Управление шаблонами безопасности

Рисунок Microsoft Windows

Шаблоны безопасности

Шаблон безопасности является файлом, содержащим параметры безопасности. Шаблоны безопасности могут быть применены на локальном компьютере, импортированы в объект «Групповая политика» или использованы для анализа безопасности.

  • Перед тем как продолжить, ознакомьтесь с разделом Контрольный список: Защита компьютеров с помощью диспетчера настройки безопасности.
  • Справка по выполнению конкретных задач содержится в разделе Инструкции.
  • Сведения общего характера см. в разделе Основные понятия.
  • Инструкции по устранению неполадок содержатся в разделе Устранение неполадок.
  • Другие средства политики безопасности.
Средство управления настройкой безопасности | Описание
Анализ и настройка безопасности | Данное средство можно использовать для анализа и настройки безопасности компьютера с помощью шаблона безопасности.
Расширение «Параметры безопасности» для групповой политики | Данное средство может использоваться для изменения отдельных параметров безопасности домена, узла или подразделения в Active Directory.
Локальная политика безопасности | Данное средство можно использовать для изменения отдельных параметров безопасности локального компьютера.
Средство командной строки Secedit.exe | Данное средство можно использовать для автоматизации задач настройки безопасности.

Дополнительные сведения об индивидуальный настройках безопасности см. в разделе Описания параметров безопасности.


Контрольный список: защита компьютеров с помощью диспетчера настройки безопасности

Действие | Справочные сведения
Подготовка к настройке политики безопасности
Просмотр описаний отдельных параметров | Описания параметров безопасности
Просмотр параметров безопасности по умолчанию, групп безопасности и изменений параметров безопасности, используемых в Windows XP по умолчанию | Параметры безопасности по умолчанию, Различия между параметрами безопасности по умолчанию в Windows XP
Просмотр прав пользователей по умолчанию | Права на вход в систему, Привилегии
Использование сертифицированных для Windows приложений | Программа сертификации приложений для Windows доступна на веб-узле корпорации Майкрософт. (http://msdn.microsoft.com)
Анализ текущих параметров
Просмотр оснастки Шаблоны безопасности | Шаблоны безопасности
Выбор готового шаблона безопасности или создание нового шаблона безопасности для использования на компьютерах | Готовые шаблоны безопасности, Определение нового шаблона безопасности
Анализ безопасности локального компьютера | Анализ безопасности системы
Изменение параметров безопасности
Применение нужного шаблона | Чтобы импортировать шаблон безопасности в объект групповой политики, Чтобы применить шаблон безопасности к локальной политике
Изменение параметров безопасности на локальном компьютере | Чтобы изменить локальные параметры безопасности
Изменение параметров безопасности для домена или подразделения | Чтобы изменить параметр безопасности для объекта групповой политики


Советы и рекомендации по использованию шаблонов безопасности

Рисунок Microsoft Windows

Советы и рекомендации

Правильное использование шаблонов

  • Не следует изменять шаблон Setup security.inf, поскольку он позволяет восстановить параметры безопасности, используемые по умолчанию.
  • Шаблон Setup security.inf не должен быть использован при помощи групповой политики. Шаблон Setup security.inf должен применяться только на локальном компьютере при помощи средства «Анализ и настройка безопасности». Шаблон Setup security.inf изменяется во время установки и является уникальным для каждого компьютера. Шаблон содержит большое количество данных и может снизить производительность, если он применяется при помощи групповой политики, поскольку параметры этой политики периодически обновляются.
  • Совместимый шаблон не следует применять к компьютерам, которые являются контроллерами домена. Например, не следует импортировать совместимый шаблон в объект домена по умолчанию или в объект групповой политики стандартного контролера домена.

Соблюдение осторожности при изменении готовых шаблонов

  • Вместо изменения готового шаблона рекомендуется настроить такой шаблон и сохранить изменения под другим именем шаблона.
  • Готовые или только что созданные шаблоны безопасности не должны применяться на компьютере или в сети без предварительной проверки, в ходе которой должно подтверждаться наличие заданного уровня функциональности приложения.

Выбор уровня доступа к компьютеру, используемого по умолчанию

  • При определении уровня доступа к компьютеру конечных пользователей, используемого по умолчанию, решающее значение имеет установленная база приложений, которую требуется поддерживать. Дополнительные сведения см. в разделе Параметры безопасности по умолчанию.

Дополнительные сведения см. в разделе Советы и рекомендации по анализу и настройке безопасности и Советы и рекомендации по использованию параметров безопасности.


Инструкции

  • Установка компонента «Шаблоны безопасности»
  • Изменение готового шаблона безопасности
  • Создание шаблоны безопасности
  • Создание нового пути к шаблону безопасности
  • Создание политики групп с ограниченным доступом
  • Применение шаблона безопасности к локальной политике
  • Импорт шаблона безопасности в объект групповой политики
  • Удаление шаблона безопасности


Добавление оснастки «Шаблоны безопасности» в консоль MMC

Рисунок Microsoft Windows

Чтобы добавить оснастку «Шаблоны безопасности» в консоль MMC

  1. Нажмите кнопку Пуск, выберите команду Выполнить, введите mmc и нажмите кнопку OK.
  2. Если необходимо открыть существующую консоль, выберите в меню Файл команду Открыть, щелкните консоль, которую требуется открыть, и нажмите кнопку Открыть.
  3. В меню Консоль выберите команду Добавить или удалить оснастку.
  4. В диалоговом окне Добавить/удалить оснастку нажмите кнопку Добавить.
  5. В поле Доступные изолированные оснастки выберите оснастку Шаблоны безопасности, нажмите кнопку Добавить, нажмите кнопку Закрыть и кнопку ОК.
  6. В меню Файл выберите команду Сохранить.

Примечания

  • XOX

  • Дополнительные сведения см. в разделе Работа с файлами консоли управления (MMC).

См. также


Настройка готового шаблона безопасности

Рисунок Microsoft Windows

Чтобы настроить готовый шаблон безопасности

  1. Откройте окно Шаблоны безопасности.
  2. В дереве консоли дважды щелкните папку с путем, используемым по умолчанию (системный_корневой_каталог\Security\Templates), а затем в области сведений щелкните правой кнопкой мыши готовый шаблон, который требуется изменить.
  3. Выберите команду Сохранить как, введите новое имя файла шаблона безопасности и нажмите кнопку Сохранить.
  4. В дереве консоли дважды щелкните новый шаблон безопасности для отображения политик безопасности и выполните переход к параметру безопасности на правой панели, который необходимо изменить.
  5. Щелкните параметр безопасности правой кнопкой мыши и выберите команду Свойства.
  6. Установите флажок Определить следующий параметр политики в шаблоне, внесите необходимые изменения и нажмите кнопку OK.

Примечания

  • Чтобы открыть оснастку «Шаблоны безопасности», нажмите кнопку Пуск, выберите команду Выполнить, введите mmc и нажмите кнопку ОК. В меню Файл выберите команду Открыть, выберите консоль, которую необходимо открыть, и нажмите кнопку Открыть. Затем в дереве консоли щелкните узел Шаблоны безопасности.
  • Только администраторы имеют разрешения на изменение папки готовых шаблонов безопасности, которая находится в следующем расположении:

    системный_корневой_каталог\Security\Templates

См. также


Определение шаблона безопасности

Рисунок Microsoft Windows

Чтобы определить шаблон безопасности

  1. Откройте окно Шаблоны безопасности.
  2. Щелкните правой кнопкой мыши папку шаблонов, в которой требуется создать новый шаблон, и выберите команду Создать шаблон.
  3. В поле Имя шаблона введите имя нового шаблона.
  4. В поле Описание введите описание нового шаблона безопасности и нажмите кнопку OK.
  5. В дереве консоли дважды щелкните новый шаблон безопасности для отображения его областей безопасности и выполните переход к параметру безопасности на правой панели, который необходимо настроить.
  6. На правой панели щелкните правой кнопкой мыши параметр безопасности, который нужно настроить, и выберите команду Свойства.
  7. Установите флажок Определить следующий параметр политики в шаблоне, настройте параметры и нажмите кнопку OK.

Примечания

  • Чтобы открыть оснастку «Шаблоны безопасности», нажмите кнопку Пуск, выберите команду Выполнить, введите mmc, а затем нажмите кнопку OK. В меню Файл выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. В дереве консоли щелкните узел Шаблоны безопасности.
  • Только администраторы имеют разрешения на изменение папки готовых шаблонов безопасности, которая находится в следующем расположении:

    системный_корневой_каталог\Security\Templates

    Если необходимо создать новую папку для новых шаблонов безопасности, см. раздел Чтобы задать новый путь к шаблону безопасности.
  • Дополнительные сведения о параметрах различных политик см. в разделе Описания параметров безопасности.

См. также


Задание нового пути к шаблону безопасности

Рисунок Microsoft Windows

Чтобы задать новый путь к шаблону безопасности

  1. Откройте окно Шаблоны безопасности.
  2. В дереве консоли щелкните правой кнопкой мыши Шаблоны безопасности, выберите команду Новый путь для поиска шаблонов и выберите новое расположение.

    3. В дереве консоли появится папка с путем к новому размещению.

  3. Если кроме имени новому пути к размещению шаблона требуется дать описание, щелкните новую папку шаблона правой кнопкой мыши, выберите команду Задать описание и введите описание, которое необходимо добавить.

