ข้อ จำกัด บัญชี Windows 7 จะ จำกัด การเข้าถึงคอมพิวเตอร์สำหรับบัญชีได้อย่างไร? มันทำงานอย่างไร

สำหรับฉันดูเหมือนว่าในสถานการณ์นี้ สูตรต่อไปนี้อาจใช้ได้: คุณต้องสร้างสองกลุ่ม เรียกว่า PCComission และ UserComission
รวมไว้ในคอมพิวเตอร์ประกอบและผู้ใช้แผนกคอมมิชชันตามลำดับ
ต่อไป สร้างวัตถุ นโยบายกลุ่มและเชื่อมโยงไปยัง OU SUS ลบสิทธิ์นโยบายที่ใช้จากกลุ่มผู้ใช้ Auth เพิ่มลงในกลุ่ม PCComission แทน หลังจากนั้นในคุณสมบัติของนโยบายโดยใช้กลไกการจำกัดความเป็นสมาชิกกลุ่ม ให้แยกกลุ่มโดเมน Domain Users ออกจากกลุ่ม Local Users แต่เพิ่มกลุ่ม UserComission

Vadim ฉันชี้ให้เห็นว่าคุณเข้าใจผิดเพราะสูตรของคุณใช้ไม่ได้: การยกเว้นผู้ใช้โดเมนจากกลุ่มผู้ใช้คอมพิวเตอร์ในตัวจะไม่จำกัดผู้ใช้โดเมน อินพุตท้องถิ่นไปยังคอมพิวเตอร์เครื่องนี้ นั่นคือทั้งหมดที่ อย่าโกรธเคือง แต่คุณควรตรวจสอบ "ดูเหมือนว่า ... " ของคุณก่อนเสนอเป็นสูตร จำ / ตรวจสอบสถานะของการเป็นสมาชิก "Builtin \ Users" ทั่วไปบนคอมพิวเตอร์สมาชิกในโดเมน AD เกี่ยวกับสิทธิ์ในที่สุด ...

ใช่ และอีกอย่าง คุณไม่จำเป็นต้องฝึกฝนตัวเอง นับประสาแนะนำให้ผู้ดูแลระบบที่ไม่มีประสบการณ์เปลี่ยนรูปแบบการอ้างอิงความปลอดภัยโดยไม่มีเหตุผลที่ดี อย่างแรก การทำเช่นนี้คุณจะนำมา ปัญหามากขึ้นมากกว่ารับโบนัส และประการที่สอง - มันสามารถกีดกันคุณจากการสนับสนุนทางเทคนิค!

Vadim ถ้าคุณสามารถอธิบายว่าฉันผิดตรงไหนฉันจะขอบคุณคุณ :)

ในเมนูป๊อปอัปใหม่นี้ ให้เลือกจากรายชื่อผู้ใช้ที่จะถูกปฏิเสธการเข้าถึงเอกสารของคุณ ในกล่อง สิทธิ์สำหรับ ให้เลือกกล่องกาเครื่องหมายในคอลัมน์ด้านขวาสำหรับตัวเลือกที่มีทั้งหมด ทำซ้ำขั้นตอนสำหรับบัญชีทั้งหมดที่คุณกำลังปกป้องไดเรกทอรีดังกล่าว

เคล็ดลับที่น่าสนใจคือการใช้วิธีการป้องกันนี้เพื่อปฏิเสธการเข้าถึงไดเร็กทอรีหลัก ซึ่งมีเอกสารและข้อมูลทั้งหมดจากตัวคุณเอง บัญชีผู้ใช้ผู้ใช้ หนึ่งในความฝันของผู้บริโภคหลายคนคือเครื่องมือหรือแอปพลิเคชันที่ควบคุมทุกอย่างที่ทำบนคอมพิวเตอร์ ตั้งแต่โปรแกรมที่เปิดอยู่ไปจนถึงการเปลี่ยนแปลงระบบ

เพิ่ม: Vadim และเกี่ยวกับวัตถุของนโยบาย ให้ UCP ใช้อย่างน้อย 10 เมกะไบต์ใน SYSVOL และจำนวนเท่ากันในคอนเทนเนอร์ AD - แล้วไง การจำลองแบบได้รับการปรับให้เหมาะสม ไคลเอ็นต์ไม่ดาวน์โหลด UCP ซ้ำห้าครั้งต่อวัน และผู้ดูแลระบบไม่เปลี่ยนแปลงเนื่องจากไม่มีอะไรต้องทำ ใช่ไหม โดยทั่วไปแล้ว จะดีกว่าที่จะสร้าง OCP มากขึ้นและบ่อยครั้ง - นี่เป็นวิธีเดียวที่ทำได้ มากกว่าที่จะแหย่ใน vinaigrette

