора, ви можете управляти параметрами контролю облікових записів за допомогою локальної політики безпеки. Політики UAC можна задати як в оснащенні «Локальна політика безпеки» (secpol.msc) в вузлі «Локальні політики», «Параметри безпеки», так і в розділі системного реєстру HKLMSOFTWARE
MicrosoftWindowsCurrentVersion PoliciesSystem (див. екран 6 ).

Основна політика, яка визначає стан контролю облікових записів і всіх інших його політик, не змінилася, що відображено в таблиці 4 .

Зміни ж торкнулися двох політик, що визначають поведінку запитів керування обліковими записами для локальних адміністраторів і звичайних користувачів. Поряд з існуючими раніше варіантами, тепер ви можете вказати, чи буде використовуватися безпечний робочий стіл, якщо для продовження роботи UAC вимагає підтвердити дію або ввести облікові дані (див. таблиці 5 і 6 ).

Крім перерахованих вище політик безпеки, є й інші, що дозволяють більш гнучко налаштувати роботу контролю облікових записів. З їх призначенням можна ознайомитися у властивостях політики на вкладці «Пояснення», а відповідні їм параметри реєстру документовані в MSDN.

Нове обличчя UAC

Служба захисту користувачів у Windows 7 і Windows Server 2008 R2 піддався істотній переробці. В першу чергу, знизилася кількість запитів UAC, зайва нав'язливість яких викликала справедливу критику користувачів Windows Vista. Поліпшити роботу UAC вдалося за рахунок змін в роботі нових операційних систем поряд з введенням нового рівня контролю облікових записів. Цей рівень, який використовується за умовчанням, здійснює автоматичне підвищення прав при виконанні найбільш поширених адміністративних дій. Оформлення запитів контролю облікових записів також змінилося - тони пом'якшилися, а інформація подається чіткіше. Ці нововведення мають сприяти більш прихильному сприйняттю UAC кінцевими користувачами.

Доступ до параметрів контролю облікових записів спростився за рахунок розміщення посилань на нього в різних елементах панелі управління. Всі доступні параметри UAC можна також налаштувати за допомогою локальних політик безпеки або відповідних їм параметрів системного реєстру. Крім того, політики безпеки надають в розпорядження системних адміністраторів можливості більш тонкої настройки поведінки запитів UAC для адміністративних і звичайних облікових записів.

Вадим Стеркиной ( [email protected] ) - займається розвитком комп'ютерного інформаційного порталу OSZone.net. Має звання Microsoft MVP в категорії Windows Desktop Experience

Таблиця 1. Кількість запитів у Windows 7 і Windows Server 2008 R2 в порівнянні з Windows Vista SP1

Таблиця 2. Запити UAC для звичайного користувача і адміністратора

Таблиця 3. Робота в безпечному режимі при відключеному облікового запису «Адміністратор»

Таблиця 4. Політика «Служба захисту користувачів: все адміністратори працюють в режимі адміністративного»

Таблиця 5. Політика «Служба захисту користувачів: поведінка запиту на підвищення прав для адміністраторів в режимі адміністративного»

Таблиця 6. Значення політики «Служба захисту користувачів: поведінка запиту на підвищення прав для звичайних користувачів»

Екран 6. Політики безпеки керування обліковими записами