Windows 7アカウントの制限。アカウントのコンピューターへのアクセスを制限するにはどうすればよいですか？ 使い方

この状況では、次のレシピが機能するように思われます。2つのグループを作成する必要があり、それらをPCComissionとUserComissionと呼びましょう。
作曲コンピュータと委員会部門のユーザーにそれぞれ含めます。
次に、オブジェクトを作成します グループポリシー OU SUSにリンクし、Auth Usersグループから適用ポリシーを削除し、代わりにPCComissionグループに追加します。 その後、ポリシープロパティで、グループメンバーシップを制限するメカニズムを使用して、Domain UsersドメイングループをUsersローカルグループから除外しますが、UserComissionグループを追加します。

Vadim、レシピが機能しないために間違っていることを指摘しました。組み込みのコンピューターユーザーグループからドメインユーザーを除外しても、ドメインユーザーは次のように制限されません。 ローカル入力このコンピュータに。 それで全部です。 気分を害することはありませんが、レシピとして提供する前に、「...」を確認する必要があります。 ADドメインのメンバーコンピューターの一般的な「Builtin \ Users」メンバーシップのステータス、特権について、最後に...を覚えておいてください。

はい。もう1つ、自分で練習する必要はありません。経験の浅い管理者に、正当な理由もなくセキュリティ参照モデルを変更するようにアドバイスすることは言うまでもありません。 まず、これを行うことによってあなたはもたらすでしょう より多くの問題ボーナスを得るよりも、そして第二に-それはあなたにテクニカルサポートを奪う可能性があります！

ヴァディム、私がどこを間違えているのか説明していただければ、ありがたいです。 :)

この新しいポップアップメニューで、ドキュメントへのアクセスを拒否されるユーザーをリストから選択します。 [アクセス許可]ボックスで、使用可能なすべてのオプションの右側の列にあるチェックボックスを選択します。 そのようなディレクトリを保護しているすべてのアカウントに対してこのプロセスを繰り返します。

興味深いヒントは、この保護方法を使用して、自分のすべてのドキュメントと情報が含まれているメインディレクトリへのアクセスを拒否することです。 アカウントユーザー。 多くの人々の消費者の夢の1つは、開いているプログラムからシステムの変更まで、コンピューター上で実行されるすべてを制御するツールまたはアプリケーションです。

追加：Vadim、およびポリシーのオブジェクトについて。 さて、UCPがSYSVOLで少なくとも10メガバイト、ADコンテナで同じ量を取るようにします-それで何ですか？ レプリケーションは最適化されており、クライアントはUCPを1日に5回再ダウンロードせず、管理者は何もすることがないため、UCPを変更しません。 一般に、より多くのOCPを作成する方が適切であり、多くの場合、ビネグレットソースをいじくり回すよりも、これが可能な唯一の方法です。

ここでは、ユーザーだけでなくコンピューターのさまざまな設定を構成できます。 電源管理、ユーザープロファイル、ログインなど、いくつかの構成オプションがあります。 ここに、ロックする必要のあるプログラムの名前を入力します。 左側には、[未構成]、[有効]、[無効]の3つのオプションがあります。 最後のものを選択してください。 したがって、無効になっている[表示]ウィンドウでは、コンピューターで開くことができる特定のプログラムを指定できます。

プログラムをリストに追加するには、アクセスできるプログラムの名前を入力するだけです。 正確な名前を入力してください 実行可能ファイルプログラム。 さらに、このリストのユーザーのみがこのリストでのみ開くことができます。 すべてのプログラムを解放して再度使用する場合は、ページの左上隅にある[無効]オプションを選択するだけです。

妻のKatya、Klevogin S.P.、Kozlov S.V.、Muravlyannikov N.A.、Nikitin I.G.、ShapiroL.V。に感謝します。 私の知る限り！ :)

