قيود حساب Windows 7. كيف يمكن تقييد الوصول إلى الكمبيوتر للحسابات؟ كيف تعمل

يبدو لي أنه في هذه الحالة ، قد تنجح الوصفة التالية: تحتاج إلى إنشاء مجموعتين ، دعنا نسميها PCComission و UserComission.
تضمين أجهزة الكمبيوتر في تكوينها ومستخدمي قسم العمولة ، على التوالي.
بعد ذلك ، قم بإنشاء كائن سياسة المجموعةوقم بالارتباط بـ OU SUS ، مع إزالة سياسة التطبيق مباشرة من مجموعة Auth Users ، وإضافتها إلى مجموعة PCComission بدلاً من ذلك. بعد ذلك ، في خصائص السياسة ، باستخدام آلية تقييد عضوية المجموعة ، قم باستبعاد مجموعة مجال Domain Users من مجموعة Users المحلية ، ولكن أضف مجموعة UserComission

فاديم ، أشرت إلى أنك مخطئ لأن وصفتك لن تعمل: استبعاد مستخدمي المجال من مجموعة مستخدمي الكمبيوتر المدمج لن يقيد مستخدمي المجال على المدخلات المحليةلهذا الكمبيوتر. هذا كل شئ. لا تشعر بالإهانة ، ولكن "يبدو لي أن ..." يجب أن يتم فحصها من قبل ، وتقديمها كوصفة. تذكر / تحقق من حالة عضوية "Builtin \ Users" النموذجية على جهاز كمبيوتر عضو في مجال AD ، حول الامتيازات ، وأخيراً ...

نعم ، وشيء آخر ، لست مضطرًا إلى التدرب على نفسك ، ناهيك عن تقديم المشورة للمسؤول عديم الخبرة لتغيير نموذج مرجع الأمان دون سبب وجيه. أولاً ، بهذا ستجلب المزيد من المشاكلمن الحصول على المكافآت ، وثانيًا - يمكن أن يحرمك من الدعم الفني!

فاديم ، إذا استطعت أن تشرح لي أين أكون مخطئًا ، فسأكون ممتنًا لك. :)

في هذه القائمة المنبثقة الجديدة ، حدد من القائمة المستخدم الذي سيتم رفض وصوله إلى مستنداتك. في المربع أذونات لـ ، حدد خانات الاختيار في العمود الأيمن لجميع الخيارات المتاحة. كرر العملية لجميع الحسابات التي تحمي مثل هذا الدليل عليها.

نصيحة مثيرة للاهتمام هي استخدام طريقة الحماية هذه لرفض الوصول إلى الدليل الرئيسي ، الذي يحتوي على جميع المستندات والمعلومات الخاصة بك. الحسابالمستعمل. أحد أحلام كثير من الناس هو أداة أو تطبيق يتحكم في كل ما يتم على الكمبيوتر ، من البرامج المفتوحة إلى تغييرات النظام.

يضاف: فاديم ، وعن موضوع السياسة. حسنًا ، دع UCP يأخذ ما لا يقل عن 10 ميغا بايت في SYSVOL ونفس المبلغ في حاوية AD - وماذا في ذلك؟ تم تحسين النسخ المتماثل ، ولا يقوم العميل بإعادة تنزيل UCP خمس مرات في اليوم ، ولا يغيره المسؤول لأنه لا يوجد شيء للقيام به - أليس كذلك؟ بشكل عام ، من الأفضل إنشاء المزيد من OCP ، وغالبًا - هذه هي الطريقة الوحيدة الممكنة ، بدلاً من البحث في صلصة الخل.

هنا يمكنك تكوين إعدادات مختلفة ليس فقط للمستخدمين ، ولكن أيضًا للكمبيوتر. سيكون لديك العديد من خيارات التكوين مثل إدارة الطاقة وملفات تعريف المستخدمين وتسجيل الدخول والمزيد. هذا هو المكان الذي تقوم فيه بإدخال أسماء البرامج التي يجب قفلها. على الجانب الأيسر ، لديك ثلاثة خيارات: غير مكوّن وممكّن ومعطل. اختر الأخير. وبالتالي ، ستتيح لك نافذة العرض ، التي تم تعطيلها ، تحديد برامج معينة يمكن فتحها على جهاز الكمبيوتر الخاص بك.

