Windows® 7 tilbyr er en enkel mekanisme som kan brukes til å kjøre sluttbrukerkontoer med standard brukertilgang og uten administratortilgang ved utføring av vanlige oppgaver som for eksempel å installere en skriverdriver eller koble til et trådløst nettverk. Denne grunnleggende endringen sørger for sikkerheten på operativsystemnivå ved å hindre skadelig programvare og rotsett å skade firmaets felles filer og innstillinger.
Brukerkontokontroll er basert på sikkerhetsprinsippet om minste tilgang, dvs. at brukeren gis den absolutt laveste tilgangen som kreves for å utføre bestemte oppgaver. Endringer i delsystemet for UNIX-baserte programmer som er kompatible med brukerkontokontroll, er blant annet bruk av brukerkonto med laveste tilgang (LUA).
Brukerkontokontroll
Brukerkontokontroll er en sikkerhetsfunksjon i Windows 7 som ble introdusert i Windows Vista.
Hovedhensikten med brukerkontokontrollen er å redusere de angrepsutsatte områdene i Windows 7-operativsystemet ved å kreve at alle brukere kjører i standard brukermodus og ved å begrense tilgang på administratornivå til godkjente prosesser. Denne begrensningen minimaliserer muligheten for at brukere gjør endringer som kan destabilisere datamaskinen eller utsette nettverket for virus via skadelig programvare som har infisert maskinen uten å bli oppdaget.
Som standard kjører Windows 7 hvert program som standardbruker selv om den nåværende brukeren er pålogget som medlem av administratorgruppen. Når brukere prøver å starte et program som er markert med krav om administratortilgang, ber Windows 7 dem bekrefte at de har til hensikt å starte det. Det er bare programmer som kjøres med administratortilgang, som kan endre systeminnstillinger og globale innstillinger og virkemåte.
Hvis du vil ha mer informasjon om brukerkontokontroll, kan du se Microsofts webområde under emnet "Forstå og konfigurere brukerkontokontroll i Windows Vista" (
Brukerkontokontroll og laveste tilgang i delsystem for UNIX-baserte programmer
Når en bruker i et delsystem for UNIX-baserte programmer er medlem i administratorgruppen og starter et program, grensesnitt eller en annen oppgave, kjører programmene i sikkerhetskonteksten for standardbruker.
Følgende eksempel viser hvordan brukerkontokontrollen kan hindre at brukere som er medlem av administratorgruppen, utfører administrative oppgaver uten opphøyde tilgangsnivåer.
Bruker A er medlem av administratorgruppen og vil opprette en ny mappe kalt test i rotkatalogen. Det er bare medlemmer av administratorgruppen som kan opprette nye mapper i rotkatalogen. Selv om bruker A er medlem av administratorgruppen, kan bruker A ikke opprette den nye mappen på grunn av LUA-begrensningene. Bruker A åpner et Korn-grensesnitt med opphøyde tilgangsrettigheter og kan opprette mappen test i rotkatalogen.
De følgende prosedyrene forklarer hvordan du kjører et program eller utfører oppgaver med opphøyde tilgangsrettigheter.
Slik kjører du et program som administrator
Med delsystemet for UNIX-baserte programmer og den tilhørende nedlastingspakken med verktøy og hjelpeprogrammer installert, kan et program kjøres som administrator på to måter.
Ved hjelp av Windows-grensesnittet
Utfør de følgende trinnene for å kjøre et program i Windows som krever administrativ tilgang.
 | Slik kjører du et program som administrator i Windows-grensesnittet |
Høyreklikk på programmets kjørbare fil.
Klikk Kjør som administrator på hurtigmenyen.
Ved hjelp av en UNIX-basert kommandolinje
Utfør de følgende trinnene for å kjøre et program i det UNIX-baserte Korn-grensesnittet som krever administrativ tilgang.
| Slik kjører du et program som administrator i Korn-grensesnittet |
Klikk Start, klikk Alle programmer, klikk Delsystem for UNIX-baserte programmer, og pek deretter på Korn-grensesnitt.
Høyreklikk Korn-grensesnitt, og klikk deretter Kjør som Administrator.
Når du blir bedt om å tillate grensesnittet å kjøre som administrator, klikker du Ja.
Kjør programmet som krever administratortilgang.
