System Windows® 7 udostępnia prosty mechanizm uruchamiania kont użytkowników końcowych ze standardowymi uprawnieniami, eliminując jednocześnie konieczność posiadania uprawnień administratora podczas wykonywania typowych zadań, takich jak instalowanie sterowników drukarek lub podłączanie do sieci bezprzewodowej. Ta fundamentalna zmiana zapewnia bezpieczeństwo na poziomie systemu operacyjnego, zapobiegając zniszczeniu plików i ustawień w całej firmie przez złośliwe oprogramowanie (zwane także malware) i programy typu rootkit.
Kontrola konta użytkownika (UAC) opiera się na teorii zabezpieczeń za pomocą najmniejszych uprawnień, która polega na tym, że użytkownicy powinni mieć wyłącznie minimalne uprawnienia do wykonywania przydzielonych im zadań. Zmiany w podsystemie dla aplikacji systemu UNIX kompatybilnych z zasadą UAC obejmują użycie konta użytkownika o najniższych uprawnieniach (LUA).
Kontrola konta użytkownika
Kontrola konta użytkownika jest funkcją zabezpieczeń systemu Windows 7 wprowadzoną po raz pierwszy w systemie Windows Vista.
Podstawowym celem Kontroli konta użytkownika jest zmniejszenie narażenia systemu operacyjnego Windows 7 na ataki poprzez wymóg, aby wszyscy użytkownicy działali w trybie standardowego użytkownika oraz przez ograniczenie dostępu na poziomie administratora do uprawnionych procesów. Ograniczenie to zmniejsza możliwość wprowadzenia przez użytkowników zmian, które spowodowałyby destabilizację ich komputerów lub w sposób niezamierzony naraziły sieć na wirusy poprzez niewykryte złośliwe oprogramowanie, które zainfekowało ich komputer.
Domyślnie w systemie Windows 7 każda aplikacja jest uruchamiana ze standardowymi uprawnieniami użytkownika, nawet wtedy, gdy bieżący użytkownik jest zalogowany jako członek grupy Administratorzy. Z kolei gdy użytkownik próbuje uruchomić aplikację, którą oznaczono jako wymagająca uprawnień administratora, system Windows 7 żąda potwierdzenia tego zamiaru. Tylko aplikacje działające z uprawnieniami administratora mogą modyfikować system oraz jego ustawienia globalne i zachowanie.
Aby uzyskać więcej informacji na temat Kontroli konta użytkownika, zobacz temat „Opis i konfigurowanie funkcji Kontrola konta użytkownika w systemie Windows Vista” w witrynie firmy Microsoft w sieci Web (
Kontrola konta użytkownika i najniższe uprawnienia w podsystemie aplikacji systemu UNIX
Kiedy użytkownik podsystemu aplikacji systemu UNIX, który jest członkiem grupy Administratorzy, uruchamia aplikację, powłokę lub inne zadanie, aplikacje te działają w kontekście zabezpieczeń standardowego użytkownika.
W poniższym przykładzie pokazano, jak Kontrola konta użytkownika może zapobiec wykonywaniu zadań administracyjnych bez pełnych uprawnień przez użytkowników grupy Administratorzy.
Użytkownik A należy do grupy Administratorzy i chce utworzyć nowy katalog o nazwie test w katalogu / (głównym). Tylko członkowie grupy Administratorzy mogą tworzyć nowe katalogi w katalogu głównym. Jednakże, mimo iż użytkownik A należy do grupy Administratorzy, nie może on utworzyć nowego katalogu z powodu ograniczeń LUA. Użytkownik A otwiera powłokę Korn z podwyższonym poziomem uprawnień i może utworzyć katalog test w katalogu głównym.
Aby uruchomić aplikację lub wykonać zadania z pełnymi uprawnieniami, zobacz poniższe procedury.
Jak uruchomić aplikację jako administrator
Po zainstalowaniu podsystemu aplikacji systemu UNIX i pobranego pakietu programów narzędziowych istnieją dwa sposoby uruchomienia aplikacji jako administrator.
Przy użyciu interfejsu systemu Windows
Aby uruchomić aplikację, która wymaga uprawnień administracyjnych, w interfejsie użytkownika systemu Windows, wykonaj poniższe kroki.
 | Aby uruchomić aplikację jako administrator w interfejsie użytkownika systemu Windows |
Kliknij prawym przyciskiem myszy plik wykonywalny aplikacji.
W menu kontekstowym kliknij przycisk Uruchom jako administrator.
Przy użyciu wiersza polecenia systemu UNIX
Aby uruchomić aplikację, która wymaga uprawnień administracyjnych, w środowisku powłoki Korna systemu UNIX, wykonaj poniższe kroki.
| Aby uruchomić aplikację jako administrator w środowisku powłoki Korna systemu UNIX |
Kliknij przycisk Start, kliknij polecenie Wszystkie programy, kliknij polecenie Podsystem aplikacji systemu UNIX i wskaż pozycję Powłoka Korna.
Kliknij prawym przyciskiem myszy pozycję Powłoka Korna, a następnie wybierz polecenie Uruchom jako administrator.
