Người dùng trong nhóm Quản trị viên không có quyền như Quản trị viên (Win 2012 R2)

Tôi đã tạo một quản trị viên người dùng và đưa người dùng này vào Nhóm quản trị viên (cục bộ, không có quảng cáo). Nhưng người dùng quản trị viên này không có quyền như chính người dùng Quản trị viên.

Ví dụ 1: một tệp được sở hữu bởi HỆ THỐNG và Nhóm quản trị viên có toàn quyền kiểm soát. Nếu tôi cố gắng thêm quyền cho người dùng vào tệp này, nó không hoạt động đối với người dùng quản trị. Với Quản trị viên là hoạt động mà không có bất kỳ vấn đề.

Ví dụ 2: Cấu hình bảo mật nâng cao của IE được đặt TẮT cho Quản trị viên, BẬT cho người dùng. Đối với Quản trị viên, điều này là ổn, đối với người dùng quản trị viên, nó vẫn đang bật.

Đây có phải là một vấn đề cấu hình? Nếu vậy, tôi cần phải làm gì để làm cho đúng?

permissions windows-server-2012-r2 users

— Maart
nguồn

Điều này không nên hành xử theo cách này. Vui lòng đảm bảo rằng tài khoản cục bộ này thực sự nằm trong nhóm Quản trị viên cục bộ. Trong khi đăng nhập với người dùng đó, bạn có thể chạy WHOAMI /GROUPS /FO LISTđể xác minh rằng họ thực sự là một phần của các nhóm phù hợp.

— TheCleaner

Bạn đã đăng xuất và đăng nhập lại với người dùng mới sau khi biến anh ta thành thành viên của nhóm Quản trị viên chưa? Mã thông báo truy cập của anh ấy sẽ không thay đổi trong suốt thời gian của phiên hiện tại trên máy đó

— Mathias R. Jessen

@TheCleaner: đây là những nhóm mà anh ấy là thành viên của: Mọi người, NT AUTHORITY \ Tài khoản địa phương và thành viên của nhóm Quản trị viên, BULTIN \ Quản trị viên, BUILTIN \ Người dùng, NT AUTHORITY \ TỪ XÁC NHẬN GIAO DỊCH TƯƠNG TÁC, NT AUTHORITY \ INTERACTIVE , NT AUTHORITY \ Tổ chức này, NT AUTHORITY \ Tài khoản địa phương, ĐỊA PHƯƠNG, NT AUTHORITY \ NTLM Xác thực, Nhãn bắt buộc \ Cấp độ bắt buộc trung bình

— Maarten

Với việc nó không nằm trong một miền, tôi tự hỏi liệu đó có phải là vấn đề của UAC không. Nếu bạn tắt UAC (Kiểm soát tài khoản người dùng) trên máy chủ thì nó có hoạt động không? social.technet.microsoft.com/wiki/contents/articles/ từ

— TheCleaner

Vấn đề quyền (ví dụ 1) có vẻ ổn sau khi vô hiệu hóa UAC. IE ESC vẫn còn là một vấn đề.

— Maarten

Câu trả lời:

Điều này có thể do Kiểm soát tài khoản người dùng , một tính năng (bị nhiều người ghét) tạo ra, do đó, ngay cả khi bạn có quyền quản trị, bạn thực sự không có chúng trừ khi bạn yêu cầu rõ ràng. Có hai chính sách riêng biệt điều chỉnh hành vi UAC (cả hai được tìm thấy Computer settings\Windows settings\Security settings\Local policies\Security options), một chính sách cho Administratortài khoản tích hợp và một chính sách khác cho tất cả người dùng quản trị khác:

Kiểm soát tài khoản người dùng: Chế độ phê duyệt của quản trị viên cho tài khoản Quản trị viên tích hợp (bị tắt theo mặc định)
Kiểm soát tài khoản người dùng: Chạy tất cả quản trị viên ở Chế độ phê duyệt của quản trị viên (được bật theo mặc định)

Điều này có nghĩa là: theo mặc định, Administratortài khoản tích hợp không bị ảnh hưởng bởi UAC, trong khi tất cả người dùng quản trị khác là ; do đó, người dùng quản trị (khác với người được xây dựng Administrator) có thể không thực sự có quyền quản trị, ngay cả khi đó là thành viên của Administratorsnhóm.

Thêm thông tin ở đây .

— Massimo
nguồn

Vô hiệu hóa cài đặt thứ 2 đã khắc phục sự cố cho tôi trên Windows 10. Bạn có thể giải thích tại sao cài đặt này tồn tại không? Điểm quan trọng trong việc có nhóm Quản trị viên là gì nếu các thành viên của nhóm đó không có quyền truy cập vào bất kỳ quyền nào của nhóm nói trên theo mặc định?

