Отключение контроля учетных записей (UAC) в Windows Server

В этой статье вводится, как отключить контроль учетных записей пользователей (UAC) в Windows Server.

Исходная версия продукта: Windows Server 2012 R2
Исходный номер КБ: 2526083

Аннотация

При определенных ограниченных обстоятельствах отключение UAC в Windows Server может быть приемлемой и рекомендуемой практикой. Эти обстоятельства возникают только в следующих случаях:

• Только администраторы могут в интерактивном режиме войти на сервер Windows на консоли или с помощью служб удаленных рабочих стола.
• Администраторы выполняют вход на сервер под windows только для того, чтобы выполнять на сервере законные системные административные функции.

Если ни один из этих условий не является истинным, UAC должен оставаться включенным. Например, сервер включает роль служб удаленных рабочих стола, чтобы неадминистративные пользователи могли войти на сервер для запуска приложений. В этой ситуации UAC должен оставаться включенным. Аналогичным образом, UAC должен оставаться включенным в следующих ситуациях:

• Администраторы запускают рискованные приложения на сервере. Например, веб-браузеры, почтовые клиенты или клиенты обмена мгновенными сообщениями.
• Администраторы делают другие операции, которые должны быть сделаны из клиентской операционной системы, например Windows 7.

• Это руководство применимо только к операционным системам Windows Server.
• UAC всегда отключен в выпусках основных серверных Windows Server 2008 R2 и более поздних версиях.

Дополнительные сведения

UAC был разработан, чтобы помочь пользователям Windows перейти к использованию стандартных прав пользователей по умолчанию. UAC включает несколько технологий для достижения этой цели. К числу таких технологий относится следующее:

Виртуализация файлов и реестра: когда устаревшее приложение пытается записать данные в защищенные области файловой системы или реестра, Windows автоматически и прозрачно перенаправляет доступ к части файловой системы или реестру, которую пользователь может изменить. Это позволяет многим приложениям, которые требовали прав администратора в более ранних версиях Windows, успешно работать только со стандартными правами пользователя в Windows Server 2008 и более поздних версиях.

Повышение прав на одном рабочем столе: когда авторизованный пользователь запускает и повышает уровень программы, итоговая процедура получает более мощные права, чем права пользователя интерактивного рабочего стола. Объединяя повышение прав с функцией фильтрованного маркера UAC (см. следующий пункт), администраторы могут запускать программы со стандартными правами пользователя. Кроме того, они могут повысить уровень только тех программ, которые требуют прав администратора с одной и той же учетной записью пользователя. Эта функция повышения прав пользователей также называется режимом утверждения администратором. Программы также могут быть запущены с повышенными правами с помощью другой учетной записи пользователя, чтобы администраторы могли выполнять административные задачи на рабочем столе обычного пользователя.

Отфильтрованный маркер: когда пользователь с административными или другими мощными привилегиями или членством в группах входит в систему, Windows создает два маркера доступа для представления учетной записи пользователя. Неотвеченный маркер имеет все права и членство пользователя в группах. Отфильтрованный маркер представляет пользователя с эквивалентом стандартных прав пользователя. По умолчанию этот отфильтрованный маркер используется для запуска программ пользователя. Неотрисованный маркер связан только с программами с повышенными уровнями. Учетная запись называется защищенной учетной записью администратора при следующих условиях:

• Она входит в группу «Администраторы».
• Он получает отфильтрованный маркер, когда пользователь входит в систему

UIPI: UIPI не позволяет программе с низкими привилегиями управлять процессом с высокими привилегиями следующим образом:
Отправка оконных сообщений, таких как искусственные события мыши или клавиатуры, в окно, которое относится к процессу с высокими привилегиями

Защищенный режим Internet Explorer (PMIE): PMIE — это функция глубокой защиты. Windows Internet Explorer работает в режиме защищенного с низким уровнем привилегий и не может выполнять записи в большинстве областей файловой системы или реестра. По умолчанию защищенный режим включен, когда пользователь просматривает сайты в зонах Интернета или ограниченных сайтов. PMIE затрудняет для вредоносных программ, которые заражают запущенный экземпляр Internet Explorer, изменение параметров пользователя. Например, он настраивается на запуск при каждом входе пользователя в систему. PMIE на самом деле не является частью UAC. Но это зависит от функций UAC, таких как UIPI.