لإضافة برامج إلى القائمة ، ما عليك سوى إدخال أسماء تلك التي يمكن الوصول إليها. الرجاء إدخال الاسم الصحيح ملف تنفيذيالبرامج. علاوة على ذلك ، يمكن فقط فتح المستخدمين من هذه القائمة في هذه القائمة. إذا كنت تريد تحرير جميع البرامج لاستخدامها مرة أخرى ، فما عليك سوى تحديد الخيار "معطل" في الزاوية اليسرى العليا من الصفحة.

شكرًا لزوجتي كاتيا ، كليفوجين س.ب. ، كوزلوف س.ف. ، مورافليانيكوف إن إيه ، نيكيتين آي جي ، شابيرو إل في. لعلمي! :)

ديمتري ، في الواقع ، لقد شرحت بالفعل في إحدى المشاركات السابقة لهذا الموضوع: 21 أغسطس 2009 10:26.
حسنًا ، دعنا نذهب مرة أخرى. يتألف اقتراحي من فكرة تغيير ، باستخدام آلية "المجموعات المقيدة" ، تكوين مجموعة المستخدمين / المستخدمين المحليين على أجهزة كمبيوتر قسم العمولة ، بحيث لا يتمكن مستخدمو قسم المبيعات من تسجيل الدخول إليهم (بعد كل شيء ، فمن خلال العضوية في هذه المجموعة يكون لهم مثل هذا الحق). صحيح ، لقد صاغت هذه الفكرة بشكل عرضي ، وكان من الصحيح عدم "استبعاد مجموعة مجال مستخدمي المجال من مجموعة المستخدمين المحلية" ، ولكن "امسح مجموعة المستخدمين المحلية" ، ولكن لا يغير الجوهر، نظرًا لأن السياسة ، عند تطبيقها ، تقوم فقط بتنظيف المجموعة قبل إضافتها المحددة صراحة في قسم المجموعات المقيدة. لذلك في هذه الحالة ليس من الضروري تذكر التكوين الافتراضي للمجموعة. على الرغم من أنه لا يضر ؛) وأنا لا أتذكر الامتيازات فحسب ، بل أقترح أيضًا استخدامها ، أي السماح بتسجيل الدخول محليًا.
إذا كنت لا تزال لا تفهم شيئًا ما ، فاسأل على وجه التحديد - سأحاول شرحه بشكل أكثر وضوحًا.
ديمتري ، أستطيع أن أرى بعض المكافآت بنفسي. ومن أي مشاكل محددة تحذرني أنا والمسؤولين الآخرين عديمي الخبرة فيما يتعلق بالتغيير في تكوين مجموعة المستخدمين؟
واشرح لي كيف سيؤثر ذلك بحق السماء دعم فني؟ ومن؟
حسنًا ، وعن حجم موضوع السياسة. إذا لم تعثر على وحدة تحكم خلف قناة 128 كيلو ولم يتم نسخها طوال عمر عناصر شواهد القبور تقريبًا ، أثناء فحص البنية التحتية للعميل ، فلن يكون من السهل عليك فهم ما يقلقني ؛) هذا هو على الرغم من أن عدد كائنات نهج المجموعة (GPO) كان أكثر من 100.
وبيانك بأنه "من الأفضل إنشاء المزيد من UCP ، وفي كثير من الأحيان - هذه هي الطريقة الوحيدة الممكنة" ، على سبيل المثال ، ليس واضحًا بالنسبة لي.
أنا مؤيد لوجهة النظر المعاكسة: إذا كان هناك خياران لحل مشكلة ، عن طريق إنشاء مجموعة أو كائن نهج المجموعة ، فأنا أختار الخيار الأول.
من الأنسب بالنسبة لي تنفيذ تفويض السلطة. ومدة عملية التنزيل / تسجيل الدخول تعتمد بشكل مباشر على عدد كائنات نهج المجموعة المستخدمة. لكن ، مرة أخرى ، هذه مسألة ذوق.

آمل أن يتم توضيح الجزء الفني.
ثم ، ديمتري ، بضع كلمات حول أخلاقيات المناقشة.
1. إذا كنت قد أعربت بالفعل عن رأيك حول خطئي ، فأود أن أرى حجة هذا الرأي في نفس المنشور.
2. " لا تشعر بالإهانة ، ولكن "يبدو لي أن ..." يجب أن يتم فحصها من قبل ، وتقديمها كوصفة."لذا ، لم أكن كسولًا للغاية وقمت بالتحقق مرة أخرى - الوصفة تعمل. هل قمت بفحصها بنفسك قبل أن تدعي أن" الوصفة لن تعمل "؟ ، سيكون من الجيد التحقق من بيانك عن طريق التجربة.
3. أشكركم على نصيحتكم لي ولكني لم أطلبها. على الرغم من أنني لا أستبعد ذلك يومًا ما سأنتقل :)
قد يغفر لي فيتالي شيستاكوف لشعلة أخرى.

