Systém Windows® 7 nabízí jednoduchý mechanismus, který dává spuštěným účtům koncových uživatelů standardní uživatelská oprávnění a přitom zamezuje tomu, aby bylo k provádění běžných úkonů (jako je instalace ovladače tiskárny nebo připojení k bezdrátové síti) potřeba oprávnění správce. Jedná se o významný posun, který přispívá k zajištění na úrovni operačního systému a zamezuje tomu, aby škodlivý software (neboli malware) a root-kity poškodily soubory a nastavení společností.
Nástroj Řízení uživatelských účtů (UAC) je založen na teorii nejnižšího možného oprávnění, že by uživatelé měli mít absolutně nejnižší oprávnění, která jsou pro provádění zadaných úloh potřeba. K změnám v subsystému pro unixové aplikace, které jsou kompatibilní s nástrojem Řízení uživatelských účtů, patří i použití uživatelského účtu s nejnižším možným oprávněním (LUA).
Nástroj Řízení uživatelských účtů
Nástroj Řízení uživatelských účtů je funkcí zabezpečení v systému Windows 7, která byla zavedena v systému Windows Vista.
Hlavním úkolem nástroje Řízení uživatelských účtů je snížit možnost vystavení a plochu možného útoku na operační systém Windows 7 tím, že budou všichni uživatelé spouštěni v režimu standardního uživatele a přístup na úrovni správce bude omezen pomocí ověřovacích procesů. Toto omezení snižuje možnost, že uživatelé provedou změny, které by mohly destabilizovat jejich počítač, a náhodně tak vystavili síť virům, které by mohly pomocí nenalezeného škodlivého software počítač napadnout.
Ve výchozím nastavení spouští systém Windows 7 každou aplikaci v režimu standardního uživatele, dokonce i když je uživatel přihlášen jako člen skupiny Administrators. Pokud se naopak uživatel pokouší spustit aplikaci, která byla označena za aplikaci vyžadující oprávnění pro správu, zobrazí systém Windows 7 výzvu, která žádá uživatele o potvrzení jeho úmyslu. Modifikovat systém, globální nastavení a chování mohou pouze aplikace, které jsou spuštěny s oprávněním pro správu.
Další informace o nástroji Řízení uživatelských účtů naleznete v článku Principy a nastavení nástroje Řízení uživatelských účtů v systému Windows Vista na webu společnosti Microsoft (
Nástroj Řízení uživatelských účtů a nejnižší možné oprávnění v subsystému pro unixové aplikace.
Jestliže subsystém pro unixové aplikace, který je členem skupiny Administrators, spustí aplikaci, prostředí, nebo jakoukoliv jinou úlohu, bude aplikace spuštěna v kontextu zabezpečení standardního uživatele.
Následující příklad ukazuje, jak může nástroj Řízení uživatelských účtů zabránit uživatelům, kteří jsou členy skupiny Administrators, aby prováděli úkony správy bez nejnižšího možného oprávnění.
Uživatel A je člen skupiny Administrators a chce vytvořit v kořenovém adresáři nový adresář s názvem test. Vytvářet nové adresáře v kořenovém adresáři mohou pouze členové skupiny Administrators. I když je však uživatel A členem skupiny Administrators, nemůže z důvodu omezení nejnižšího možného oprávnění nový adresář vytvořit. Uživatel A otevře prostředí Korn shell se zvýšeným oprávněním a je oprávněn vytvořit v kořenovém adresáři adresář test.
Chcete-li spustit aplikaci nebo provést úlohu se zvýšenými oprávněními, postupujte podle následujících pokynů.
Spuštění aplikace s oprávněním pro správu
Jestliže máte nainstalován subsystém pro unixové aplikace a související soubor nástrojů, existují dvě možnosti, jak spustit aplikaci s oprávněním pro správu.
Pomocí rozhraní Windows
Pokud chcete spustit aplikaci v uživatelském rozhraní systému Windows, které požaduje oprávnění pro správu, postupujte podle následujících pokynů:
 | Chcete-li v rozhraní systému Windows spustit aplikaci s oprávněním pro správu |
Pravým tlačítkem myši klikněte na spustitelný soubor.
V místní nabídce klikněte na možnost Spustit jako správce.
S použitím unixového příkazového řádku
Pokud chcete spustit aplikaci v unixovém prostředí typu Korn shell, které požaduje oprávnění pro správu, postupujte podle následujících pokynů.
| Jestliže chcete v prostředí Korn shell spustit aplikaci s oprávněním pro správu |
Klikněte na tlačítko Start, dále klikněte na možnost Všechny programy, následně klikněte na Subsystém pro unixové aplikace a přejděte na možnost Korn shell.
Pravým tlačítkem klikněte na možnost Korn shell a vyberte možnost Spustit jako správce.