Примечания

  • Чтобы открыть оснастку «Шаблоны безопасности», нажмите кнопку Пуск, выберите команду Выполнить, введите mmc и нажмите кнопку ОК. В меню Файл выберите команду Открыть, выберите консоль MMC, которую необходимо открыть, и нажмите кнопку Открыть. Затем в дереве консоли щелкните узел Шаблоны безопасности.
  • XOX

См. также


Создание политики групп с ограниченным доступом

Рисунок Microsoft Windows

Чтобы создать политику групп с ограниченным доступом

  1. Откройте окно Шаблоны безопасности.
  2. В дереве консоли щелкните правой кнопкой узел Группы с ограниченным доступом.

    Где?

    • Шаблоны безопасности
    • Папка пути шаблона
    • Шаблон безопасности
    • Группы с ограниченным доступом
  3. Выберите команду Добавить группу.
  4. В поле Группа введите имя группы, для которой необходимо ограничить доступ, и нажмите кнопку ОК.
  5. Чтобы добавить пользователей в группу, в области сведений щелкните правой кнопкой мыши добавленную группу и выберите команду Свойства.
  6. В диалоговом окне Свойства: Новая_группа рядом с полем Члены этой группы нажмите кнопку Добавить, а затем введите пользователя, которого необходимо добавить. Повторите этот шаг для каждого пользователя, которого необходимо добавить в группу.
  7. Чтобы добавить эту группу в другую группу, в диалоговом окне Свойства Новая_группа рядом с полем Эта группа является членом в нажмите кнопку Добавить, введите имя группы и нажмите кнопку ОК. Повторите этот шаг для каждой группы, которую требуется добавить.

Примечания

  • Чтобы открыть оснастку «Шаблоны безопасности», нажмите кнопку Пуск, выберите команду Выполнить, введите mmc и нажмите кнопку ОК. В меню Файл выберите команду Открыть, выберите консоль, которую необходимо открыть, и нажмите кнопку Открыть. Затем в дереве консоли щелкните узел Шаблоны безопасности.
  • XOX
  • Согласно политике групп с ограниченным доступом только добавленные члены входят в эту группу. При использовании шаблона безопасности для настройки системы во время выполнения настройки только члены, определенные в политике групп с ограниченным доступом, сохранят свое членство. Подобно этому, если во время настройки пользователь не входит в состав группы, он будут добавлен в группу.
  • Если ни один пользователь не является членом определенной группы с ограниченным доступом, все текущие члены этой группы удаляются при использовании шаблона для настройки системы.
  • Если группа с ограниченным доступом не входит в состав другой группы, никакие действия по регулированию членства в других группах не выполняются.
  • Чтобы скопировать все записи группы с ограниченным доступом из одного шаблона в другой, в дереве консоли щелкните правой кнопкой мыши узел Группы с ограниченным доступом, выберите команду Копировать, дважды щелкните Группы с ограниченным доступом в другом шаблоне и выберите команду Вставить.

См. также


Применение шаблона безопасности к локальной политике

Рисунок Microsoft Windows

Чтобы применить шаблон безопасности к локальной политике

  1. Откройте оснастку Анализ и настройка безопасности.
  2. В дереве консоли щелкните правой кнопкой узел Анализ и настройка безопасности и выберите команду Открыть базу данных.

    Где?

    • Корневой_узел_дерева_консоли
    • Анализ и настройка безопасности
  3. В окне Открыть базу данных в поле Имя файла введите имя файла и нажмите кнопку Открыть.
  4. В списке Импорт шаблона выберите шаблонн и нажмите кнопку Открыть.
  5. В дереве консоли щелкните правой кнопкой узел Анализ и настройка безопасности и выберите команду Настроить компьютер.
  6. Выполните одно из следующих действий.
    • Чтобы использовать стандартный журнал, в группе Путь файла журнала ошибок нажмите кнопку OK.
    • Чтобы выбрать другой журнал, введите в поле Путь файла журнала ошибок допустимые путь и имя файла.

Примечания

  • Чтобы открыть оснастку «Анализ и настройка безопасности», нажмите кнопку Пуск, выберите команду Выполнить, введите mmc и нажмите кнопку ОК. В меню Файл выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. Затем в дереве консоли щелкните узел Анализ и настройка безопасности.
  • XOX
  • Чтобы просмотреть файл журнала, щелкните правой кнопкой мыши раздел Анализ и настройка безопасности и выберите команду Просмотр файла журнала.
  • По умолчанию для файла журнала используется следующий путь:

    Системный_корневой_каталог\Documents and Settings\учетная_запись_пользователя\Мои документы\Безопасность\Logs\

  • Параметры безопасности на локальном компьютере применяются немедленно.
  • Чтобы импортировать несколько шаблонов в политику компьютера, см. раздел Чтобы импортировать шаблон безопасности.

См. также


Импорт шаблона безопасности в объект групповой политики

Рисунок Microsoft Windows

Импорт шаблона безопасности в объект групповой политики

  1. Выполните одно из следующих действий.
    2. Если Выполните следующее действие
    При работе на рабочей станции или сервере, присоединенных к домену, требуется импортировать шаблон безопасности для объекта групповой политики.
    • Нажмите кнопку Пуск, выберите команду Выполнить, введите строку mmc и нажмите кнопку OK.
    • В меню Консоль выберите команду Добавить или удалить оснастку.
    • В диалоговом окне Добавить/удалить оснастку нажмите кнопку Добавить и в диалоговом окне Добавить изолированную оснастку дважды щелкните значок Групповая политика.
    • В диалоговом окне Выбор объекта групповой политики нажмите кнопку Обзор, выберите объект политики, который требуется изменить, и нажмите кнопку Готово.
    • Нажмите кнопку Закрыть, затем OK.
    В контроллере домена необходимо импортировать шаблон безопасности для домена или подразделения.
    • Откройте оснастку Пользователи и компьютеры Active Directory.
    • В дереве консоли щелкните правой кнопкой домен или подразделение для которого нужно установить групповую политику.
    • Выберите команду Свойства и откройте вкладку Групповая политика.
    • Нажмите кнопку Изменить, чтобы открыть объект групповой политики, который необходимо изменить, или нажмите кнопку Создать, чтобы создать новый объект групповой политики, а затем нажмите кнопку Изменить.
  2. В дереве консоли групповой политики щелкните правой кнопкой раздел Параметры безопасности.

    3. Где?

    • Политика Объект групповой политики
    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
  3. Выберите команду Импорт политики.
  4. Выберите шаблон безопасности, который требуется импортировать, и нажмите кнопку Открыть.

Примечание

  • Импорт шаблона безопасности в объект групповой политики гарантирует автоматическое получение всеми учетными записями, к которым применяется объект «Групповая политика», параметров безопасности шаблона при обновлении параметров групповой политики. Для разрешения этой репликации контроллерам домена Windows NT 4.0 следует настроить соответствующим образом политики основного контроллера домена. Настройки безопасности применяются при запуске системы или в соответствии с настройками групповой политики.

  • Не следует импортировать шаблон Setup security.inf в объект групповой политики.
  • XOX

См. также


Удаление шаблона безопасности

Рисунок Microsoft Windows

Чтобы удалить шаблон безопасности

  1. Откройте окно Шаблоны безопасности.
  2. В дереве консоли щелкните правой кнопкой мыши шаблон, который требуется удалить.

    3. Где?

    • Корень консоли
    • Шаблоны безопасности
    • Путь шаблона
    • Шаблон безопасности
  3. Выберите команду Удалить.

Примечания

  • Чтобы открыть оснастку «Шаблоны безопасности», нажмите кнопку Пуск, выберите команду Выполнить, введите mmc и нажмите кнопку ОК. В меню Файл выберите команду Открыть, далее в дереве выберите необходимую консоль и нажмите кнопку Открыть. Затем в дереве консоли щелкните узел Шаблоны безопасности.
  • XOX

См. также


Основные понятия

Данный раздел содержит фундаментальные сведения по использованию оснастки «Шаблоны безопасности» для управления безопасностью системы.

  • Общие сведения об оснастке «Шаблоны безопасности»
  • Стандартные шаблоны безопасности
  • Общее представление об оснастке «Шаблоны безопасности»
  • Описания компонента «Параметры безопасности»
  • Ресурсы
  • Устранение неполадок


Общие сведения об оснастке «Шаблоны безопасности»

При помощи оснастки «Шаблоны безопасности» можно создать политику безопасности для компьютера или сети. Используя эту единственную оснастку, можно управлять всей безопасностью системы. Оснастка «Шаблон безопасности» не предоставляет новых параметров безопасности, а просто упорядочивает и предоставляет удобный доступ ко всем имеющимся атрибутам безопасности для упрощения администрирования.

При импорте шаблона безопасности в объект групповой политики облегчается администрирование домена, так как безопасность настраивается для домена или подразделения только один раз. Дополнительные сведения см. в разделе Чтобы импортироватьь шаблон безопасности в объект групповой политики.

Чтобы применить шаблон безопасности на локальном компьютере, можно использовать средство «Анализ и настройка безопасности». Дополнительные сведения см. в разделе Чтобы настроить безопасность локального компьютера.

Шаблоны безопасности можно использовать, чтобы определить представленные далее элементы.

Область безопасности | Описание
Политики учетных записей | Политика паролей, политика блокировки учетной записи и политика Kerberos
Локальные политики | Политика аудита, назначение прав пользователя и параметры безопасности
Журнал событий | Параметры журналов событий приложений, системных событий и событий безопасности
Группы с ограниченным доступом | Участие в группах безопасности
Системные службы | Запуск и разрешения для системных служб
Реестр | Разрешения для разделов реестра
Файловая система | Разрешения для файлов и папок

Все шаблоны хранятся в текстовых файлах с расширением .inf. Это позволяет копировать, вставлять, импортировать и экспортировать любые атрибуты шаблона. В шаблоне безопасности могут храниться все атрибуты безопасности, за исключением политик безопасности IP и политик открытого ключа.

