Windows® 7 proporciona un mecanismo sencillo para ejecutar cuentas de usuario final con privilegios de usuario estándar y elimina al mismo tiempo la necesidad de disponer de privilegios de administrador para realizar tareas habituales, tales como instalar un controlador de impresora o conectarse a una red inalámbrica. Este cambio tan fundamental contribuye a aportar seguridad a nivel de sistema operativo ya que se impide que software malintencionado (también denominado malware) y rootkits dañen archivos y valores de configuración de toda la empresa.
El Control de cuentas de usuario (UAC) se basa en la teoría de seguridad del mínimo privilegio, concepto que indica que los usuarios deberían tener el mínimo privilegio absoluto necesario para realizar las tareas asignadas. Los cambios en Subsistema para aplicaciones UNIX que con compatibles con UAC incluyen el uso de la cuenta de usuario con el mínimo privilegio (LUA).
Control de cuentas de usuario
Control de cuentas de usuario es una nueva característica de Windows 7 que se presentó en Windows Vista.
El objetivo principal de Control de cuentas de usuario es reducir la exposición y la superficie de ataque del sistema operativo Windows 7 exigiendo para ello que todos los usuarios se ejecuten en modo de usuario estándar y limitando el acceso de nivel de administrador a los procesos autorizados. Esta limitación minimiza la capacidad de los usuarios de realizar cambios que podrían desestabilizar los equipos o exponer sin darse cuenta la red a virus a través de software malintencionado no detectado que haya infectado el equipo.
Windows 7 ejecuta de manera predeterminada cualquier aplicación como usuario estándar incluso aunque el usuario actual haya iniciado sesión como miembro del grupo Administradores. Por el contrario, cuando los usuarios intentan iniciar una aplicación en la que se ha marcado que requiere permisos de administrador, Windows 7 les solicita que confirmen la intención de iniciar dicha aplicación. Únicamente las aplicaciones que se ejecutan con privilegios de administrador pueden modificar valores de configuración y comportamientos globales y del sistema.
Para obtener más información acerca de Control de cuentas de usuario, vea el tema Descripción y configuración del Control de cuentas de usuario en Windows Vista (
Control de cuentas de usuario y mínimo privilegio en Subsistema para aplicaciones UNIX
Cuando un usuario de Subsistema para aplicaciones UNIX que es miembro del grupo Administradores inicia una aplicación, shell u otra tarea, las aplicaciones se ejecutan en el contexto de seguridad del usuario estándar.
El siguiente ejemplo demuestra cómo Control de cuentas de usuario puede impedir que los usuarios que no son miembros del grupo Administradores pueden realizar tareas administrativas sin disponer de ningún privilegio elevado.
El usuario A es miembro del grupo Administradores y desea crear un nuevo directorio denominado test en el directorio / (raíz). La creación de nuevos directorios en el directorio raíz únicamente la permiten los miembros del grupo Administradores. Sin embargo, si bien el usuario A es miembro del grupo Administradores, este usuario no puede crear el nuevo directorio debido a las restricciones de LUA. El usuario A abre un shell de Korn con privilegios elevados y se le permite crear el directorio test en la raíz.
Para ejecutar una aplicación o realizar tareas con privilegios elevados, consulte los siguientes procedimientos.
Cómo ejecutar una aplicación como administrador
Con Subsistema para aplicaciones UNIX y su paquete de herramientas y utilidades de descarga instalado hay dos modos de ejecutar una aplicación como administrador.
Uso de la interfaz de Windows
Para ejecutar una aplicación en la interfaz de usuario de Windows que requiere privilegios administrativos, realice estos pasos.
 | Para ejecutar una aplicación como administrador en la interfaz de Windows |
Haga clic con el botón secundario en el archivo ejecutable de la aplicación.
En el menú contextual, haga clic en Ejecutar como administrador.
Mediante una línea de comandos basada en UNIX
Para ejecutar una aplicación en el entorno de shell Korn basado en UNIX que requiere privilegios administrativos, realice estos pasos.
| Para ejecutar una aplicación como administrador en un shell Korn |
Haga clic en Inicio, en Todos los programas, en Subsistema para aplicaciones UNIX y, finalmente, seleccione Korn shell.
Haga clic con el botón secundario en Korn shell y, a continuación, haga clic en Ejecutar como administrador.
Cuando se le solicite permitir que el shell se ejecute como administrador, haga clic en Sí.
