Как понизить права локального администратора в Windows 7?
Ставил ОС лет 5 назад и по советам тогдашних статей активировал встроенную учетную запись супер администратора и сделал ее своей.
Сейчас осваиваю Linux (только чтобы использовать для виртуалки при изучении yii2) и понял, что сидеть под супер администратором (root) – это плохо.
Создавал нового юзера, вносил его в группу администраторов. Удалял свою учетную запись из администраторов – ошибка на подобии «данная встроенная запись не может быть удалена из этой группы».
Что делать, чтобы перестать быть админом, но весь софт работал?
- Вопрос задан более трёх лет назад
- 1353 просмотра
Оценить 5 комментариев
- Вконтакте
landergate: Здравствуйте. Сорри. Я долго был далеко от того ПК. А сейчас перешел с АМД Фенома на ксеон 2011. И что-то система стала долго грузится на ССД.
Думаю над переустановкой системы и не поставить ли виндовс 10. Но напрягает слежка и обновления без моего желания
Павел: Странно, скорость загрузки с SSD не может зависеть от CPU. Может на новой материнской плате выключён Fast Boot в BIOS, пропускающий все проверки RAM и прочего?
У Windows 10 можно выключить автоприменение обновлений, а также найти выключалки/твикеры, отключающие телеметрию, или посылающие левые данные в неё.
landergate: windows долго висит на экране приветствия. В общем сейчас нужно портфолио обновить, чтобы найти работу в новом городе после переезда (и уволиться с текущей вне ИТ). И буду думать над переустановкой. Поставлю пока windows 10 на виртуалке.
Пишут, что всю слежку отключить нельзя
Обновился до вин 10. Проверить решения не смогу :(
Если кто-то проверит, отпишитесь - я помечу решением
Включить UAC и поднять его уровень контроля. Весь софт будет спрашивать доступ на административные операции.
Можно изменить поведение (напр.: запрашивать пароль) на все административные операции: Откройте оснастку локальных групповых политик, выполнив: gpedit.msc В ней: Local Computer Policy > Windows Settings > Security Settings > Local Policies > Security Options
- Run all administrators in Admin Approval Mode
- Behaviour of the elevation prompt for administrators in Admin Approval Mode
- Создайте ещё одного пользователя, добавив его в группу администраторов.
- Зайдите под созданным пользователем.
- Панель управления -> Система -> Дополнительные параметры системы -> Профили пользователей.
- Выберите профиль локального администратора и нажмите "Копировать. "
- Вконтакте
Поставил UAC на 3-й уровень. Пароля на учетке нет. Я единственный юзер ПК
Я не могу сменить тип своей учетки, потому что я "Встроенная учетная запись админитсратора". Описал это в вопросе.
Павел: Работа от администратора - тоже самое, что пытаться форсить sudo для root. У root и так все права уже есть. Другими словами, использовать встроенную учётку "Администратор" за основную - моветон. К ней обращаются для обслуживания.
Попробуйте создать себе новый профиль со своим именем. Так работают в корпоративной среде - все сотрудники работают исключительно от своего имени, не имея повышенных привилегий. При этом, когда нужно, они жмакают "запуск от имени администратора" и просят местное IT ввести админский пароль.
Ethril: > У встроенного Администратора ровно также, как и у остальных, работает UAC В домене - да, но у локальных администраторов вне домена, насколько я понимаю, по умолчанию нет, поэтому нужны доп. манипуляции в локальных политиках.
> И лишают юзеров админских прав на компе далекоо не везде в корпоративной среде. Безусловно, но и сидят в этих компаниях пользователи не под учёткой "Administrator", если там практикуется хоть сколько-нибудь маломальское разграничение доступа или управление конфигурациями.
Павел: Включив UAC и настроив локальные политики по примеру в ответе, у вас должны перестать выполняться без подтверждения какие-либо административные операции. Например 'sfc --help' у вас не должен выполняться до тех пор, пока вы не откроете командную строку, кликнув "от имени администратора".
landergate: >но у локальных администраторов вне домена, насколько я понимаю, по умолчанию нет По умолчанию - да.
>но и сидят в этих компаниях пользователи не под учёткой "Administrator", если там практикуется хоть сколько-нибудь маломальское разграничение доступа или управление конфигурациями. Есть разные подходы. Например такой - пофиг на самом деле, кто под кем сидит, какие права имеет и что вообще куролесит на своём ноуте. Доменные ресурсы предоставляются по доменной учётной записи. Каким образом юзер с ней аутентифицируется на сервере - неважно. Штатным ли образом, или снёс нафиг корпоративную винду, поставил убунту и ходит на шару самбой+керберосом с AD-шной учёткой. Ессно, отдел ИТ нештатные системы не поддерживает. Но и не препятствует. Трахайся с ней сам, коли шибко умный. Если надоест - ИТ-отдел быстро и без шума перезальёт винду на штатный корпоративный образ.
Ethril: > По умолчанию - да. Вот прямо сейчас проверил, встроенная учётная запись администратора по умолчанию всё выполняет в обход всяких UAC: https://storage.sbg1.cloud.ovh.net/v1/AUTH_e473c1c. Кажется, это обычное поведение для _встроенной_ учётной записи администратора. Регулировать его можно групповыми политиками.
> Есть разные подходы. Сомнений нет: если управление над самими компами не нужно и пользователи хотя бы мало-мальски самостоятельны - их рабочие станции не обязательно полностью заводить в домен. Ваш подход по-своему удобен в некоторых средах. Я не пытался пропагандировать AD. Я описал best practice про то, как обычно используется (а точнее - не используется) _встроенная_ учётка администратора. Это чисто сервисный аккаунт. Разумеется, его можно использовать за основной профиль, но многих нежелательных нюансов не миновать - с одним из них столкнулся Павел. Благо, локальные политики всё-же позволяют изменить это поведение.