Новые и готовые шаблоны

Можно создавать шаблоны безопасности, соответствующие требованиям пользователя, или использовать готовые шаблоны. Перед изменением параметров безопасности необходимо определить параметры безопасности системы, используемые по умолчанию, а также их назначение. Дополнительные сведения см. в разделе Параметры безопасности по умолчанию.

Существует несколько готовых шаблонов, которые рекомендуется использовать для защиты системы в зависимости от потребностей конкретного пользователя. Эти шаблоны используются для выполнения представленных далее действий.

  • Восстановление параметров по умолчанию (Setup security.inf)
  • Внедрение среды повышенной защиты. (Hisecws.inf)
  • Внедрение среды с более низким уровнем защиты, но с большей совместимостью. (Compatws.inf)
  • Защита корневого каталога системы. (Rootsec.inf)

Дополнительные сведения см. в разделе Готовые шаблоны безопасности.


Готовые шаблоны безопасности

Готовые шаблоны безопасности представляют собой отправную точку в создании политик безопасности, которые настраиваются, чтобы удовлетворять организационным требованиям. Шаблоны можно настраивать при помощи оснастки Шаблоны безопасности. После настройки готовых шаблонов безопасности эти шаблоны можно использовать для изменения конфигурации одного компьютера или множества компьютеров. Изменить конфигурацию компьютеров можно при помощи оснастки Анализ и настройка безопасности, средства Secedit.exe, работающего из командной строки, а также при помощи импорта шаблона в оснастку Локальная политика безопасности. Можно изменять конфигурацию нескольких компьютеров, импортировав шаблон в компонент Параметры безопасности, являющийся расширениям оснастки «Групповая политика». На основе шаблонов безопасности можно также выполнять анализ возможных слабых мест безопасности и нарушений политики системы при помощи оснасток «Анализ и настройка безопасности». По умолчанию готовые шаблоны безопасности сохранены в расположении:

системный_корневой_каталог\Security\Templates

  • Безопасность по умолчанию (Setup security.inf)

    • Шаблон Setup security.inf является шаблоном для конкретного компьютера и содержит параметры безопасности, используемые по умолчанию, которые применяются во время установки операционной системы, включая разрешения для файлов корневого каталога системного диска. Этот шаблон можно использовать полностью или частично с целями аварийного восстановления. Шаблон Setup security.inf нельзя применять при помощи оснастки «Групповая политика».

  • Совместимый (Compatws.inf)

    • Разрешения по умолчанию для рабочих станций и серверов сначала создаются для их локальных групп: «Администраторы», «Опытные пользователи» и «Пользователи». Члены группы «Администраторы» обладают наибольшими правами, тогда как члены группы «Пользователи» — наименьшими. По этой причине можно значительно повысить безопасность, надежность и снизить общую стоимость владения системой, если придерживаться следующих правил:

    • убедиться, что конечные пользователи являются членами группы «Пользователи»;
    • внедрить приложения, которые могут успешно запускаться и выполняться членами группы «Пользователи».

    Лица, обладающие правами группы «Пользователи» могут успешно работать с приложениями, сертифицированными для Windows. Однако такие пользователи скорее всего не смогут запускать не сертифицированные для Windows приложения. Если необходимо обеспечить поддержку не сертифицированных приложений, существуют две возможности.

    1. Все члены группы «Пользователи» должны также являться членами группы «Опытные пользователи».
    2. Использовать дополнительные разрешения разрешения по умолчанию, созданные для группы «Пользователи».

    Поскольку члены группы «Опытные пользователи» обладают наследуемыми возможностями, такими как создание пользователей, групп, принтеров и общих ресурсов, некоторые администраторы предпочитают предоставить дополнительные разрешения группе «Пользователи», вместо зачисления конечных пользователей в группу «Опытные пользователи». Для этих целей служит «Совместимый» шаблон. При помощи этого шаблона изменяются разрешения для файлов и реестра, используемые по умолчанию, созданные для группы «Пользователи» и соответствующие требованиям большинства не сертифицированных приложений. Кроме того, поскольку после применения совместимого шаблона пользователи не должны присоединяться к группе «Опытные пользователи», все члены группы «Опытные пользователи» удаляются. Дополнительные сведения см. в разделе Параметры безопасности по умолчанию.

    Дополнительные сведения о программе сертификации для Windows доступны на веб-узле Microsoft. (http://msdn.microsoft.com)

    Совместимый шаблон не следует применять к компьютерам, которые являются контроллерами домена. Например, не следует импортировать совместимый шаблон в стандартный домен или в объект групповой политики стандартного контролера домена.

  • Защита (Secure*.inf)

    • В шаблоне «Защита» определяются параметры повышенной безопасности. Наименее вероятно, что они оказывают влияние на совместимость. Например, в шаблоне «Защита» определяются параметры надежных паролей, блокировки и аудита.

    Помимо этого, шаблоном «Защита» ограничивается использование LAN Manager и протоколов проверки подлинности NTLM путем настройки клиентов на отправку ответов в формате NTLMv2, а также настройки серверов на откз от ответов в этом формате.

    • Чтобы применить шаблон Securews.inf на компьютере, на всех контроллерах домена, содержащего учетные записи всех пользователей, входящих в систему клиента, необходимо установить Windows NT 4.0 с пакетом обновления Service Pack 4 или более поздней версии.
    • Если сервер настроен с использованием шаблона Securews.inf, клиент с учетной записью на этом сервере не сможет подключиться к нему с компьютера клиента, на котором установлена операционная система LAN Manager, использующая локальную учетную запись.
    • Если контроллер домена настроен с использованием шаблона Securedc.inf, пользователь с учетной записью на этом домене не сможет подключиться к нему с компьютера клиента, на котором установлена операционная система LAN Manager, использующая учетную запись домена.
    • Клиенты, на которых установлена операционная система LAN Manager, включают платформы Windows для рабочих групп, а также платформы Windows 95 и Windows 98, на которых не установлен DS Client Pack. Если DS Client Pack установлен в Windows 95 или Windows 98, клиентом может быть использован протокол NTLMv2. Операционная система Windows Millennium Edition поддерживает NTLMv2 без необходимости вносить дополнительные изменения.

    Шаблоны безопасности также определяют дополнительные ограничения для анонимных пользователей. Анонимные пользователи (такие как пользователи доменов, с которыми не установлены доверительные отношения) не могут выполнять следующие действия.

    • Ввод имен учетных записей и общих ресурсов.
    • Выполнение перевода SID-имя или имя-SID.

    Шаблоны безопасности включают подписание пакетов SMB на сервере, которою по умолчанию отключено для рабочих станций и серверов. Поскольку подписание пакетов SMB на сервере включено по умолчанию, оно выполняется, если рабочии станции и серверы работают на уровне безопасности.

  • Повышенная защита (hisec*.inf)

    • Группа шаблонов повышенной защиты включает в себя шаблоны, налагающие дополнительные ограничения на уровни кодировки и подписи, необходимые для проверки подлинности и для данных, передаваемых по безопасным каналам между клиентами SMB и серверами. Например, тогда как парметры шаблонов безопасности определяют отказ серверов от ответов LAN Manager, парметры шаблонов повышенной защиты определяют отказ серверов как от ответов LAN Manager, так и от ответов NTLM. Шаблон защиты включает подписание пакетов SMB на сервере, а для шаблона повышенной защиты такое подписание является необходимым. Для шаблонов повышенной защиты является необходимом надежная кодировка и подпись для данных, передаваемых по безопасному каналу между доменом и членом домена и между двумя доменами, между которыми установлены доверительные отношения.

    • Чтобы применить Hisecws.inf на компьютере, выполните описанные далее действия.
      • На всех контроллерах домена, содержащего учетные записи всех пользователей, входящих в систему клиента, необходимо установить Windows NT 4.0 с пакетом обновления Service Pack 4 или более поздней версии.
      • На всех контроллерах домена, членом которого является клиент, должна быть установлена операционная система Windows 2000.
    • Чтобы применить шаблон Hisecdc.inf на контроллере домена, на всех контроллерах доменов, с которыми установлены отношения доверия, должна быть установлена операционная система Windows 2000.
    • Если сервер настроен с помощью шаблона Hisecws.inf, тогда пользователь с локальной учетной записью на этом сервере не сможет подключиться к нему с клиента, не поддерживающего NTLMv2.
    • Если сервер настроен при помощи шаблона Hisecws.inf, на всех клиентах, использующих протокол SMB для подключения к этому серверу, должны включить подпись пакетов SMB на стороне клиента. На всех компьютерах, на которых установлена операционная система Windows 2000 и Windows XP Professional, по умолчанию включена подпись пакетов на стороне клиента.
    • Если контроллер домена настроен с помощью шаблона Hisecws.inf, тогда пользователь с локальной учетной записью для этого домена не сможет подключиться к рядовому серверу с клиента, не поддерживающего NTLMv2.
    • Если контроллер домена настроен с помощью шаблона Hisecdc.inf, клиенты, использующие протокол LDAP (Lightweight Directory Access Protocol) не смогут подключиться к серверу Active Directory LDAP, пока не включена подпись данных. Запросы на выполнение подключения с использованием ldap_simple_bind или ldap_simple_bind_s отклоняются. По умолчанию для всех клиентов Microsoft LDAP, поставляемых вместе с Windows XP Professional, необходима подпись данных, если еще не используется протокол TLS\SSL. При использовании протокола TLS\SSL подпись данных выполняется.