ドミトリー、実際、私はこのスレッドの以前の投稿の1つですでに説明しました： 2009年8月21日10:26。
さて、また行きましょう。 私の提案は、「制限付きグループ」メカニズムを使用して、販売部門のユーザーがログインできないように、コミッション部門のコンピューター上のローカルユーザー/ユーザーグループの構成を変更するというアイデアで構成されていました（結局のところ、彼らがそのような権利を持っているのは、このグループのメンバーシップを通じてです）。 確かに、私はこのアイデアを何気なく策定しました。「ドメインユーザードメイングループをローカルユーザーグループから除外する」ではなく、「ローカルユーザーグループをクリアする」と言うのは正しいことでしたが、 それは本質を変えません、ポリシーが適用されると、[制限されたグループ]セクションで明示的に指定されたグループを追加する前に、グループをクリーンアップするだけです。 したがって、この場合、グループのデフォルトの構成を覚えておく必要はありません。 害はありませんが;）そして私は特権を覚えているだけでなく、それらを使用すること、つまりローカルでのログオンを許可することも提案します。
それでも理解できない場合は、具体的に質問してください。より明確に説明しようと思います。
ドミトリー、私はいくつかのボーナスを自分で見ることができます。 また、Usersグループの構成の変更に関連して、私や他の経験の浅い管理者に警告する具体的な問題は何ですか？
そして、これがどのように影響するかを天国のために私に説明してください 技術サポート？ そして誰？
さて、そして政治の対象の大きさについて。 顧客のインフラストラクチャを調べたときに、128kチャネルの背後にあり、トゥームストーンオブジェクトのほぼ全期間にわたって複製されていないコントローラーを偶然見つけなかった場合、私の懸念を理解するのは簡単ではありません;）これは事実にもかかわらずですGPOの数が100を超えていたこと。
そして、たとえば、「より多くのUCPを作成する方が良い、そして多くの場合、これが可能な唯一の方法である」というあなたの声明は、私には明らかではありません。
私は反対の見方を支持しています。問題を解決するための2つのオプションがある場合、グループまたはGPOを作成することにより、最初のオプションを選択します。
権限の委任を実装する方が便利です。 また、ダウンロード/ログインプロセスの期間は、使用されるGPOの数に直接依存します。 しかし、繰り返しになりますが、これは好みの問題です。

技術的な部分が片付けられることを願っています。
それから、ドミトリー、議論の倫理についてのいくつかの言葉。
1.あなたが私の間違いについてすでにあなたの意見を表明しているなら、私は同じ投稿でこの意見の議論を見たいと思います。
2. " 気分を害することはありませんが、レシピとして提供する前に、「...」を確認する必要があります。「それで、私はあまり怠惰ではなく、もう一度チェックしました-レシピは機能します。「レシピは機能しません」と主張する前に自分でチェックしましたか？それで私はあなたにあなたの言葉を返します：あなたが何かを明確に述べる前に、それは素晴らしいでしょう実験によってあなたの声明をチェックする。
3.アドバイスありがとうございますが、お願いはしませんでした。 私はいつかそれを除外しませんが、私は連絡します:)
VitaliyShestakovが別の炎を許してくれますように。

このシステム構成は正常に機能しますが、信頼性はありません。 誰かが経由でプログラムにアクセスした場合 コマンドラインまたは「起動」を介して、作成したすべての設定は無視されます。これは、両方の機能が、設定したものよりも大きな特権を持っているためです。

これらのオプションはシステムコンポーネント用であることも注目に値します。 したがって、より深刻なケースではコンピュータに損傷を与える可能性があるため、重要な情報を変更しないように注意してください。 セキュリティは決して素晴らしいものではありませんが、使用する重要なプログラムをリリースすることを忘れずに、すべてを適度に整理する必要があります。

今日は、コンピュータのセキュリティについて引き続き説明します。 そして、この方向へのもう1つのステップ-ユーザー。

手術室設置時 Windowsシステムユーザーには管理者権限が付与されます。 言い換えれば、彼はPC上で絶対的な行動の自由を持っています。 しかし、コンピューターにアクセスした悪意のあるソフトウェアには、同じ権利が与えられています。 そして、これはすでに私たちのセキュリティシステムの深刻な脆弱性です。 穴を埋める時が来ました。

この記事では、すべての設定を保持しながら、管理者からより安全なアカウントに切り替えるためのアルゴリズムを分析します。

アカウントの制限が必要なのはなぜですか？

1.すべて ソフトウェア製品管理者権限で起動すると、PC上で完全に自由に行動できます。これは、悪意のあるコード（ウイルスや危険なスクリプト）の開発者によって確実に使用されます。