Når du er ferdig med å kjøre programmet som krever opphøyd tilgangsrettighet, lukker du grensesnittøkten.
Hvis du skal utføre oppgaver i det UNIX-baserte grensesnittet som ikke krever administratortilgang, åpner du en ny grensesnittøkt uten å bruke kommandoen Kjør som administrator.
Registernøkkelen EnableSuToRoot
Brukerkontokontroll er aktivert som standard. Når brukerkontokontrollen er aktivert, kjører alle programmer eller oppgaver som representerer en annen bruker som er medlem av administratorgruppen (ved hjelp av verktøyene su, cron eller login-verktøy, setuid, et av kallene i gruppen setuid eller exec_asuser for eksempel) i sikkerhetskonteksten til en standardbrukerkonto.
 | Obs! |
|
Når et program representerer en standardbruker, har det den fullstendige sikkerhetskonteksten til en standardbruker. Du finner mer informasjon om standardbrukere på Microsofts webområde under emnet Utvikleres beste fremgangsmåter og retningslinjer for programmer i laveste tilgangsnivå, i innledningsavnittet ( |
Med standardinnstillinger kan et program ikke representere rotbrukeren. Du kan styre denne virkemåten ved å endre registernøkkelen HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SUA\EnableSuToRoot.
Slik endrer du registernøkkelen EnableSuToRoot
 | Viktig! |
|
Administratorkontoen er deaktivert som standard i Windows 7 og Windows Server 2008 R2 for hjelpe til med å beskytte datamaskiner og data mot tilgang fra uautoriserte eller ondsinnede brukere, og den må aktiveres for at brukere skal kunne opptre som rotbrukeren eller en administrator. Fordi administratorkontoen først må aktiveres for å endre innstillingen for registernøkkelen EnableSuToRoot, følger fremgangsmåten for å gjøre dette med én gang. Du må være medlem av administratorgruppen på den lokale datamaskinen for å utføre denne prosedyren. |
| Slik aktiverer du administratorkontoen |
Klikk Start, høyreklikk Datamaskin og klikk deretter Behandle.
I hierarkipanelet i snapin-modulen Datamaskinbehandling åpner du Lokale brukere og grupper.
Velg Brukere.
Høyreklikk Administrator i resultatruten, og klikk deretter Egenskaper.
Fjern krysset i avmerkingsboksen for alternativet Konto er deaktivert.
Klikk OK.
Lukk Egenskaper-vinduet og lukk deretter snapin-modulen Datamaskinbehandling.
Utfør følgende trinn for å endre innstillingen for registernøkkelen EnableSuToRoot etter at du har installert Delsystem for UNIX-baserte programmer.
| Slik endrer du innstillingen for registernøkkelen EnableSuToRoot |
Klikk Start, klikk tekstboksen Start søk, og skriv inn regedit. Dette åpner Registerredigeringen.
Åpne HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SUA i hierarkipanelet.
Dobbeltklikk EnableSuToRoot i resultatruten.
I boksen Verdidata angir du 0 for å forby representasjon av rotbrukeren, eller 1 hvis du vil tillate det.
Standardinnstillingen er 0.
Klikk OK.
Lukk Registerredigeringen. Hvis du blir spurt om du vil lagre endringene, svarer du Ja.
Når verdien til denne nøkkelen angis som 0 (standardinnstilling), forbys representasjon av rotbrukeren. Når verdien angis som 1, tillates representasjon av rotbrukeren. Når et program representerer rotbrukeren eller administratorkontoen, har programmet fullstendige administrative sikkerhetskonteksten til rotbrukeren (administrator).
Setuid og Administrativ tilgang
Hvis brukere som er medlemmer av administratorgruppen, prøver å markere programmer med attributtet setuid, vil de bare lykkes hvis de tillates å kjøre programmer og utføre oppgaver i en administrativ sikkerhetskontekst.
Følgende er et eksempel på hvordan du kan markere binærfilen /bin/regpwd, som vanligvis markeres med attributtet setuid:
-
Åpne et Korn-grensesnitt (ksh) med opphøyd tilgangsnivå som beskrevet i dette emnet.
-
Skriv chmod +s /bin/regpwd, og trykk deretter Enter.
-
Skriv exit for å lukket ksh-økten.