    Клиенты, не поддерживающие протокол NTLMv2, включают клиентов Windows для рабочих групп, клиентов Windows NT старых версий (без пакета Service Pack 4), а также платформы Windows 95 и Windows 98, на которых не установлен пакет DS Client Pack.

    Помимо ограничений на использование протоколов LAN Manager и требований шифрования и подписи трафика SMB и трафика безопасного канала шаблоны повышенной защиты также ограничивают использование кэшированных данных входа в систему, таких как данные, сохраненные при помощи Winlogon и средства «Сохранение имен пользователей и паролей».

    Помимо этого, в шаблоне Hisecws.параметры группы ограниченного доступа используются для выполнения следующих действий.

    • Удаление всех членов группы «Опытные пользователи».
    • Проверка того, что только администраторы домена и локальные учетные записи администратора являются членами локальной группы «Администраторы».
    Шаблоном Hisecws определяются эти ограничения для групп при выполнении только сертифицированных для Windows 2000 приложений. При работе только с сертифицированными приложениями ни небезопасные совместимые шаблоны, ни небезопасная группа «Опытные пользователи» не являются необходимыми. Пользователи могут успешно работать с сертифицированными приложениями в безопасном контексте обычного пользователя, который определяется параметрами безопасности по умолчанию файловой системы и реестра.

  • Безопасность системного корневого каталога (Rootsec.inf)

    • Шаблоном Rootsec.inf определяются новые разрешения для коневого каталога Windows XP Professional. По умолчанию эти разрешения определяются шаблоном Rootsec.inf для корневого каталога системного диска. Этот шаблон можно использовать, чтобы повторно применить разрешения для корневого каталога применения, если они были случайно изменены. Шаблон также может быть изменен для применения этих разрешений для корневого каталога к другим томам. Шаблоном не переопределяются явные разрешения, определенные для всех дочерних объектов. Шаблоном распространяются только наследованные дочерними объектами разрешения.

  • Отсутствие SID пользователя сервера терминалов (Notssid.inf)

    • Стандартные таблицы управления доступом к файловой системе и реестру, расположенные на серверах, предоставляют разрешения для SID (Secuity ID) сервера терминалов. Сервер терминалов SID используется, только если сервер терминалов запущен в режиме совместимости приложений. Если сервер терминалов не используется, этот шаблон может быть применен для удаления ненужных SID сервера терминалов их расположений файловой системы и реестра. Однако удаление записи управления доступом для SID сервера терминалов из расположений файловой системы и реестра, используемых по умолчанию, не повышает безопасность системы. Вместо удаления SID сервера терминалов следует запустить сервер терминалов в режиме полной безопасности. При работе в режиме полной безопасности SID сервера терминалов не используется.

Внимание!

  • Эти шаблоны предназначены для компьютеров, на которых используются параметры безопасности по умолчанию. Другими словами, будучи установленными на компьютере, эти шаблоны значительно изменяют стандартные параметры безопасности. Но они не устанавливают стандартные параметры безопасности, прежде чем изменить их.
  • Готовые шаблоны безопасности не должны применяться на производстве без предварительной проверки, в ходе которой должно подтверждаться соответствие архитектуре сети и системы заданного уровня функциональности приложения.

Параметры шаблонов безопасности можно просмотреть при помощи компонента «Шаблоны безопасности». Файлы *.inf можно просматривать как текстовые файлы. Эти файлы расположены в папке:

%windir%\Security\Templates

Обеспечение безопасности невозможно в системах Windows XP Professional, установленных на дисках с файловой системой FAT.

См. также


Общее представление об оснастке «Шаблоны безопасности»

Рисунок Microsoft Windows

Общее представление об оснастке «Шблоны безопасности»

Оснастка «Шаблоны безопасности» позволяет определить файлы политики безопасности. Можно настроить безопасность для следующих объектов.

  • Политики учетных записей и и локальные политики
  • Журнал событий
  • Группы с ограниченным доступом
  • Файловая система, реестр, системные службы


Политики учетных записей и локальные политики

Политики учетных записей

Все политики безопасности являются политиками безопасности для компьютера. Политики учетных записей определяются на компьютерах и определяют взаимодействие учетных записей с компьютером и доменом. Существуют три политики учетных записей.

  • Политика паролей. Используется для учетных записей доменов и локальных компьютеров. Определяет параметры паролей, такие как соответствие обязательным условиям и срок действия.
  • Политика блокировки учетной записи. Используется для учетных записей доменов и локальных компьютеров. Определяет условия и период времени блокировки учетной записи.
  • Политика Kerberos. Используется для учетных записей пользователей домена. Определяет параметры Kerberos, такие как срок жизни билета и соответствие обязательным условиям. Политики Kerberos не входят в состав политики локального компьютера.

Для учетных записей доменов допускается использование только одной политики учетных записей. Политика учетных записей должна быть определена в политике домена по умолчанию и реализовываться контроллерами домена, образующими этот домен. Контроллер домена всегда получает политику учетных записей от объекта групповой политики «Политика по умолчанию для домена», даже если имеется другая политика учетных записей, примененная к организационному подразделению, которое содержит контроллер домена. Присоединенные к домену рабочие станции и серверы (такие как компьютеры-участники) по умолчанию также получают эту же политику учетных записей для локальный учетных записей. Однако локальные политики учетных записей могут отличаться от политики учетных записей домена, например когда политика учетных записей определяется непосредственно для локальных учетных записей.

В окне «Параметры безопасности» доступны две политики, имеющие с политиками учетных записей похожую функциональность. Далее представлены эти политики.

  • Network Access: Allow anonymous SID/NAME translation
  • Сетевая безопасность: Принудительный выход из системы по истечении допустимых часов работы

Локальные политики

Эта группа политик применяется на компьютерах. В ее состав входят три представленные далее политики.

  • Политики аудита. Определяет, какие события безопасности заносятся в журнал безопасности данного компьютера. Также определяет, заносить ли в журнал безопасности успешные попытки, неудачные попытки или и те, и другие. (Журнал безопасности является частью оснастки «Просмотр событий».)
  • Назначение прав пользователя. Определяет, какие пользователи и группы обладают правами на вход в систему и выполнение различных задач.
  • Параметры безопасности. Включение или отключение параметров безопасности, таких как цифровая подпись данных, имена учетных записей администратора и гостя, доступ к дисководам гибких и компакт-дисков, установка драйверов и приглашения на вход в систему.

Поскольку возможно применение к компьютеру несколько политик, может возникнуть конфликт между параметрами безопасности. Приоритет имеют политики следующих объектов в указанном порядке: подразделение, домен, локальный компьютер. Дополнительные сведения см. в разделе Применение политики безопасности.


Журнал событий

Эта область безопасности определяет атрибуты, относящиеся к приложениям, безопасности, а также к журналам системы: максимальный размер журнала, права доступа ко всем журналам, параметры и способы их хранения. Журнал приложения содержит записи о событиях, вызванных работой программ. Журнал безопасности содержит записи о таких событиях, как попытки входа в систему, доступ к объектам, изменение параметров безопасности в зависимости от объектов аудита. Журнал системы содержит записи о событиях в операционной системе. Дополнительные сведения см. в разделе Просмотр событий.

Дополнительные сведения о политиках ведения журналов событий см. в разделе Параметры журналов событий.


Политика групп с ограниченным доступом

Политика «Группы с ограниченным доступом» может быть использована для управления членством в группах. При помощи этой политики можно определить, кто является членом группы. Члены, не определенные в политике, удаляются во время настройки или обновления. Кроме того, вариант обратной настройки членства гарантирует, что каждая группа с ограниченным доступом является членом только групп, присутствующих в столбце Входит в состав.

Например, можно задать политику групп с ограниченным доступом таким образом, чтобы только определенные пользователи (например Мария и Петр) являлись членами группы «Администраторы». При обновлении политики только Мария и Петр останутся членами группы «Администраторы».

Политику групп с ограниченным доступом можно запустить двумя способами.

  • Определить политику в шаблоне безопасности, который будет применяться во время настройки локального компьютера или при импорте шаблона безопасности в объект «Групповая политика».
  • Определить параметры объекта «Групповая политика», которые определяют вступление политики в силу при следующем обновлении политики. XOX

Внимание!

  • Если политика групп с ограниченным доступом определена и объект «Групповая политика» обновлен, любой текущий член, не указанный в списке членов политики групп с ограниченным доступом будет удален. Может также произойти удаление членов по умолчанию, таких как администраторы.

Важно!

  • Группы с ограниченным доступом должны применяться главным образом для настройки членства в локальных группах на рабочих станциях и серверах.

См. также


Файловая система, реестр, системные службы

Разделы файловой системы и реестра

При помощи диспетчера настройки безопасности можно настроить атрибуты безопасности для всех существующих файлов, папок, а также разделов реестра в локальной файловой системе.

  • Распространять наследуемые разрешений на все подпапки и файлы (или подразделы). Все дочерние объекты данного объекта наследуют параметры безопасности родительского объекта, при условии что дочерний объект не защищен от наследования. В случае наличия конфликта явные разрешения для дочерних объектов будут иметь приоритет над разрешениями, наследуемыми от родительских объектов.
  • Заменять существующие разрешения для всех подпапок и файлов (или подразделов) на наследуемые разрешения. Разрешения родительского объекта заменяют все параметры безопасности дочерних объектов независимо от их параметров. Записи таблиц управления доступом дочерних и родительских объектов будут совпадать.

    Внимание!

    • Если выбран параметр и нажата кнопка Применить, параметры безопасности дочернего объекта будут заменены. При снятии этого флажка параметры безопасности дочернего объекта не будут восстановлены.
  • Запретить замену разрешений для этого файла или папки (или раздела). Этот вариант позволяет оставить параметры безопасности этого объекта и его дочерних объектов без изменения.