たとえば、ウイルスがオペレーティングシステムに「登録」できるようにするには、レジストリエントリを変更する必要があります。 権限が制限されているユーザーは、OS設定を変更できません。 その結果、同じ制限された権限で起動された悪意のあるウイルスは、システム設定の保護を突破して、レジストリに「痕跡」を残すことができなくなります。

管理者権限でインターネットにアクセスすると、攻撃者がOSシステムファイルに保存されているパスワードやクレデンシャルを盗むのを助けます。 管理者権限を持つ危険なスクリプトは、すべての秘密を読み取り、その所有者に渡します。

ユーザーアカウントに制限を設けることで、これらの問題を解決するだけでなく、一般的なウイルスがコンピューターに侵入するのを防ぐことができます（コンピューターをブロックするポルノバナー）。

2.管理者権限があるため、経験の浅いユーザーが誤ってシステムに重大な変更を加える可能性があります Windowsファイル、OSを動作不能状態にします。 偶発的なエラーからシステムを保護します-ユーザー権限を下げます。

ユーザーアカウントの権限の変更

なぜなら オペレーティング・システムすでにインストールされ、正常に機能しているので、次のパスに進みます。以前に作成したアカウントのタイプを変更し（権限を下げることにより）、管理者権限を持つ新しいユーザーを追加します（その代わりに実行します）。に変更 システムファイル OSとレジストリ）。

1.最初のステップは、既存のアカウントで物事を整理することです。 これを行うには、アカウントコントロールセンターに移動します（[マイコンピューター]-> [管理]-> [ローカルユーザーとグループ]-> [ユーザー]アイコンを右クリックします）。

既存のエントリとゲスト（無効にする必要があります）を除くすべてのエントリを削除します。

2.システムには管理者権限を持つユーザーが必要であるため、既存のアカウントの権限を通常のユーザーのレベルまで下げることはできません。 したがって、最初に別の管理者を作成し、次に現在のユーザーの権限を下げます。

これを行うには、「ユーザー」項目を右クリックし、「」を選択します。 新しいユーザー…」。 開いたウィンドウで、新しい管理者の名前とパスワードを指定し、[パスワードの有効期限が切れていません]チェックボックスをオンにして、[作成]ボタンをクリックします。

当社が作成したアカウントには、通常のユーザーの権利があります。 実際の管理者のステータスを与えるには、適切なユーザーグループに追加する必要があります。 これを行うには、新しいアカウントをダブルクリックし、[グループメンバーシップ]タブに移動し、[追加]ボタンを押します。

「オブジェクト名を入力してください」ブロックに「管理者」と入力し、「OK」->「適用」ボタンをクリックします。

3.次に、現在のユーザーのダウングレードに取り組みます。 これを行うには、リストから現在のユーザーを選択し、上記で説明したのと同じ操作をすべて実行します。 今だけ、「Users」レコードを追加し、「Administrators」レコードを削除する必要があります。

4.すべてが完了したら、ログアウトしてコンピューターを再起動します。

これで、すべての設定を保存しましたが、ユーザーのステータスを下げて、ユーザーの権限を制限しました。 ここで、システムに変更を加えるには、新しく作成した管理者のアカウントにアクセスする必要があります。

使い方？

いつものようにシステムで作業し、使い慣れたプログラムを起動します。 突然システムファイルに変更を加える必要がある場合は、レジストリにアクセスするか、インストールしてください 新しいプログラム、2つの方法でそれを行うことができます：現在のセッションを終了して管理者アカウントでログインするか、現在のアカウントを離れることなく管理者の「権限」を使用します。

これを行うには、起動しているプログラムを右クリックし、表示されるウィンドウで[実行...]->を選択し、管理者アカウントを指定して管理者パスワードを入力します-> [OK]をクリックします。 したがって、現在のアカウントを離れることなく、管理者権限で任意のアプリケーションを実行できます。

助言：

• 管理者のパスワードの選択について真剣に考えてください。 パスワードが複雑で長いほど、攻撃者がパスワードを解読するのが難しくなります。
• 新しい管理者アカウントを使用することはめったにないので、作成したパスワードを安全な場所に書き留めてください。
• 追加のセキュリティ対策は、作成した管理者の名前を変更することです（たとえば、「管理者」->「Sergey」の代わりに）。 したがって、攻撃者に追加の障壁を作成します。