— Sắp xếp

Vấn đề là (được cho là) UAC ngăn người dùng có quyền quản trị vô tình tự bắn vào chân mình, vì họ phải yêu cầu hệ thống cấp cho họ những đặc quyền họ cần có (sử dụng "chạy với tư cách quản trị viên" khi khởi chạy chương trình).

— Massimo

Tuy nhiên, việc triển khai quá dễ dàng (vì bạn không thể sử dụng "chạy với tư cách quản trị viên" trên Windows Explorer vì nó luôn chạy và bạn không thể khởi chạy một phiên bản khác của nó với quyền nâng cao) mà hầu hết người dùng quyền lực cuối cùng đều vô hiệu hóa UAC , để có thể thực sự sử dụng máy tính của họ.

— Massimo

UAC đã xuất hiện từ Windows Vista, nhưng thậm chí còn tệ hơn trong Windows 8 trở lên (bao gồm 10), vì việc vô hiệu hóa UAC ngăn chặn hiệu quả các ứng dụng Metro / Modern không chạy: vì một số lý do không thể biết, chúng dường như thực sự cần UAC để chạy, và họ thậm chí không bắt đầu nếu UAC bị vô hiệu hóa.

— Massimo

Tôi đã có một tình huống tương tự và đã khắc phục nó theo các bước của http://clintboessen.blogspot.com/2013/05/you-dont-c Hiệnly-have-allow-to.html (dành cho một tình huống khác). Đây là những gì tôi đã có và những gì tôi đã làm:

Hai máy tính, không có Miền Active Directory, một có Win 8.1 (ví dụ tên W81), máy tính khác với Server 2012 (ví dụ tên w12)
Hai người dùng cục bộ trên w12: [UserA] với PasswordA và [UserB] với PasswordB. Cả hai đều thuộc nhóm địa phương [Quản trị viên].
Hai người dùng cục bộ trên w81: [UserA] và [UserB] với cùng một PasswordA và PasswordB như những người dùng tương ứng của w12. Cả hai đều thuộc nhóm địa phương [Quản trị viên].
Tôi chia sẻ một thư mục trên w12: a. Tên chia sẻ: Temp1 $ b. Quyền chia sẻ: [Mọi người], Kiểm soát hoàn toàn c. Quyền NTFS: [Quản trị viên], Kiểm soát hoàn toàn. Không có nhóm nào khác có quyền NTFS ở đây
Đăng nhập vào W12 dưới dạng [UserA], tôi thử truy cập vào chia sẻ bằng UNC \ w12 \ Temp1 $. Tôi nhận được một lỗi nói rằng tôi không có quyền truy cập. Các chia sẻ được tìm thấy. Chỉ cần không có quyền truy cập.
Đăng nhập vào W81 dưới dạng [UserB], tôi thử truy cập vào chia sẻ bằng UNC \ w12 \ Temp1 $. Tôi nhận được lỗi tương tự. PHỤC HỒI w12 KHÔNG GIÚP.
Nếu tôi thêm [UserA] và [UserB] một cách rõ ràng vào các quyền NTFS, giờ đây họ có quyền truy cập vào chia sẻ bằng các bước 5 và 6.
Tôi Ran GPEdit.msc trên w12, đã đi đến:

Cấu hình máy tính -> Cài đặt Windows -> Cài đặt bảo mật -> Chính sách cục bộ -> Tùy chọn bảo mật

và đã sử dụng cài đặt cho các đề xuất # 1 và # 3:

# 1, Kiểm soát tài khoản người dùng: Chế độ phê duyệt của quản trị viên cho tài khoản Quản trị viên tích hợp: Đã tắt. # 3, Kiểm soát tài khoản người dùng: Chạy tất cả quản trị viên trong Chế độ phê duyệt của quản trị viên: Đã tắt.

Và còn lại # 2 không bị ảnh hưởng: # 2, Kiểm soát tài khoản người dùng: Hành vi của lời nhắc nâng cao cho quản trị viên trong Chế độ phê duyệt của quản trị viên: Nhắc nhở đồng ý cho các nhị phân không phải của Windows

Khởi động lại máy và tình huống không xảy ra lần nữa.

— Jelgab
nguồn

Quyền truy cập vào chia sẻ (Quyền chia sẻ) không giống như quyền truy cập vào tệp (quyền NTFS). Họ đang và nên tách biệt.

— artifex