Дополнительные сведения о разрешениях для файлов и папок см. в разделе Разрешения для файлов и папок.

Системные службы

Можно выбрать один из представленных далее режимов запуска.
  • Автоматический: автоматический запуск при перезагрузке компьютера.
  • Вручную: запуск не происходит, пока пользователь его не инициирует.
  • Отключен: служба не может быть запущена.

Примечания

  • Можно также изменять свойства безопасности объекта, такие как группы пользователей, при использовании учетных записей которых разрешается чтение, запись, удаление, выполнение наследованных параметров, а также права на аудит и наследование, нажав кнопку Изменить безопасность.
  • Если выбран Автоматический запуск системной службы, выполните соответствующую проверку, чтобы убедиться, что для запуска службы не требуется вмешательство пользователя.
  • Проследите, какие системные службы используются на компьютере. Для повышения производительности установите запуск вручную для ненужных или неиспользуемых служб.


Ресурсы

Дополнительные сведения о безопасности см. на веб-узле Microsoft Windows Resource Kits (http://www.microsoft.com/).

Последние сведения и рекомендации по вопросам безопасности см. на странице Microsoft Security веб-узла корпорации Майкрософт (http://www.microsoft.com).


Устранение неполадок

Вид неполадки

База данных безопасности повреждена.

Причина. Аппаратный сбой при неправильном выключении компьютера или ошибка программного обеспечения.

Запустите esentutl /g, чтобы проверить целостность базы данных в %windir%\Security\Database\Secedit.sdb.

Если база данных повреждена, выполните следующие действия.

  1. Попытайтесь восстановить базу данных, запустив esentutl /r в папке %windir%\Security. Если базу данных восстановить не удалось, запустите esentutl /p в %windir%\Security\Database\Secedit.sdb.
  2. Затем удалите файлы журнала в %windir%\Security.

Политика безопасности не распространяется должным образом.

Причина. Не установлена.

Решение. Используйте компонент Результирующая политика, чтобы выяснить, какой объект групповой политики повлиял на работу компьютера.

Проверьте файл журнала. Файл журнала расположен по адресу системный_корневой_каталог\Security\Logs\Winlogon.log. Можно проверить этот файл, чтобы выяснить определенные ошибки, возникшие при распространении политики на компьютере.

При распространении политик безопасности на экран выводится следующее сообщение: 0x534 : Именам пользователей не сопоставлены коды защиты данных.

Причина. Такая ошибка обычно возникает, если политикой безопасности предоставляются права учетным записям группы или пользователя, которые больше не существуют.

Решение. Выясните, какие учетные записи являются недействительными.

  1. Запустите программу «Блокнот» и откройте следующий файл: %systemroot%\security\logs\winlogon.log. В Windows XP этот файл создается по умолчанию во время распространения политики.
  2. Выполните поиск ошибки 1332. Она указывает на имена учетных записей, которые не могут быть разрешены.
  3. Удалите эти имена учетных записей из политик в домене.

Если учетные записи находятся в объекте стандартного домена или в объект групповой политики стандартного контролера домена, можно изменить политики в узле «Параметры безопасности» групповой политики, удалив эти имена учетных записей. Если учетные записи существуют в другом расположении, можно просмотреть все объекты групповой политики, определенные в домене, и удалить их по отдельности.


Средства управления настройкой безопасности

Представленные далее средства могут быть использованы для управления политикой безопасности компьютера, подразделения или домена.
Средство управления настройкой безопасности | Описание
Шаблоны безопасности | Шаблон безопасности является файлом, представляющим конфигурацию безопасности или политику безопасности. Такие шаблоны могут применяться к политике локального компьютера или импортироваться в объект групповой политики.
Анализ и настройка безопасности | Данное средство можно использовать для анализа и настройки безопасности компьютера с помощью шаблона безопасности.
Расширение «Параметры безопасности» для групповой политики | Данное средство может использоваться для изменения отдельных параметров безопасности домена, узла или подразделения.
Локальная политика безопасности | Данное средство можно использовать для изменения отдельных параметров безопасности локального компьютера.
Средство командной строки Secedit.exe | Данное средство можно использовать для автоматизации задач настройки безопасности.


Права на вход в систему

В следующей таблице приведены права на вход в систему и их описания. Это параметры по умолчанию используются в Windows XP Professional.

Право на вход в систему | Описание
Доступ к этому компьютеру из сети | Право на подключение пользователя к данному компьютеру по сети. Параметр по умолчанию: «Администраторы», «Все», «Пользователи», «Опытные пользователи» и «Операторы архива».
Позволяет выполнять вход через службы терминалов | Позволяет пользователю выполнить вход в систему при помощи подключения к удаленному рабочему столу. Параметр по умолчанию: «Администраторы» и «Пользователи удаленного рабочего стола».
Вход в качестве пакетного задания | Пользователь получает возможность входа в систему с помощью средства обработки пакетных заданий. Параметр по умолчанию: нет. Если установлены информационные службы Интернета (IIS), право на анонимный доступ к IIS автоматически назначается встроенной учетной записи.
Вход в качестве службы | Позволяет участнику безопасности выполнять вход в качестве службы. Службы можно настроить для запуска под учетными записями локальной системы, локальной службы или сетевой службы, для которых существует встроенное право на вход в качестве службы. Любая служба, запущенная с отдельной учетной записью, должна быть наделена этим правом. Параметр по умолчанию: нет.
Локальный вход | Пользователь получает возможность входа с клавиатуры данного компьютера. Параметр по умолчанию: «Администраторы», «Опытные пользователи», «Пользователи», «Гость», и «Операторы архива».
Вход в качестве службы | Позволяет участнику безопасности выполнять вход в качестве службы. Службы можно настроить для запуска под учетными записями локальной системы, локальной службы или сетевой службы, для которых существует встроенное право на вход в качестве службы. Любая служба, запущенная с отдельной учетной записью, должна быть наделена этим правом. Параметр по умолчанию: нет.
Отказ в доступе к компьютеру из сети | Запрещает подключение пользователя или группы пользователей к компьютеру по сети. Параметр по умолчанию: нет.
Отклонение локального входа | Запрещает вход в систему пользователя или группы пользователей непосредственно с помощью клавиатуры. Параметр по умолчанию: нет.
Отказ во входе в качестве пакетного задания | Запрещает вход в систему пользователя или группы пользователей с помощью средства обработки пакетных заданий. Параметр по умолчанию: нет.
Отказ во входе в качестве службы | Запрещает вход в систему пользователя или группы пользователей в качестве группы. Параметр по умолчанию: нет.
Запрещает вход через службы терминалов | Запрещает вход в систему пользователя или группы в качестве клиента службы терминалов. Параметр по умолчанию: нет.

Специальная учетная запись LocalSystem наделена практически всеми привилегиями и правами на вход в систему, поскольку все процессы, выполняющиеся в режиме операционной системы, связываются с этой учетной записью, и для них необходим полный набор прав пользователей.

См. также


Привилегии

Чтобы упростить администрирование учетных записей пользователей, следует назначать привилегии учетным записям групп, а не отдельных пользователей. При назначении привилегий учетной записи группы пользователям, включаемым в эту группу, эти привилегии назначаются автоматически. Этот способ администрирования привилегий гораздо удобнее, чем назначение отдельных привилегий пользователю при создании учетной записи.

В следующей таблице перечислены и описаны привилегии, которыми могут быть наделены пользователи.

Привилегия Описание
Работа в режиме операционной системы

Эта привилегия разрешает процессу проходить проверку подлинности как любому пользователю, и таким образом получать доступ к тем же ресурсам, что и любой пользователь. Эта привилегия требуется только для служб проверки подлинности низкого уровня. Потенциально доступ не ограничен правами доступа пользователя, назначенными пользователю по умолчанию, поскольку для процесса вызова может потребоваться, чтобы произвольный дополнительный доступ был помещен в маркер доступа. В процессе доступа может также быть создан маркер доступа, который не предоставляет основную учетную запись для отслеживания событий в журнале аудита.

Процессы, которым необходима эта привилегия, должны использовать локальную учетную запись, уже включающую данную привилегию, а не отдельную учетную запись пользователя, которой эта привилегия была назначена специально.

Параметр по умолчанию: нет.

Добавление рабочих станций к домену

Эта привилегия позволяет пользователю добавлять компьютер в конкретный домен. Чтобы привилегия успешно использовалась, ее необходимо назначить пользователю в политике стандартных контроллеров домена для домена. Пользователь, которому назначена это привилегия, может добавить в домен до 10 рабочих станций.

Пользователям может также быть разрешено подсоединить компьютер к домену, предоставив ему разрешение на создание объектов компьютеров для подразделения или для компонента «Компьютеры» оснастки Active Directory. Пользователи, имеющие разрешение на создание объектов компьютеров, могут добавлять неограниченное число компьютеров в домен, вне зависимости от того, назначена ли им привилегия Добавление рабочих станций к домену.

Параметр по умолчанию: нет.
Настройка квот памяти для процесса Определяет, какие учетные записи могут использовать процесс с доступом для записи свойств к другому процессу для увеличения квоты ресурсов процессора, назначенной другому процессу.

Данное право пользователя определено в объекте групповой политики стандартного контролера домена, а также в локальной политике безопасности рабочих станций и серверов.

Параметр по умолчанию: «Администраторы».
Архивирование файлов и каталогов

Данная привилегия позволяет пользователю избежать действия разрешений файлов и каталогов для архивирования системы. Эта привилегия выбирается только при попытке приложения получить доступ через API (application programming interface — интерфейс программирования приложений) архивации NTFS. В противном случае применяются разрешения для обычных файлов и каталогов.