ที่นี่คุณสามารถกำหนดการตั้งค่าต่างๆ ได้ ไม่เพียงแต่สำหรับผู้ใช้แต่สำหรับคอมพิวเตอร์ด้วย คุณจะมีตัวเลือกการกำหนดค่าต่างๆ เช่น การจัดการพลังงาน โปรไฟล์ผู้ใช้ การเข้าสู่ระบบ และอื่นๆ นี่คือที่ที่คุณป้อนชื่อของโปรแกรมที่ต้องล็อค ทางด้านซ้าย คุณมีสามตัวเลือก: ไม่ได้กำหนดค่า เปิดใช้งาน และปิดใช้งาน เลือกอันสุดท้าย ดังนั้น หน้าต่างแสดง ซึ่งถูกปิดใช้งาน จะช่วยให้คุณสามารถระบุโปรแกรมเฉพาะที่สามารถเปิดบนคอมพิวเตอร์ของคุณได้

หากต้องการเพิ่มโปรแกรมลงในรายการ ให้ป้อนชื่อโปรแกรมที่สามารถเข้าถึงได้ กรุณากรอกชื่อให้ถูกต้อง ไฟล์ปฏิบัติการโปรแกรม นอกจากนี้ เฉพาะผู้ใช้จากรายการนี้เท่านั้นที่สามารถเปิดได้ในรายการนี้เท่านั้น หากคุณต้องการทำให้โปรแกรมทั้งหมดใช้งานได้อีกครั้ง ให้เลือกตัวเลือก "ปิดการใช้งาน" ที่มุมซ้ายบนของหน้า

ขอบคุณ Katya ภรรยาของฉัน, Klevogin S.P. , Kozlov S.V. , Muravlyannikov N.A. , Nikitin I.G. , Shapiro L.V. สำหรับความรู้ของฉัน! :)

อันที่จริง Dmitry ฉันได้อธิบายไปแล้วในหนึ่งในโพสต์ก่อนหน้าของกระทู้นี้: 21 สิงหาคม 2552 10:26 น.
ป่ะ ไปกันใหม่ ข้อเสนอของฉันประกอบด้วยแนวคิดที่จะเปลี่ยนแปลงโดยใช้กลไก "กลุ่มที่จำกัด" องค์ประกอบของกลุ่มผู้ใช้ / ผู้ใช้ในพื้นที่บนคอมพิวเตอร์ของแผนกคอมมิชชันเพื่อให้ผู้ใช้ของฝ่ายขายไม่สามารถเข้าสู่ระบบได้ (หลังจาก ล้วนแต่ผ่านการเป็นสมาชิกในกลุ่มนี้เท่านั้นจึงจะมีสิทธิดังกล่าว) จริงฉันกำหนดแนวคิดนี้โดยไม่ได้ตั้งใจ มันถูกต้องที่จะบอกว่าไม่ใช่ "ยกเว้นกลุ่มโดเมนผู้ใช้โดเมนจากกลุ่มผู้ใช้ในเครื่อง" แต่ "ล้างกลุ่มผู้ใช้ในเครื่อง" แต่ มันไม่ได้เปลี่ยนสาระสำคัญเนื่องจากนโยบาย เมื่อนำไปใช้ เพียงแค่ล้างกลุ่มก่อนที่จะเพิ่มระบุไว้อย่างชัดเจนในส่วนกลุ่มที่จำกัด ดังนั้นในกรณีนี้ ไม่จำเป็นต้องจำองค์ประกอบเริ่มต้นของกลุ่ม แม้ว่ามันจะไม่เจ็บ;) และฉันไม่เพียงจำสิทธิพิเศษเท่านั้น แต่ฉันยังเสนอให้ใช้คืออนุญาตการเข้าสู่ระบบในเครื่อง
หากคุณยังไม่เข้าใจบางสิ่ง ให้ถามเฉพาะเจาะจง - ฉันจะพยายามอธิบายให้ชัดเจนยิ่งขึ้น
มิทรีฉันเห็นโบนัสด้วยตัวเอง และปัญหาใดที่คุณเตือนฉันและผู้ดูแลระบบที่ไม่มีประสบการณ์อื่น ๆ เกี่ยวกับการเปลี่ยนแปลงในองค์ประกอบของกลุ่มผู้ใช้
และอธิบายให้ฉันฟังด้วยเห็นแก่สวรรค์ว่าสิ่งนี้จะส่งผลอย่างไร การสนับสนุนทางเทคนิค? และใคร?
และเกี่ยวกับขนาดของวัตถุทางการเมือง หากคุณไม่พบตัวควบคุมหลังช่องสัญญาณ 128k และไม่ทำซ้ำเกือบตลอดอายุการใช้งานของวัตถุหลุมฝังศพเมื่อตรวจสอบโครงสร้างพื้นฐานของลูกค้า มันจะไม่ง่ายสำหรับคุณที่จะเข้าใจข้อกังวลของฉัน;) นี่คือความจริง ว่ามี GPO มากกว่า 100 แห่ง
และคำกล่าวของคุณที่ว่า "ดีกว่าที่จะสร้าง UCP มากขึ้นและบ่อยครั้ง - นี่เป็นวิธีเดียวที่เป็นไปได้" ตัวอย่างเช่น ไม่ชัดเจนสำหรับฉัน
ฉันเป็นผู้สนับสนุนมุมมองที่ตรงกันข้าม: หากมีสองตัวเลือกในการแก้ปัญหา โดยการสร้างกลุ่มหรือ GPO ฉันจะเลือกตัวเลือกแรก
สะดวกกว่าสำหรับฉันที่จะใช้การมอบอำนาจ และระยะเวลาของกระบวนการดาวน์โหลด / เข้าสู่ระบบขึ้นอยู่กับจำนวน GPO ที่ใช้โดยตรง แต่นี่เป็นเรื่องของรสนิยมอีกครั้ง