Обнаружение установщика: когда новый процесс будет запущен без прав администратора, Windows применяет сюристичные процедуры, чтобы определить, является ли новый процесс устаревшей программой установки. Windows предполагает, что устаревшие программы установки, скорее всего, не будут выполняться без прав администратора. Таким образом, Windows заблаговременно запросит у интерактивного пользователя повышение прав. Если у пользователя нет административных учетных данных, он не сможет запустить программу.

Если вы отключите контроль учетных записей пользователей: запустите всех администраторов в параметре политики режима утверждения администратором. Он отключает все функции UAC, описанные в этом разделе. Этот параметр политики доступен в локальной политике безопасности компьютера, параметрах безопасности, локальных политиках, а затем в параметрах безопасности. Устаревшие приложения, которые имеют стандартные права пользователя, которые ожидают записи в защищенные папки или ключи реестра, не будут работать. Отфильтрованные маркеры не создаются. Все программы запускаются с полными правами пользователя, который вошел в систему на компьютере. Он включает Internet Explorer, так как защищенный режим отключен для всех зон безопасности.

Одно из распространенных представлений об UAC и повышение прав на один рабочий стол, в частности, состоит в том, что оно предотвращает установку вредоносных программ или получение прав администратора. Во-первых, вредоносную программу можно написать, чтобы права администратора не требовали. Кроме того, вредоносные программы можно записывать только в области профиля пользователя. Более того, повышение прав на одном компьютере в UAC не является границей безопасности. Его может перехватить неприносимая программа, которая работает на одном компьютере. Повышение прав на одном и том же рабочем столе следует считать удобной функцией. С точки зрения безопасности защищенный администратор должен считаться эквивалентом администратора. Напротив, использование быстрого переключения пользователей для входов в другой сеанс с использованием учетной записи администратора подразумевает границу безопасности между учетной записью администратора и стандартным сеансом пользователя.

Для сервера под управлением Windows, на котором единственная причина интерактивного иноалога заключается в администрировании системы, цель меньшего количество подсказок повышения прав нецелесообразны или желаема. Системным средствам администрирования по законному характеру требуются права администратора. Когда всем задачам администратора требуются права администратора, и каждая задача может инициировать запрос повышения прав, эти запросы являются лишь помехой для повышения производительности. В этом контексте такие запросы не могут или не могут способствовать разработке приложений, которые требуют стандартных прав пользователя. Такие запросы не улучшают уровень безопасности. Эти запросы просто побуждают пользователей щелкнуть диалоговое окно, не считывая их.

Это руководство применимо только к хорошо управляемым серверам. Это означает, что только администраторы могут входить в систему в интерактивном режиме или через службы удаленного рабочего стола. Кроме того, они могут выполнять только законные административные функции. Сервер должен считаться эквивалентным клиентской системе в следующих ситуациях:

• Администраторы запускают рискованные приложения, такие как веб-браузеры, почтовые клиенты или клиенты обмена мгновенными сообщениями.
• Администраторы выполняют другие операции, которые должны выполняться из клиентской операционной системы.

В этом случае UAC должен оставаться включенным в качестве меры глубокой защиты.

Кроме того, если стандартные пользователи вошел на сервер на консоли или через службы удаленного рабочего стола для запуска приложений, особенно веб-браузеров, UAC должен оставаться включенным для поддержки виртуализации файлов и реестра, а также защищенный режим Internet Explorer.

Еще один способ избежать запроса на повышение прав без отключения UAC — установить для администраторов в политике безопасности «Повышение прав» контроль учетных записей пользователей: поведение запроса на повышение прав для администраторов в политике безопасности «Повышение прав» без запроса. С помощью этого параметра запросы на повышение прав утверждаться автоматически, если пользователь входит в группу администраторов. Этот параметр также оставляет включенными PMIE и другие функции UAC. Однако не все операции, которые требуют повышения прав администратора. Использование этого параметра может привести к повышению уровня некоторых программ пользователя, а к некоторым нет, без какого-либо различия между ними. Например, большинство консольных программ, которые требуют прав администратора, должны быть запущены в командной консоли или в другой программе с повышенными правами. Такие utilities just fail when they’re started at a command prompt that isn’t elevated.

Что такое UAC и как его отключить в Windows 7, 8, 10 и Server 2012

Если хотите узнать все о UAC в ОС Windows, то в статье собрана вся актуальная информация. После прочтения станет понятно, для чего нужна эта функция, как ее выключить, стоит ли это делать и как после всего включить ее снова.