Параметр по умолчанию: «Администраторы» и «Операторы архива».
Обход перекрестной проверки

Эта привилегия позволяет пользователю проходить через папки, к которым иначе у него нет доступа, на пути к объекту в файловой системе NTFS или в реестре. Эта привилегия не разрешает пользователю выводить список содержимое папки, а только проходить через него.

Параметр по умолчанию: «Администраторы», «Операторы архива», «Опытные пользователи», «Пользователи» и «Все» на рядовом сервере или на рабочей станции. На контроллерах домена привилегия назначается группам «Администраторы», «Прошедшие проверку» и «Все».
Изменение системного времени

Пользователь получает возможность устанавливать время на системных часах компьютера.

Параметр по умолчанию: «Администраторы», «Опытные пользователи», «Сетевая служба», «Локальная служба» на рядовом сервере или на рабочей станции. На контроллерах домена привилегия назначается группам «Администраторы», «Операторы сервера», «Локальная служба» и «Сетевая служба».
Создание маркерного объекта

Разрешает процессу создавать маркер, который может затем быть использован для получения доступа к любым локальным ресурсам, если процесс использует NtCreateToken() или другой программный интерфейс создания маркера.

Рекомендуется использовать в процессах, которым необходима эта привилегия, локальную учетную запись, уже включающую данную привилегию, а не отдельную учетную запись пользователя, которой эта привилегия была назначена специально.

Параметр по умолчанию: нет.

Создание страничного файла

Пользователь получает возможность создавать и изменять размер страничного файла. Для этого нужно указать его размер для определенного диска в разделе Параметры быстродействия на вкладке Дополнительно окна Свойства системы.

Параметр по умолчанию: «Администраторы».
Создание постоянных объектов совместного использования

Разрешает процессу создавать объект каталога в диспетчере объектов Windows XP Professional. Эту привилегию удобно использовать для компонентов, работающих в режиме ядра, которые расширяют пространство имен объектов. Поскольку компонентами, использующим режим ядра, эта привилегия уже наследована, не нужно специально назначать им эту привилегию.

Параметр по умолчанию: нет.
Отладка программ Пользователь получает возможность запускать программу отладки для любого процесса. Эта привилегия обеспечивает большие возможности доступа к важным и необходимым компонентам операционной системы.

Параметр по умолчанию: «Администраторы».
Разрешение доверия к учетным записям компьютеров и пользователей при делегировании Пользователь получает возможность изменять параметры доверия к учетным записям для делегирования объектов «Пользователь» или «Компьютер» в Active Directory. Пользователь или компьютер, наделенный данной привилегией, должен иметь право доступа для записи к флагу управления учетной записью объекта. Делегирование проверки подлинности используется многоуровневыми приложениями клиент/сервер. Это позволяет клиентской службе использовать учетные данные клиента при проверке подлинности серверной службой. Чтобы это было возможным, клиент и сервер должны быть запущены под учетными записями, доверенными для делегирования. Неправильное использование этой привилегии или параметров доверия для делегирования может сделать сеть уязвимой для сложных атак «троянских коней», выдающих себя за входящих клиентов и использующих их учетные данные для доступа к сетевым ресурсам.

Параметр по умолчанию: Эта привилегия не назначается никаким объектам рядового домена или рабочей станции, поскольку она не имеет значения для этих контекстов. На контроллерах домена привилегия назначается по умолчанию группе «Администраторы».
Принудительное удаленное завершение работы Пользователь получает возможность завершать работу компьютера из удаленного расположения в сети. См. также привилегию «Завершение работы системы».

Параметр по умолчанию: «Администраторы» на рядовом сервере или рабочей станции. На контроллерах домена привилегия назначается по умолчанию группе «Администраторы» и «Операторы сервера».
Создание журналов безопасности Позволяет выполнять процесс создания записей журнала безопасности. Журнал безопасности используется для отслеживания несанкционированного доступа в систему. См. также привилегию Управление аудитом и журналом безопасности.

Параметр по умолчанию: «Локальная служба» и «Сетевая служба».

Увеличение приоритета диспетчирования Процесс с доступом для записи свойств к другому процессу получает возможность повысить приоритет выполнения другого процесса. Пользователь, обладающий данной привилегией может изменять приоритета диспетчирования процесса с помощью интерфейса Диспетчера задач.

Параметр по умолчанию: «Администраторы».
Загрузка и выгрузка драйверов устройств Пользователь получает возможность устанавливать и удалять драйверы самонастраиваемых устройств. Эта привилегия не влияет на возможность установки драйверов для устройств, не являющихся самонастраивыми. Драйверы для таких устройств могут быть установлены только администраторами.

Параметр по умолчанию: «Администраторы». Не рекомендуется назначать эту привилегию другим пользователям. Драйверы устройств запускаются как как доверенные (с высоким приоритетом) программы. Пользователь с привилегией «Загрузка и выгрузка драйверов устройств» может непреднамеренно установить вредоносную программу, выглядящую как драйвер устройства. Администраторы должны соблюдать осторожность и устанавливать только драйверы с проверенными цифровыми подписями.
Закрепление страниц в памяти Процесс получает возможность хранить данные в физической памяти, не прибегая к кэшированию данных в виртуальной памяти на диске. Назначение этой привилегии может привести к значительному снижению быстродействия работы системы.

Параметр по умолчанию: никому не назначается. Некоторые системные процессы наследуют привилегии.
Управление аудитом и журналом безопасности Пользователь получает возможность указывать параметры аудита доступа к объекту для отдельных ресурсов, таких как файлы, объекты Active Directory и разделы реестра. Аудит доступа к объектам не выполняется, пока не не включена «Политика аудита» («Параметры безопасности», «Локальные политики»). С помощью этой привилегии пользователь имеет возможность просматривать и очищать журнал безопасности в окне просмотра событий.

С помощью этой привилегии пользователь имеет возможность просматривать и очищать журнал безопасности в окне просмотра событий.

Параметр по умолчанию: «Администраторы».
Изменение параметров среды оборудования Разрешает изменение системных переменных среды либо пользователю (при помощи свойств системы), либо через процесс с использованием интерфейса API.

Параметр по умолчанию: «Администраторы».
Профилирование одного процесса Пользователь получает возможность работать со средствами наблюдения за производительностью Windows XP Professional для отображения быстродействия несистемных процессов.

Параметр по умолчанию: «Администраторы» и «Опытные пользователи» на рядовом сервере или рабочей станции. На контроллерах домена привилегия назначается только группе «Администраторы».
Профилирование загруженности системы Пользователь получает возможность работать со средствами наблюдения за производительностью для отображения быстродействия системных процессов.

Параметр по умолчанию: «Администраторы».
Отключение компьютера от стыковочного узла Позволяет пользователю переносного компьютера отсоединить компьютер, выбрав команду Извлечь компьютер в меню Пуск.

Параметр по умолчанию: «Администраторы», «Опытные пользователи» и «Пользователи».
Замена маркера уровня процесса Определяет, какие учетные записи могут инициализировать процесс для замены стандартного маркера, связанного с запущенным подпроцессом.

Данное право пользователя определено в объекте групповой политики стандартного контролера домена, а также в локальной политике безопасности рабочих станций и серверов.

Параметр по умолчанию: «Локальная служба» и «Сетевая служба».

Восстановление файлов и каталогов Пользователь получает возможность восстанавливать заархивированные файлы и каталоги, несмотря на их разрешения, а также назначать любого допустимого участника безопасности владельцем объекта. См. также привилегию Архивирование файлов и каталогов.

Параметр по умолчанию: «Администраторы» и «Операторы архива».

Завершение работы системы Пользователь получает возможность завершать работу операционной системы на локальном компьютере.

Параметр по умолчанию: «Администраторы», «Операторы архивов», «Опытные пользователи» и «Пользователи» на рабочих станциях. На рядовых серверах привилегия назначается группам «Администраторы», «Опытные пользователи» и «Операторы архива». На контроллерах домена эта привилегия назначается членам групп «Администраторы», «Операторы учета», «Операторы архива», «Операторы печати» и «Операторы сервера».
Синхронизация данных службы каталогов Предоставляет службы синхронизации каталогов. Назначение этой привилегии уместно только на контроллерах домена.

Параметр по умолчанию: нет.
Овладение файлами или иными объектами Пользователь получает возможность становиться владельцем любых объектов безопасности системы, включая объекты Active Directory, файлы и папки NTFS, принтеры, разделы реестра, службы, процессы и потоки.

Параметр по умолчанию: «Администраторы».

Некоторые из этих привилегий имеют более высокий приоритет, чем разрешения объекта. Например, пользователь домена может являться членом группы «Операторы архива», которая имеет право выполнения задач архивирования на всех серверах домена. Однако для этого требуется наличие разрешения на чтение всех файлов на этих серверах, в том числе и тех файлов, для которых владельцы установили разрешения, явно запрещающие доступ других пользователей, включая и членов группы «Операторы архива». В данном случае право пользователя выполнять архивирование получает приоритет над всеми разрешениями для файлов и каталогов.

См. также


User rights

Рисунок Microsoft Windows

Права пользователей

Права пользователей позволяют пользователям и группам в компьютерной среде пользоваться особыми привилегиями и правами на вход в систему. Дополнительные сведения о правах пользователей см. в следующих разделах.