Ejecute el programa que necesita privilegios de administrador.
Cuando haya finalizado de ejecutar la aplicación que requiere privilegios elevados, cierre la sesión del shell.
Para realizar otras tareas en el entorno de shell basado en UNIX que no requieren privilegios de administrador, abra una nueva sesión de shell sin usar el comando Ejecutar como administrador.
Clave del Registro EnableSuToRoot
Control de cuentas de usuario está habilitado de manera predeterminada. Cuando Control de cuentas de usuario está habilitado, cualquier aplicación o tarea que suplante a otro usuario que sea miembro del grupo Administradores (mediante el uso de las utilidades su, cron o login, setuid, cualquier familia de llamadas setuid o exec_asuser, como ejemplos) siempre se ejecuta en el contexto de seguridad de una cuenta de usuario estándar.
 | Nota |
|
Cuando una aplicación suplanta a un usuario estándar, posee el contexto de seguridad completo de un usuario estándar. Para obtener más información acerca de los usuarios estándar, consulte el tema de prácticas recomendaciones para programadores y directrices para aplicaciones en un entorno de privilegios mínimos incluida en la sección de introducción del sitio web de Microsoft ( |
La configuración predeterminada no permite que una aplicación pueda suplantar al usuario raíz. Para controlar este comportamiento, modifique la clave del Registro HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SUA\EnableSuToRoot.
Cómo modificar la clave del Registro EnableSuToRoot
 | Importante |
|
La cuenta Administrador está deshabilitada de forma predeterminada en Windows 7 y Windows Server 2008 R2 para ayudar a proteger los equipos y datos contra el acceso de usuarios no autorizados y malintencionados, y se debe habilitar para los usuarios que suplantan al usuario raíz o Administrador. Dado que la cuenta Administrador se debe habilitar para poder cambiar este valor de la clave del Registro EnableSuToRoot, a continuación se describe el procedimiento para completar esta tarea. Para llevar a cabo este procedimiento, debe ser miembro del grupo Administradores en el equipo local. |
| Para habilitar la cuenta Administrador |
Haga clic en Inicio, haga clic con el botón secundario en Equipo y, a continuación, haga clic en Administrar.
En el panel de jerarquías del complemento Administración de equipos, abra Usuarios y grupos locales.
Seleccione Usuarios.
En el panel de resultados, haga clic con el botón secundario en Administrador y, a continuación, en Propiedades.
Desactive la casilla de la opción Cuenta deshabilitada.
Haga clic en Aceptar.
Cierre la ventana Propiedades y, a continuación, el complemento Administración de equipos.
Realice los siguientes pasos para cambiar la configuración de la clave del Registro EnableSuToRoot después de instalar Subsistema para aplicaciones UNIX.
| Para cambiar la configuración de la clave del Registro EnableSuToRoot |
Haga clic en Inicio, haga clic en Iniciar búsqueda y, finalmente, escriba regedit para abrir el Editor del Registro.
En el panel de jerarquías, abra HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SUA.
En el panel de resultados, haga doble clic en EnableSuToRoot.
En el cuadro Información del valor, especifique 0 para deshabilitar la suplantación del usuario raíz, o 1 para permitirla.
La configuración predeterminada es 0.
Haga clic en Aceptar.
Cierre el Editor del registro y, si se le solicita, guarde los cambios.
Cuando el valor de esta clave está establecido en 0, (la configuración predeterminada), la suplantación del usuario raíz está deshabilitada. Cuando el valor está establecido en 1, la suplantación del usuario raíz está habilitada. Cuando una aplicación suplanta al usuario raíz o una cuenta de administrador, la aplicación dispone del contexto de seguridad administrativa del usuario raíz (administrador).
Setuid y privilegio administrativo
Si los usuarios que pertenecen al grupo Administradores intentan marcar aplicaciones con el atributo setuid, sólo lo harán correctamente si tienen permiso para ejecutar aplicaciones y realizar tareas en un contexto de seguridad administrativa.
A continuación se incluye un ejemplo de cómo marcar el archivo binario /bin/regpwd, que normalmente se marca con el atributo setuid:
-
Abra un shell Korn (ksh) con privilegio elevado tal y como se describe en este tema.
-
Escriba chmod +s /bin/regpwd y, a continuación, presione ENTRAR.
-
Escriba exit para cerrar la sesión de ksh.