หวังว่าส่วนทางเทคนิคจะชัดเจนขึ้น
จากนั้นมิทรี คำสองสามคำเกี่ยวกับจริยธรรมของการสนทนา
1. หากคุณได้แสดงความคิดเห็นเกี่ยวกับความผิดของฉันแล้ว ฉันต้องการดูข้อโต้แย้งของความคิดเห็นนี้ในโพสต์เดียวกัน
2. " อย่าโกรธเคือง แต่คุณควรตรวจสอบ "ดูเหมือนว่า ... " ของคุณก่อนเสนอเป็นสูตร“งั้นฉันไม่ขี้เกียจเกินไปและตรวจสอบอีกครั้ง - สูตรใช้งานได้ คุณตรวจสอบตัวเองก่อนที่จะอ้างว่า " สูตรจะไม่ทำงาน " ดังนั้นฉันจึงคืนคำพูดของคุณ: ก่อนที่คุณจะระบุหมวดหมู่ใด ๆ คงจะดี เพื่อตรวจสอบคำชี้แจงของคุณโดยการทดสอบ
3. ขอบคุณสำหรับคำแนะนำของคุณ แต่ฉันไม่ได้ถามคุณ แม้ว่าฉันจะไม่ได้ยกเว้นว่าสักวันฉันจะติดต่อไป :)
ขอให้ Vitaliy Shestakov ยกโทษให้ฉันด้วยเปลวไฟอื่น

แม้ว่าการกำหนดค่าระบบนี้จะทำงานได้ดี แต่ก็ไม่น่าเชื่อถือ หากมีคนเข้าใช้โปรแกรมผ่าน บรรทัดคำสั่งหรือผ่าน "เปิด" การตั้งค่าทั้งหมดที่คุณสร้างจะถูกละเว้น เนื่องจากทั้งสองฟังก์ชันมีสิทธิ์ที่มากกว่าที่คุณตั้งไว้

เป็นที่น่าสังเกตว่าตัวเลือกเหล่านี้มีไว้สำหรับส่วนประกอบของระบบ ดังนั้น ระวังอย่าเปลี่ยนแปลงข้อมูลสำคัญ เนื่องจากอาจทำให้คอมพิวเตอร์เสียหายได้ในกรณีที่ร้ายแรงกว่านั้น ความปลอดภัยไม่เคยดีเกินไป แต่คุณต้องจัดระเบียบทุกอย่างในปริมาณที่พอเหมาะ อย่าลืมปล่อยโปรแกรมสำคัญเพื่อใช้งาน

วันนี้เราจะพูดถึงความปลอดภัยของคอมพิวเตอร์กันต่อไป และอีกหนึ่งขั้นตอนในทิศทางนี้ - ผู้ใช้

เมื่อติดตั้งห้องผ่าตัด ระบบ Windowsผู้ใช้จะได้รับสิทธิ์ของผู้ดูแลระบบ กล่าวอีกนัยหนึ่ง เขามีอิสระเต็มที่ในการดำเนินการบนพีซี แต่ซอฟต์แวร์ที่เป็นอันตรายเมื่อเข้าถึงคอมพิวเตอร์ก็มีสิทธิ์เช่นเดียวกัน และนี่เป็นช่องโหว่ที่ร้ายแรงในระบบรักษาความปลอดภัยของเราอยู่แล้ว ถึงเวลาที่จะแก้ไขหลุม

ในบทความนี้ เราจะวิเคราะห์อัลกอริทึมสำหรับการเปลี่ยนจากผู้ดูแลระบบไปเป็นบัญชีที่ปลอดภัยยิ่งขึ้น โดยคงการตั้งค่าทั้งหมดไว้

ทำไมการจำกัดบัญชีจึงจำเป็น?