Что такое UAC

Эту функцию можно считать информационной. Она уведомляет пользователя при выполнении действия для которого нужны права Администратора системы. При этом на экране появляется сообщение характера: “Разрешить следующей программе внести изменения на этом компьютере?”. Можно подтвердить или запретить эту манипуляцию.

Для чего используется

Контроль учетных записей внедрили для защиты ОС от запуска вредоносного кода. Благодаря ему пользователь в курсе важных событий в отношении программ: установки, удалении, модификации. Обратная сторона медали: не каждый разберется, что именно запрашивает UAC. Новичков это сбивает с толку.

Зачем отключать UAC?

Отключать стоит в том случае, если надоели постоянные запросы об изменениях в системе. Это касается неопытных пользователей, которым все равно трудно каждый раз оценивать адекватность запроса, они и так не разберутся, будет совершаться рутинное действие или это вирус “ломает” ОС.

В исключительных случаях Контроль учётной записи деактивируют, чтобы избавиться от сбоев конкретной программы. При таких обстоятельствах после устранения неполадки с проблемным приложением UAC активируют опять.

Способы отключения UAC

UAC Windows 10 отключить можно многими способами, как в седьмой или восьмой версии. Разберем их по отдельности от простых к более сложным.

Используем панель управления

На примере десятой версии Виндовс все выполняется так:

• клик правой кнопкой мышки на Пуск, выбор в контекстном меню строки “Панель управления”;
• в верхней части появившегося окна в блоке “Просмотр” установите “Значки”, а “Категории”;
• в основной части окна отыщите и зайдите в “Учетные записи пользователей”;
• клик на строке “Изменить параметры контроля” – она находится в нижней части окна;
• в новом окне передвиньте ползунок на самую нижнюю позицию и сохраните изменения нажатием на “ОК”;
• система спросит, нужно ли выполнить запись новых настроек – подтвердите действие.

Есть быстрый способ попасть в необходимое меню Панели управления. Для этого:

• зажмите комбинацию Win+R;
• скопируйте команду UserAccountControlSettings;
• подтвердите запуск нажатием на Enter.

Итог – откроется окно “Параметры управления учетными …”.

Как отключить службу при помощи командной строки

Чтобы UAC Windows 7 отключить, действуйте по следующему алгоритму:

• зажмите комбинацию Win+R, скопируйте в окошко команду cmd, запустите ее нажатием на Enter;
• в новое окно скопируйте запрос: C:\Windows\System32\cmd.exe /k C:\Windows\System32\reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA
  /t REG_DWORD /d 0 /f;
• запустите его нажатием на Enter;
• перезагрузите компьютер, чтобы настройки вступили в силу.

Для включения службы UAC все выполняйте как по ранее указанному алгоритму, но запускайте чуть другую команду: C:\Windows\System32\cmd.exe /k C:\Windows\System32\reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA
/t REG_DWORD /d 1 /f.

Отключение UAC в Windows 10 через реестр

Для этого делайте такие шаги:

• зажмите комбинацию Win+R, введите команду regedit и нажмите Enter – запустится Редактор реестра;
• в левой панели Редактора следуйте по пути HKEY_LOCAL_MACHINE => SOFTWARE => Microsoft => Windows => CurrentVersion => Policies => System;
• двойным кликом измените значения следующих параметров в правой панели Редактора: PromptOnSecureDesktop, EnableLUA, ConsentPromptBehaviorAdmin, а требуемые новые параметры следовательно: 0, 1, 0;
• после каждого изменения параметра сохраняйте изменения кликом на “ОК”;
• чтобы настройки активировались перегрузите компьютер.

Как отключить UAC для определенной программы в Windows 10? Есть способ, для которого нужно править реестр. Итог – программа будет запускаться и/или изменять системные настройки без оповещений со стороны UAC, хотя он не будет отключен в рамках всей системы. Действовать нужно в такой последовательности:

1. В Редакторе реестра перейдите в следующую ветку: HKEY_CURRENT_USER => SOFTWARE => Microsoft => Windows NT => CurrentVersion => AppCompatFlags => Layers.
2. В правой части окна клик правой кнопкой мышки на пустом пространстве: “Создать” => “Строковый параметр”. У этого параметра должно быть название, которое совпадает с путем к исполняемому файлу. Например, для Скайпа это будет C:\Program Files\CPUID\Skype\Skype.exe. В каждом случае нужно заходить в папку с установленным приложением и копировать содержимое адресной строки.
3. После создания параметра кликнуть правой кнопкой мышки => “Изменить”. Откроется окно и в строку “Значение” скопируйте RunAsInvoker, сохраните изменения нажатием на “ОК”. Теперь UAC не станет надоедать при открытии этого приложения.