Po wyświetleniu monitu o zezwolenie na uruchamianie powłoki jako administrator kliknij przycisk Tak.
Uruchom program wymagający uprawnień Administratora.
Po zakończeniu uruchamiania aplikacji, która wymaga pełnych uprawnień, zamknij sesję powłoki.
Aby wykonać inne zadania, które nie wymagają uprawnień Administratora, w środowisku powłoki systemu UNIX, otwórz nową sesję powłoki bez korzystania z polecenia Uruchom jako administrator.
Klucz rejestru EnableSuToRoot
Kontrola konta użytkownika jest domyślnie włączona. Po jej włączeniu każda aplikacja lub zadanie, które personifikuje innego użytkownika należącego do grupy Administratorzy (na przykład za pomocą narzędzi su, cron lub login, atrybutu setuid, dowolnego wywołania z rodziny setuid lub exec_asuser), zawsze działa w kontekście zabezpieczeń standardowego konta użytkownika.
 | Uwaga |
|
Kiedy aplikacja personifikuje standardowego użytkownika, ma pełny kontekst zabezpieczeń tego użytkownika. Aby uzyskać więcej informacji o użytkownikach standardowych, zobacz temat (Sprawdzone procedury programistyczne i wskazówki dotyczące aplikacji w środowisku o najmniejszych uprawnieniach), sekcja Wprowadzenie w witrynie sieci Web firmy Microsoft ( |
Przy ustawieniach domyślnych aplikacja nie może personifikować użytkownika root. Działanie to można zmienić, edytując klucz rejestru HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SUA\EnableSuToRoot.
Jak zmodyfikować klucz rejestru EnableSuToRoot
 | Ważne |
|
Konto Administrator jest domyślnie wyłączone w systemach Windows 7 i Windows Server 2008 R2 w celu ochrony komputerów i danych przed dostępem nieautoryzowanych lub złośliwych użytkowników i musi zostać ono włączone dla użytkowników, aby umożliwić personifikację użytkownika root lub konta Administrator. Ponieważ w celu zmiany ustawienia klucza rejestru EnableSuToRoot włączone musi zostać najpierw konto Administrator, poniżej przedstawiono procedurę wykonania tego zadania. Aby wykonać tę procedurę, użytkownik musi być członkiem grupy Administratorzy na komputerze lokalnym. |
| Aby włączyć konto Administrator |
Kliknij przycisk Start, kliknij prawym przyciskiem myszy pozycję Komputer, a następnie kliknij polecenie Zarządzaj.
W okienku hierarchii przystawki Zarządzanie komputerem otwórz pozycję Użytkownicy i grupy lokalne.
Wybierz pozycję Użytkownicy.
W okienku wyników kliknij prawym przyciskiem myszy pozycję Administrator, a następnie kliknij polecenie Właściwości.
Wyczyść pole wyboru opcji Konto jest wyłączone.
Kliknij przycisk OK.
Zamknij okno Właściwości, a następnie zamknij przystawkę Zarządzanie komputerem.
Aby zmienić ustawienie klucza rejestru EnableSuToRoot po zainstalowaniu podsystemu aplikacji systemu UNIX, wykonaj następujące kroki:
| Aby zmienić ustawienie klucza rejestru EnableSuToRoot |
Kliknij przycisk Start, kliknij w polu tekstowym Rozpocznij wyszukiwanie i wpisz regedit, aby otworzyć Edytor rejestru.
W okienku hierarchii otwórz gałąź HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SUA.
W okienku wyników kliknij dwukrotnie pozycję EnableSuToRoot.
W polu Dane wartości wpisz 0, aby uniemożliwić personifikację użytkownika root, albo 1, aby na nią zezwolić.
Ustawienie domyślne wynosi 0.
Kliknij przycisk OK.
Zamknij Edytor rejestru i potwierdź zapisanie zmian.
Kiedy wartość tego klucza wynosi 0 (ustawienie domyślne), personifikacja użytkownika root jest niemożliwa. Kiedy wartość tego klucza wynosi 1, personifikacja użytkownika root jest dozwolona. Kiedy aplikacja personifikuje użytkownika root lub konto Administratora, ma ona kontekst zabezpieczeń użytkownika root (Administratora).
Atrybut 'setuid' i uprawnienia administracyjne
Użytkownicy należący do grupy Administratorzy mogą skutecznie oznaczać aplikacje atrybutem setuid tylko wtedy, gdy mają uprawnienia do uruchamiania aplikacji i wykonywania zadań w kontekście zabezpieczeń administratora.
Poniżej przedstawiono przykład, jak oznaczać plik binarny /bin/regpwd, który zazwyczaj jest oznaczony atrybutem setuid:
-
Otwórz powłokę Korna (ksh) z pełnym uprawnieniem w sposób opisany w niniejszym temacie.
-
Wpisz polecenie chmod +s /bin/regpwd i naciśnij klawisz ENTER.
-
Wpisz polecenie exit, aby zamknąć sesję powłoki ksh.