بينما يعمل تكوين النظام هذا بشكل جيد ، إلا أنه لا يمكن الاعتماد عليه. إذا قام شخص ما بالوصول إلى البرنامج عبر سطر الأوامرأو من خلال "التشغيل" ، يتم تجاهل جميع الإعدادات التي تقوم بإنشائها ، نظرًا لأن كلا الوظيفتين لهما امتيازات أكبر من تلك التي قمت بتعيينها.

من الجدير بالذكر أيضًا أن هذه الخيارات مخصصة لمكونات النظام. لذلك احرص على عدم تغيير المعلومات المهمة ، حيث يمكن أن تلحق الضرر بجهاز الكمبيوتر الخاص بك في الحالات الأكثر خطورة. الأمان ليس أبدًا رائعًا جدًا ، لكنك تحتاج إلى تنظيم كل شيء باعتدال ، مع تذكر إصدار البرامج المهمة للاستخدام.

اليوم سوف نستمر في الحديث عن أمن الكمبيوتر. وخطوة أخرى في هذا الاتجاه - المستخدم.

عند تركيب غرفة العمليات أنظمة النوافذيتم منح المستخدم حقوق المسؤول. بمعنى آخر ، يتمتع بحرية مطلقة في التصرف على جهاز الكمبيوتر. لكن البرامج الضارة ، بعد أن تمكنت من الوصول إلى جهاز كمبيوتر ، تتمتع بنفس الحقوق. وهذه بالفعل ثغرة خطيرة في نظامنا الأمني. حان الوقت لرأب الصدع.

في هذه المقالة ، سنحلل خوارزمية للتبديل من حساب مسؤول إلى حساب أكثر أمانًا ، مع الاحتفاظ بجميع الإعدادات.

لماذا تحديد الحساب ضروري؟

1. الكل منتجات البرمجياتتم إطلاقه بحقوق المسؤول ، واحصل على حرية العمل الكاملة على جهاز الكمبيوتر ، والتي سيتم استخدامها بالتأكيد من قبل مطوري التعليمات البرمجية الضارة (الفيروسات والبرامج النصية الخطيرة).

على سبيل المثال ، لكي يتمكن الفيروس من "التسجيل" في نظام التشغيل الخاص بك ، فإنه يحتاج إلى إجراء تغييرات على إدخالات التسجيل. لن يتمكن المستخدم ذو الحقوق المحدودة من إجراء تغييرات على إعدادات نظام التشغيل. وبالتالي ، لن يتمكن الفيروس الخبيث ، الذي تم إطلاقه بنفس الحقوق المحدودة ، من اختراق حماية إعدادات النظام وترك "أثر" في السجل الخاص بك.

عند الوصول إلى الإنترنت باستخدام حقوق المسؤول ، فإنك تساعد المهاجم على سرقة كلمات المرور الخاصة بك وبيانات الاعتماد المخزنة في ملفات النظام الخاصة بنظام التشغيل. سيناريو خطير ، له حقوق المسؤول ، سوف يقرأ كل أسرارك وينقلها إلى مالكها.

من خلال إنشاء قيود على حساب المستخدم ، لن تحل هذه المشكلات فحسب ، بل ستمنع أيضًا فيروسًا شائعًا (لافتة إباحية تمنع تشغيل الكمبيوتر) من دخول جهاز الكمبيوتر الخاص بك.

2. امتلاك حقوق المسؤول ، يمكن للمستخدمين عديمي الخبرة إجراء تغييرات حاسمة على النظام عن طريق الخطأ ملفات الويندوز، مما يؤدي إلى وضع نظام التشغيل في حالة غير فعالة. حماية النظام الخاص بك من الأخطاء العرضية - حقوق المستخدم المنخفضة.