1. ทั้งหมด ผลิตภัณฑ์ซอฟต์แวร์เปิดตัวด้วยสิทธิ์ของผู้ดูแลระบบ รับอิสระเต็มที่ในการดำเนินการบนพีซี ซึ่งจะถูกใช้โดยนักพัฒนาโค้ดที่เป็นอันตราย (ไวรัสและสคริปต์อันตราย)

ตัวอย่างเช่น เพื่อให้ไวรัสสามารถ "ลงทะเบียน" ในระบบปฏิบัติการของคุณได้ จำเป็นต้องทำการเปลี่ยนแปลงรายการรีจิสทรี ผู้ใช้ที่มีสิทธิ์แบบจำกัดจะไม่สามารถเปลี่ยนแปลงการตั้งค่าระบบปฏิบัติการได้ ดังนั้น ไวรัสที่เป็นอันตรายซึ่งเปิดตัวด้วยสิทธิ์ที่จำกัดเหมือนกัน จะไม่สามารถเจาะผ่านการป้องกันการตั้งค่าระบบและทิ้ง "ร่องรอย" ไว้ในรีจิสทรีของคุณได้

เมื่อคุณเข้าถึงอินเทอร์เน็ตด้วยสิทธิ์ของผู้ดูแลระบบ คุณช่วยผู้โจมตีขโมยรหัสผ่าน ข้อมูลประจำตัวที่จัดเก็บไว้ในไฟล์ระบบ OS สคริปต์อันตรายที่มีสิทธิ์ของผู้ดูแลระบบจะอ่านความลับทั้งหมดของคุณและส่งต่อให้เจ้าของ

การสร้างข้อจำกัดในบัญชีผู้ใช้ คุณจะไม่เพียงแก้ปัญหาเหล่านี้ แต่ยังช่วยป้องกันไวรัสทั่วไปไม่ให้เจาะคอมพิวเตอร์ของคุณ (แบนเนอร์ลามกที่บล็อกคอมพิวเตอร์ของคุณ)

2. มีสิทธิ์ของผู้ดูแลระบบ ผู้ใช้ที่ไม่มีประสบการณ์สามารถทำการเปลี่ยนแปลงที่สำคัญกับระบบได้โดยไม่ได้ตั้งใจ ไฟล์ Windowsทำให้ OS อยู่ในสถานะใช้งานไม่ได้ ปกป้องระบบของคุณจากข้อผิดพลาดโดยไม่ได้ตั้งใจ - สิทธิ์ของผู้ใช้ที่ต่ำกว่า

การเปลี่ยนสิทธิ์ของบัญชีผู้ใช้

เพราะ ระบบปฏิบัติการเราได้ติดตั้งและใช้งานได้ตามปกติแล้ว จากนั้นเราจะไปตามเส้นทางต่อไปนี้: เราจะเปลี่ยนประเภทของบัญชีที่สร้างไว้ก่อนหน้านี้ (โดยลดสิทธิ์ลง) และเพิ่มผู้ใช้ใหม่ที่มีสิทธิ์ของผู้ดูแลระบบ (เราจะดำเนินการในนามของใคร) เปลี่ยนเป็น ไฟล์ระบบระบบปฏิบัติการและรีจิสตรี)

1. ขั้นตอนแรกคือการจัดสิ่งต่าง ๆ ให้สอดคล้องกับบัญชีที่มีอยู่ ในการดำเนินการนี้ ไปที่ศูนย์ควบคุมบัญชี (คลิกขวาที่ไอคอน "คอมพิวเตอร์ของฉัน" -> "การจัดการ" -> "ผู้ใช้และกลุ่มในเครื่อง" -> "ผู้ใช้")

ลบรายการทั้งหมดยกเว้นรายการที่มีอยู่และแขก (ซึ่งควรปิดการใช้งาน)

2. จะไม่ทำงานเพื่อลดสิทธิ์ของบัญชีที่มีอยู่เป็นระดับผู้ใช้ทั่วไป เนื่องจากระบบต้องมีผู้ใช้ที่มีสิทธิ์ของผู้ดูแลระบบ ดังนั้น ขั้นแรกเราจะสร้างผู้ดูแลระบบคนอื่น จากนั้นเราจะลดสิทธิ์ของผู้ใช้ปัจจุบันลง