  • Введение в права пользователей
  • Привилегии
  • Права на вход в систему


Введение в права пользователей

Администраторы могут назначать права учетным записям групп или отдельных пользователей. Эти права позволяют пользователям выполнять конкретные действия, такие как интерактивный вход в систему или архивирование файлов и каталогов. Права пользователей отличаются от разрешений тем, что применяются к учетным записям пользователей, а не к объектам. Дополнительные сведения о разрешениях содержатся в разделе Влияние наследования на разрешения на доступ к файлам и папкам.

Права пользователей определяют его возможности на локальном уровне. Хотя права пользователей и могут применяться к учетным записям отдельных пользователей, удобнее администрировать права пользователей на основе групп. Это обеспечивает автоматическое наследование прав, назначенных группе, пользователем, входящим в систему с учетной записью члена этой группы. Назначая права группам, а не отдельным пользователям, можно упростить администрирование учетных записей пользователей. Если всем пользователям группы требуются одинаковые права, можно один раз назначить набор прав группе, вместо того чтобы назначать один и тот же набор прав каждому пользователю в отдельности.

Права, назначенные группе, применяются ко всем членам группы до тех пор, пока они в ней состоят. Права пользователей, являющихся членами нескольких групп, суммируются; это означает, что пользователь имеет более одного набора прав. Права, назначенные группе, могут конфликтовать с правами другой группы, только если речь идет об определенных правах на вход в систему. Тем не менее, обычно права, назначенные группе, не конфликтуют с правами другой группы. Чтобы лишить пользователя прав, администратору достаточно удалить его из группы. При этом пользователь лишается прав, назначенных группе.

Существует два типа прав пользователей: привилегии, например право на архивацию файлов и папок, и права на вход в систему, например право локального входа в систему.

Дополнительные сведения см. в разделе Привилегии и Права на вход в систему.


Параметры безопасности по умолчанию

В Windows XP существуют три фундаментальных уровня защиты, предоставляемых пользователям. Они предоставляются конечным пользователям через членство в группах «Пользователи», «Опытные пользователи» или «Администраторы».

  • Группа «Пользователи» является наиболее безопасной, поскольку разрешения по умолчанию, предоставленные этой группе, не позволяют пользователям изменять параметры операционной системы или данные других пользователей. Однако разрешения на уровне пользователя часто не допускают выполнение пользователем устаревших приложений. Участники группы «Пользователи» гарантированно могут запускать только сертифицированные для Windows программы. Дополнительные сведения о сертификации приложений для Windows см. на веб-узле корпорации Майкрософт. (http://msdn.microsoft.com)
  • Группа «Опытные пользователи» поддерживается, в основном, для совместимости с предыдущими версиями для выполнения несертифицированных приложений. Разрешения по умолчанию, предоставленные этой группе, позволяют членам группы изменять параметры компьютера. Если необходима поддержка несертифицированных приложений, конечные пользователи должны быть членами группы «Опытные пользователи».
  • Группа «Администратора» предназначена для выполнения задач по обслуживанию компьютеров. Разрешения по умолчанию, предоставленные этой группе, обеспечивают полный контроль за всей системой. По этой причине рекомендуется добавлять в эту группу только доверенных лиц.
По умолчанию в все интерактивно вошедшие в систему пользователи являются по меньшей мере членами группы «Пользователи». Для компьютеров, обновленных с Windows NT 4.0, любой пользователь, выполнивший интерактивный вход в систему, является по меньшей мере членом группы «Опытные пользователи».

Примечание

  • Используя диспетчер настройки безопасности, можно управлять членством в группе «Администраторы» (или в любой другой группе) при помощи политики Группы с ограниченным доступом.


Средства безопасности

Эти средства используется для управления безопасностью компьютера, подразделения или домена.
Средство | Описание
Управление доступом | Средство «Управление доступом» позволяет обеспечить защиту объектов, чтобы доступ к ним могли получать только пользователи и группы с соответствующими правами.
Аудит событий безопасности | Аудит безопасности обеспечивает наблюдение за различными событиями, затрагивающими безопасность. Отображение системных событий необходимо для определения злоумышленников или попыток поставить под угрозу данные системы. Примером события, подлежащего аудиту, является неудачная попытка доступа.
Сертификаты | Это средство можно использовать для управления своими сертификатами, а также сертификатами компьютеров и служб. Примерами задач, выполняемых при помощи этого средства, может быть запрос сертификатов, просмотр сведений о сертификации, импорт и экспорт сертификатов.
Шифрованная файловая система | При помощи этого средства выполняется шифрование файлов на жестком диске или на файловом сервере, чтобы только определенные пользователи могли получить доступ к их содержимому.
Смарт-карты | Это средство обеспечивает дополнительную защиту посредством хранения учетных данных пользователя на переносной смарт-карте. Для использования своих учетных данных пользователю необходима смарт-карта и личный PIN-код.
Сохранение имен пользователей и паролей | Это средство обеспечивает безопасное хранение имен пользователей и паролей, которые могут повторно использоваться. Это позволяет пользователям использовать средства и подключаться к ресурсам, используя разные учетные данные безопасности и не вводя их каждый раз.
Диспетчер настройки безопасности | Этот набор средств используется для создания, изменения и настройки политики безопасности.
Шаблоны безопасности | Шаблон безопасности является файлом, представляющим конфигурацию безопасности или политику безопасности. Такие шаблоны могут применяться к политике локального компьютера или импортироваться в объект групповой политики.
Анализ и настройка безопасности | Данное средство можно использовать для анализа и настройки безопасности компьютера с помощью шаблона безопасности.
Расширение «Параметры безопасности» для групповой политики | Данное средство может использоваться для изменения отдельных параметров безопасности домена, узла или подразделения.
Локальная политика безопасности | Данное средство можно использовать для изменения отдельных параметров безопасности локального компьютера.
Средство командной строки Secedit.exe | Данное средство можно использовать для автоматизации задач настройки безопасности.

Последние обновления безопасности, советы и средства см. на странице Microsoft Security веб-узла корпорации Майкрософт.


Группы и параметры безопасности по умолчанию

Рисунок Microsoft Windows

Параметры безопасности по умолчанию

При изменении параметров безопасности необходимо принимать во внимание используемые по умолчанию параметры.

Существуют три фундаментальных уровня защиты, предоставляемых пользователям. Они предоставляются конечным пользователям через членство в группах «Пользователи», «Опытные пользователи» или «Администраторы».

Администраторы

Добавление пользователей в группу «Пользователи» является наиболее безопасным действием, поскольку разрешения по умолчанию, предоставленные этой группе, не позволяют пользователям изменять параметры операционной системы или данные других пользователей. Однако разрешения на уровне пользователя часто не допускают выполнение пользователем устаревших приложений. Участники группы «Пользователи» гарантированно могут запускать только сертифицированные для Windows программы. Дополнительные сведения о сертификации приложений для Windows см. на веб-узле корпорации Майкрософт.(http://msdn.microsoft.com) По этой причине рекомендуется добавлять в эту группу только доверенных лиц.

Рекомендуется использовать административный доступ только для выполнения следующих действий:

  • установки операционной системы и ее компонентов (например драйверов устройств, системных служб и так далее);
  • установки пакетов обновления;
  • обновления операционной системы;
  • восстановления операционной системы;
  • настройки важнейших параметров операционной системы (политики паролей, управления доступом, политики аудита, настройки драйверов в режиме ядра и так далее);
  • вступления во владение файлами, ставшими недоступными;
  • управления журналами безопасности и аудита;
  • архивирования и восстановления системы.

На практике учетные записи администраторов часто должны использоваться для установки и запуска программ, написанных для предыдущих версий Windows.

Опытные пользователи

Группа «Опытные пользователи» поддерживается, в основном, для совместимости с предыдущими версиями для выполнения несертифицированных приложений. Разрешения по умолчанию, предоставленные этой группе, позволяют членам группы изменять параметры компьютера. Если необходима поддержка несертифицированных приложений, конечные пользователи должны быть членами группы «Опытные пользователи».

Члены группы «Опытные пользователи» имеют больше разрешений, чем члены группы «Пользователи», и меньше, чем члены группы «Администраторы». Опытные пользователи могут выполнять любые задачи с операционной системой, кроме задач, зарезервированных для группы «Администраторы». Используемые по умолчанию параметры безопасности Windows 2000 и Windows XP Professional для группы «Опытные пользователи» очень похожи на параметры безопасности по умолчанию в Windows NT версии 4.0 для группы «Пользователи». Все программы, которые могут выполняться членами группы «Пользователи» в Windows NT версии 4.0, в Windows 2000 и в Windows XP Professional могут выполнять членами группы «Опытные пользователи».

Опытные пользователи могут:

  • выполнять приложения, сертифицированные для Windows 2000 и Windows XP Professional, а также устаревшие приложения;
  • устанавливать программы, не изменяющие файлы операционной системы, и системные службы;
  • настраивать ресурсы на уровне системы, включая принтеры, дату и время, параметры электропитания и другие ресурсы панели управления;
  • создавать и управлять локальными учетными записями пользователей и групп;
  • останавливать и запускать системные службы, не запущенные по умолчанию.

Опытные пользователи не могут добавлять себя в группу «Администраторы». Они не имеют доступа к данным других пользователей на томе NTFS, если соответствующие разрешения этих пользователей не получены.

Внимание!