تغيير حقوق حساب المستخدم

لأن نظام التشغيللقد قمنا بالفعل بتثبيته ويعمل بشكل طبيعي ، ثم سنمضي في المسار التالي: سنقوم بتغيير نوع الحساب الذي تم إنشاؤه مسبقًا (عن طريق خفض حقوقه) وإضافة مستخدم جديد له حقوق المسؤول (الذي سننفذ نيابة عنه تغيير الى ملفات النظامنظام التشغيل والتسجيل).

1. الخطوة الأولى هي ترتيب الأمور مع الحسابات الموجودة. للقيام بذلك ، انتقل إلى مركز التحكم في الحساب (انقر بزر الماوس الأيمن على أيقونة "جهاز الكمبيوتر" -> "الإدارة" -> "المستخدمون المحليون والمجموعات" -> "المستخدمون").

احذف جميع الإدخالات باستثناء الإدخال الحالي والضيف (الذي يجب تعطيله).

2. لن يعمل على خفض حقوق حساب موجود إلى مستوى مستخدم عادي ، حيث يجب أن يكون لدى النظام مستخدم يتمتع بحقوق المسؤول. لذلك ، سننشئ أولاً مسؤولاً آخر ، وعندها فقط سنخفض حقوق المستخدم الحالي.

للقيام بذلك ، انقر بزر الماوس الأيمن فوق العنصر "المستخدمون" -> حدد " مستخدم جديد... ". في النافذة التي تفتح ، حدد اسم المسؤول الجديد ، وكلمة المرور الخاصة به ، وحدد العنصر "كلمة المرور لا تنتهي صلاحيتها" وانقر على الزر "إنشاء".

سيكون للحساب الذي أنشأناه حقوق المستخدم العادي. لمنحه حالة المسؤول الحقيقي ، تحتاج إلى إضافته إلى مجموعة المستخدمين المناسبة. للقيام بذلك ، انقر نقرًا مزدوجًا فوق الحساب الجديد ، وانتقل إلى علامة التبويب "عضوية المجموعة" -> انقر فوق الزر "إضافة".

في قسم "أدخل اسم الكائن" ، اكتب "Administrators" وانقر على زر "OK" -> "Apply".

3. حان الوقت الآن لمعالجة تخفيض مستوى المستخدم الحالي. للقيام بذلك ، حدد المستخدم الحالي في القائمة وقم بتنفيذ جميع العمليات نفسها التي وصفتها أعلاه. الآن فقط من الضروري إضافة سجل "المستخدمون" ، وحذف سجل "المسؤولين".

4. بعد كل ما تم القيام به ، قم بتسجيل الخروج وإعادة تشغيل جهاز الكمبيوتر الخاص بك.

لذلك ، قمت بحفظ جميع إعداداتك ، لكنك خفضت حالة المستخدم ، مما حد من حقوقه. الآن ، لإجراء أي تغييرات على النظام ، سيتعين عليك الوصول إلى حساب المسؤول الذي تم إنشاؤه حديثًا.

كيف تعمل؟

أنت تعمل في النظام كالمعتاد ، وتطلق برامج مألوفة. إذا احتجت فجأة إلى إجراء تغييرات على ملفات النظام ، فقم بالوصول إلى السجل أو التثبيت برنامج جديد، يمكنك القيام بذلك بطريقتين: إما إنهاء الجلسة الحالية وتسجيل الدخول تحت حساب المسؤول ، واستخدام "قوة" المسؤول دون مغادرة الحساب الحالي.

للقيام بذلك ، انقر بزر الماوس الأيمن فوق البرنامج الجاري تشغيله وحدد "تشغيل باسم ..." -> في النافذة التي تظهر ، حدد حساب المسؤول وأدخل كلمة مرور المسؤول -> انقر فوق "موافق". وبالتالي ، يمكنك تشغيل أي تطبيق بحقوق المسؤول دون مغادرة حسابك الحالي.

النصيحة:

• كن جادًا بشأن اختيار كلمة مرور للمسؤول. كلما كانت كلمة المرور أكثر تعقيدًا وأطول ، زادت صعوبة اختراق المهاجم لها.
• نظرًا لأنك نادرًا ما تستخدم حساب المسؤول الجديد ، فاكتب كلمة المرور التي أنشأتها في مكان آمن.
• سيكون إجراء أمني إضافي هو إعادة تسمية المسؤول الذي تم إنشاؤه (على سبيل المثال ، بدلاً من "المسؤول" -> "سيرجي). وبالتالي ، خلق حاجز إضافي للمهاجم.