Budete vyzváni k povolení spuštění prostředí shell jako správce. Klikněte na tlačítko Ano.
Spusťte program, který požaduje správcovské oprávnění.
Po ukončení činnosti aplikace, která vyžadovala zvýšená oprávnění, opět uzavřete relaci prostředí shell.
Jestliže chcete vykonávat další úlohy v unixovém prostředí typu shell, které již nevyžadují oprávnění pro správu, otevřete novou relaci prostředí shell bez použití příkazu Spustit jako správce.
Klíč registru EnableSuToRoot
Nástroj Řízení uživatelských účtů je ve výchozím nastavení spuštěn. Pokud je nástroj Řízení uživatelských účtů spuštěn, bude jakákoliv aplikace nebo úloha zosobňující jiného uživatele, který je členem skupiny Administrators (např. tím, že použije nástroje typu su, cron nebo login, nástroj setuid, jakékoliv volání typu setuid nebo exec_asuser), pokaždé spuštěna v kontextu zabezpečení standardního uživatelského účtu.
 | Poznámka |
|
Jestliže aplikace představuje standardního uživatele, bude mít úplný kontext zabezpečení standardního uživatele. Další informace o standardním uživateli naleznete v úvodní části tématu "Doporučené postupy pro vývojáře a směrnice pro aplikace v prostředí nejnižšího možného oprávnění" na webu společnosti Microsoft ( |
Ve výchozím nastavení nemůže aplikace představovat uživatele root user. Toto chování můžete řídit úpravou klíče registru HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SUA\EnableSuToRoot.
Úprava klíče registru EnableSuToRoot
 | Důležité informace |
|
V systému Windows 7 a Windows Server 2008 R2 je účet správce ve výchozím nastavení zakázán, aby byly počítače a data lépe chráněny před přístupem ze strany neoprávněných uživatelů nebo uživatelů se zlými úmysly. Je třeba jej povolit pro uživatele, kteří mají zosobňovat uživatele root nebo správce. Protože změna nastavení klíče registru EnableSuToRoot vyžaduje, aby byl nejprve povolen účet správce, na prvním místě je níže uveden postup pro provedení této úlohy. Následující postup mohou provést pouze členové skupiny Administrators v místním počítači. |
| Povolení účtu správce |
Klikněte na tlačítko Start, klikněte pravým tlačítkem myši na položku Počítač a poté klikněte na příkaz Spravovat.
V podokně hierarchie modulu snap-in Správa počítače otevřete položku Místní uživatelé a skupiny.
Vyberte položku Uživatelé.
V podokně výsledků klikněte pravým tlačítkem myši na položku Správce a poté klikněte na příkaz Vlastnosti.
Zrušte zaškrtnutí políčka Účet je zakázán.
Klikněte na tlačítko OK.
Zavřete okno Vlastnosti a potom modul snap-in Správa počítače.
Postupujte podle následujících kroků a změňte nastavení klíče registru EnableSuToRoot po instalaci subsystému pro unixové aplikace.
| Pokud chcete změnit nastavení klíče registru EnableSuToRoot |
Klikněte na tlačítko Start, poté klikněte do textového pole Spustit hledání a zadáním příkazu regedit spusťte Editor registru.
V podokně hierarchie otevřete položku HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SUA.
V podokně výsledků dvakrát klikněte na možnost EnableSuToRoot.
Do pole Údaj hodnoty zadejte hodnotu 0, jestliže chcete zakázat spouštění jako uživatel typu root user, zadáním hodnoty 1 tuto možnost povolíte.
Výchozí hodnota je 0.
Klikněte na tlačítko OK.
Zavřete nástroj Editor registru, a pokud k tomu budete vyzváni, uložte změny.
Jestliže je hodnota klíče nastavena na hodnotu 0 (výchozí nastavení), je spouštění jako uživatel typu root user zakázáno. Jestliže je hodnota nastavena na hodnotu 1, je spouštění jako uživatel typu root user povoleno. Jestliže aplikace představuje uživatele typu root user nebo účet Administrator, má kontext zabezpečení správy uživatele typu root user (Administrator).
Setuid a oprávnění správce
Pokud se uživatelé, kteří jsou členy skupiny Administrators, pokusí označit aplikaci atributem setuid, podaří se jim to pouze v případě, že mohou spouštět aplikace a provádět úlohy v kontextu zabezpečení správce.
Zde je příklad toho, jak lze označit binární soubor /bin/regpwd, který je obvykle označen atributem setuid:
-
Otevřete již popsaným způsobem prostředí Korn shell (ksh) se zvýšeným oprávněním.
-
Zadejte chmod +s /bin/regpwd a stiskněte klávesu ENTER.
-
Zadáním příkazu exit ukončíte relaci prostředí Korn shell.