  • Для выполнения устаревших программ в Windows 2000 и Windows XP Professional часто необходимо изменить доступ к некоторым параметрам системы. Разрешения по умолчанию, позволяющие опытным пользователям выполнять устаревшие программы, также позволяют им получать дополнительные привилегии в системе (даже полный административный контроль). Тем не менее, важно внедрять программы, сертифицированные для Windows 2000 и Windows XP Professional, чтобы обеспечить максимальную безопасность без снижения функциональности программ. Сертифицированные программы могут успешно выполняться в безопасной конфигурации группы «Пользователи». Дополнительные сведения содержатся на странице Security веб-узла корпорации Майкрософт (http://www.microsoft.com/rus/).
  • Поскольку опытные пользователи могут устанавливать и изменять программы, работа под учетной записью группы «Опытные пользователь» при подключении к Интернету может сделать систему уязвимой для троянских коней и других программ, угрожающих безопасности.
Пользователи

Группа Пользователи является наиболее безопасной, поскольку разрешения, предоставленные этой группе по умолчанию, не позволяют пользователям изменять параметры операционной системы или данные других пользователей.

Группа «Пользователи» предоставляет самую безопасную среду для выполнения программ. На томе с файловой системой NTFS параметры безопасности по умолчанию только что установленной (не обновленной) системы разработаны, чтобы предотвратить нарушение целостности операционной системы и установленных программ членами этой группы. Пользователи не могут изменять параметры реестра на уровне системы, файлы операционной системы или программы. Пользователи могут выключать рабочие станции, но не серверы. Пользователи могут создавать локальные группы, но управлять могут только теми, которые они создали. Они могут запускать сертифицированные программы для Windows 2000 или Windows XP Professional, которые были установлены или внедрены администраторами. Пользователи имеют полный доступ к своим файлам данных (%userprofile%) и своей части реестра (HKEY_CURRENT_USER).

Однако разрешения на уровне пользователя часто не допускают выполнение пользователем устаревших приложений. Участники группы «Пользователи» гарантированно могут запускать только сертифицированные для Windows приложения. Дополнительные сведения о сертификации приложений для Windows см. на веб-узле корпорации Майкрософт. (http://msdn.microsoft.com)

Для обеспечения безопасности системы Windows 2000 или Windows XP Professional администратор должен:

  • убедиться, что конечные пользователи являются членами только группы «Пользователи»;
  • внедрять программы, например сертифицированные для Windows 2000 или Windows XP Professional, которые будут успешно выполняться членами группы «Пользователи».

Пользователи не могут запускать большинство программ для более ранних чем Windows 2000 версий, поскольку предыдущие версии Windows либо не поддерживают безопасность файловой системы и реестра (Windows 95 и Windows 98), либо параметры безопасности системы по умолчанию недостаточно строгие (Windows NT). Если у пользователей возникают сложности с выполнением устаревших приложений на только что установленных системах NTFS, выполните одно из следующих действий.

  1. Установите новые версии приложений, сертифицированные для Windows 2000 или Windows XP Professional.
  2. Переместите конечных пользователей из группы «Пользователи» в группу «Опытные пользователи».
  3. Уменьшите разрешения безопасности по умолчанию для группы «Пользователи». Это можно сделать при помощи совместимого шаблона безопасности.
Операторы архива

Члены группы «Операторы архива» могут архивировать и восстанавливать файлы на компьютере, независимо от всех разрешений, которыми защищены эти файлы. Также они могут входить в систему и выходить из системы, но не могут изменять параметры безопасности.

Внимание!

  • Для архивирования и восстановления файлов данных и системных файлов требуются разрешения на чтение и запись. Разрешения по умолчанию для операторов архива, позволяющие им архивировать и восстанавливать файлы, делают для них возможным использование разрешений группы для других целей, например для чтения файлов других пользователей и установки программ с троянскими вирусами. Параметры групповой политики могут использоваться для создания такой среды, чтобы операторы архива могли выполнять только программы архивирования. Дополнительные сведения содержатся на странице Microsoft Security веб-узла корпорации Майкрософт (http://www.microsoft.com/).

Специальные группы

В Windows 2000 и Windows XP Professional автоматически создаются несколько дополнительных групп.

При обновлении Windows 2000 до Windows XP Professional ресурсы с наборами разрешений для группы «Все» (и неявно для группы «Анонимный вход») больше не будут доступны анонимным пользователям после обновления. В большинстве случаев это ограничение является подходящим для анонимного доступа. Разрешение анонимного доступа может потребоваться для поддержки существовавших ранее приложений, для которых он требуется. Если требуется предоставить доступ для группы с анонимным входом, следует в явном виде добавить группу безопасности «Анонимный вход» и ее разрешения.

Однако в некоторых ситуациях, в которых может оказаться затруднительным определение и изменение записей разрешений для ресурсов, находящихся на компьютерах с Windows XP Professional, можно изменить параметр безопасности Сетевой доступ: разрешать применение разрешений для всех к анонимным пользователям.

  • Интерактивные В этой группе находится пользователь, в настоящее время работающий в системе. Во время обновления Windows 2000 или Windows XP Professional участники группы «Интерактивные» также добавляются в группу «Опытные пользователи», таким образом устаревшие приложения будут работать так же, как и до обновления.
  • Сеть В этой группе находятся все пользователи, в настоящее время имеющие доступ на компьютер по сети.
  • Пользователь сервера терминалов При установке сервера терминалов в режиме сервера приложений, в этой группе содержатся пользователи, в настоящее время работающие в системе с помощью сервера терминалов. Все программы, которые могут выполняться участниками группы «Пользователи» в Windows NT версии 4.0, в Windows 2000 и в Windows XP Professional могут выполнять участниками группы «Пользователь сервера терминалов». Разрешения, назначаемые по умолчанию этой группе, позволяют пользователям сервера терминалов выполнять устаревшие программы.

Внимание!

  • Для выполнения устаревших программ в Windows 2000 или Windows XP Professional необходимо разрешение на изменение некоторых параметров системы. Разрешения по умолчанию, позволяющие пользователям сервера терминалов выполнять устаревшие программы, также позволяют им получать дополнительные привилегии в системе, даже полный административный контроль. Приложения, сертифицированные для Windows 2000 или Windows XP Professional, могут успешно выполняться в безопасной конфигурации группы «Пользователи». Дополнительные сведения содержатся на странице Microsoft Security веб-узла корпорации Майкрософт (http://www.microsoft.com/).
  • Локальные учетные записи, созданные на локальном компьютере, создаются без паролей и по умолчанию добавляются в группу «Администраторы». Используя диспетчер настройки безопасности, можно управлять членством в группе «Администраторы» (или в любой другой группе) при помощи политики «Группы с ограниченным доступом». Дополнительные сведения см. раздел Группы с ограниченным доступом.

При установке сервера терминалов в режим удаленного управления пользователи, работающие на компьютере с помощью сервера терминалов не будут членами этой группы.

См. также


Различия между параметрами безопасности по умолчанию

Группа Анонимный вход больше не является участником группы Все. Эти изменения повлияют на доступ анонимных пользователей к ресурсам, хранящимся на компьютерах, на которых установлена операционная система Windows XP Professional.

Пользователи, пытающиеся получить доступ к к компьютеру и его ресурсам по сети без использования имени учетной записи, пароля или домена, являются участниками встроенной групп безопасности «Анонимный вход». В более ранних версиях Windows участники группы групп безопасности «Анонимный вход» имели доступ ко многим ресурсам, поскольку они также являлись участниками группы «Все». Предоставляя доступ к ресурсам администраторам следует понимать, что анонимные пользователи являются участниками группы «Все».

При обновлении Windows 2000 до Windows XP Professional ресурсы с наборами разрешений для группы «Все» (и неявно для группы «Анонимный вход») больше не будут доступны анонимным пользователям после обновления. В большинстве случаев это подходящее ограничение анонимного доступа. Разрешение анонимного доступа может потребоваться для поддержки существовавших ранее приложений, для которых он требуется. Если требуется предоставить доступ для группы с анонимным входом, следует в явном виде добавить группу безопасности «Анонимный вход» и ее разрешения.

Однако в некоторых ситуациях, в которых может оказаться затруднительным определение и изменение записей разрешений для ресурсов, находящихся на компьютерах с Windows XP Professional, можно изменить параметр безопасности Сетевой доступ: разрешать применение разрешений для всех к анонимным пользователям.

Дополнительные сведения см. в разделе Чтобы изменить параметр безопасности для объекта групповой политики или Чтобы изменить локальную безопасность.

Важные различия между Windows NT 4.0 и Windows XP Professional

В Windows XP Professional существует три группы, членство в которых управляется администратором: «Пользователи», «Опытные пользователи» и «Администраторы». Группа, членство в которой управляется операционной системой или доменом, называется «Прошедшие проверку». Эта группа идентична группе «Все», но не содержит анонимных пользователей и гостей.

Группа «Прошедшие проверку», в отличие от группы «Все» в Windows NT версии 4.0, не используется для назначения разрешений. Для назначения разрешений используются группы, управляемые администратором, главным образом «Пользователи», «Опытные пользователи» и члены группы «Администраторы».

По умолчанию все прошедшие проверку пользователи являются членами группы «Пользователи». Опытные пользователи имеют все возможности пользователей Windows NT версии 4.0. Это обеспечивает обратную совместимость с Windows NT версии 4.0. Если администратору требуется обеспечить большую безопасность компьютера, следует сделать прошедших проверку пользователей членами только группы «Пользователи».

При присоединении компьютера с Windows Professional или Server к домену, на компьютер добавляются такие же группы домена, как и на компьютер с Windows NT версии 4.0. Администраторы домена добавляются в локальную группу «Администраторы», а пользователи домена входят в локальную группу «Пользователи».

Владелец по умолчанию для объектов, создаваемых участниками группы администраторов

Можно установить владельца по умолчанию для созданных объектов: группу «Администраторы» или создателя системного объекта. В Windows XP Professional по умолчанию создатель объекта является его владельцем.

См. также