ในการดำเนินการนี้ ให้คลิกขวาที่รายการ "ผู้ใช้" -> เลือก " ผู้ใช้ใหม่… ”. ในหน้าต่างที่เปิดขึ้น ให้ระบุชื่อผู้ดูแลระบบใหม่ รหัสผ่านของเขา ทำเครื่องหมายในช่อง "รหัสผ่านไม่หมดอายุ" แล้วคลิกปุ่ม "สร้าง"

บัญชีที่สร้างโดยเราจะมีสิทธิ์ของผู้ใช้ทั่วไป หากต้องการให้สถานะเป็นผู้ดูแลระบบที่แท้จริง คุณต้องเพิ่มไปยังกลุ่มผู้ใช้ที่เหมาะสม ในการดำเนินการนี้ ให้ดับเบิลคลิกที่บัญชีใหม่ ไปที่แท็บ "การเป็นสมาชิกกลุ่ม" -> กดปุ่ม "เพิ่ม"

ในบล็อก "ป้อนชื่อวัตถุ" เขียน "ผู้ดูแลระบบ" และคลิกที่ปุ่ม "ตกลง" -> "นำไปใช้"

3. ตอนนี้ได้เวลาจัดการกับการปรับลดรุ่นผู้ใช้ปัจจุบัน ในการดำเนินการนี้ ให้เลือกผู้ใช้ปัจจุบันในรายการและดำเนินการตามที่อธิบายไว้ข้างต้นทั้งหมด เฉพาะตอนนี้เท่านั้นที่จำเป็นต้องเพิ่มบันทึก "ผู้ใช้" และลบบันทึก "ผู้ดูแลระบบ"

4. หลังจากเสร็จสิ้น ให้ออกจากระบบและรีสตาร์ทเครื่องคอมพิวเตอร์ของคุณ

ดังนั้น คุณได้บันทึกการตั้งค่าทั้งหมดของคุณ แต่ลดสถานะของผู้ใช้ลง โดยจำกัดสิทธิ์ของเขา ตอนนี้ เพื่อที่จะทำการเปลี่ยนแปลงใดๆ กับระบบ คุณจะต้องเข้าถึงบัญชีของผู้ดูแลระบบที่สร้างขึ้นใหม่

มันทำงานอย่างไร?

คุณทำงานในระบบตามปกติโดยเปิดโปรแกรมที่คุ้นเคย หากคุณต้องการเปลี่ยนแปลงไฟล์ระบบกะทันหัน ให้เข้าถึงรีจิสทรีหรือติดตั้ง โปรแกรมใหม่คุณสามารถทำได้สองวิธี: สิ้นสุดเซสชันปัจจุบันและเข้าสู่ระบบด้วยบัญชีผู้ดูแลระบบ ใช้ "อำนาจ" ของผู้ดูแลระบบโดยไม่ต้องออกจากบัญชีปัจจุบัน

ในการดำเนินการนี้ ให้คลิกขวาที่โปรแกรมที่กำลังเปิดตัวและเลือก "เรียกใช้เป็น ... " -> ในหน้าต่างที่ปรากฏขึ้น ระบุบัญชีผู้ดูแลระบบและป้อนรหัสผ่านผู้ดูแลระบบ -> คลิก "ตกลง" ดังนั้น คุณสามารถเรียกใช้แอปพลิเคชันใด ๆ ที่มีสิทธิ์ของผู้ดูแลระบบโดยไม่ต้องออกจากบัญชีปัจจุบันของคุณ

คำแนะนำ:

• จริงจังกับการเลือกรหัสผ่านสำหรับผู้ดูแลระบบของคุณ ยิ่งรหัสผ่านซับซ้อนและยาวขึ้นเท่าใด ผู้โจมตีก็จะยิ่งถอดรหัสได้ยากขึ้นเท่านั้น
• เนื่องจากคุณจะไม่ค่อยใช้บัญชีผู้ดูแลระบบใหม่ ให้จดรหัสผ่านที่คุณสร้างไว้ในที่ปลอดภัย
• มาตรการรักษาความปลอดภัยเพิ่มเติมคือการเปลี่ยนชื่อผู้ดูแลระบบที่สร้างขึ้น (เช่น แทนที่จะเป็น "ผู้ดูแลระบบ" -> "Sergey) ดังนั้นการสร้างบาเรียเพิ่มเติมสำหรับผู้โจมตี