Если нужно отключить Контроль для нескольких приложений, то процедуру можно упростить. Для этого:

• создаете текстовый документ;
• копируете в негоWindows Registry Editor Version 5.00[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers]

“C:\\Program Files\\Skype\\Skype.exe”=”RUNASINVOKER”

в этом примере “C:\\Program Files\\Skype\\Skype.exe” замените на путь к исполняемому файлу, в отношении которого отключается UAC;

обратите внимание, что используются двойные наклонные черточки;

изменяете расширение файла на .reg;

двойной клик на этом файле и подтвердите внесение изменений нажатием на “Да”.

Отключение UAC в Windows 10 с помощью сторонних утилит

Подойдет утилита UAC Tweak. Запустите ее после скачивания и установки. Если возникнет ошибка, то зайдите в свойства исполняемого файла и активируйте режим совместимости с Windows Vista. После старта UAC Tweak появится окно, подобное настройкам Контроля учетных записей в Панели управления, но в более лаконичной форме. Нужно только поставить отметку напротив нижней строчки.

Способы отключения

Для менее распространенных версий ОС Windows полностью отключить Контроль можно по подобному алгоритму, что и для более популярных Виндовс.

Windows Server 2012

Чтобы в Windows Server 2012 UAC отключить Windows выполняйте следующее:

• Зайдите в “Панель управления”, “Учетные записи …”, “Изменение параметров …”.
• В новом окне клик на “Включение или отключение …” => “Продолжить”.
• Снимите отметку с “Использовать контроль учетных …”, сохраните изменения кликом на “ОК”.
• Система сделает запрос на перезагрузку. Если уже сейчас нужно деактивировать UAC, то выберите пункт “Перезапустить потом”.

Windows Vista

1. Зажмите комбинацию Windows+R, введите в окне msconfig, запустите нажатием на Enter.
2. В возникшем окне перейдите на вкладку “Сервис”.
3. В списке найдите пункт “Отключить контроль учетных записей …”.

Почему не стоит полностью выключать защиту

Потому что снизится уровень надзора пользователя за устойчивостью ОС к вредоносному ПО. Если вирус “захочет” изменить системные настройки, то с отключенным UAC пользователь не узнает, что поступил такой запрос – он фактически выполнится незаметно.

Как удалить имеющиеся обновления в десятке?

Случается, что при отключенном UAC устанавливаются апдейты ОС, которые вызывают нестабильность системы. Устранить это можно за счет их удаления следующим образом:

• Зажмите комбинацию Win+I и перейдите в меню “Обновление и безопасность”.
• В новом окне следуйте по пути: “Центр обновления Windows” => “Журнал обновлений” => “Удалить обновления”.
• Отобразится перечень проинсталлированных обновлений. Выделяйте нужное и сверху жмите “Удалить”. Если нужно выделить и очистить все – зажмите комбинацию клавиш Ctrl+A.

Очистка старых файлов после обновления Windows

1. Введите в системном поиске запрос “Очистка диска” и запустите соответствующую утилиту.
2. В новом окне укажите локальный диск, где установлена ОС.
3. Клик на “Очистить системные файлы”.
4. Снова укажите диск с Виндовс.
5. Поставьте отметку в списке напротив строчки “Предыдущие установки Windows”.
6. Запустите процесс нажатием на “ОК” внизу окна.

Включение и настройка КУЗ в Windows 10

Самый простой способ включения UAC через Панель управления. Необходимо добраться до окна “Параметры управления учетными …” и поднять ползунок из самого нижнего уровня. Подробная инструкция по открытию соответствующего окна находится в этом блоке статьи. Разберем детальнее параметры, которые устанавливаются при помощи ползунка в окне от самого нижнего до верхнего:

1. Контроль полностью отключен. Никаких оповещений о запросе выполнения действий с правами Администратора возникать не будет.
2. Уведомление появляется, но экран не затемняется. UAC включен и при его срабатывании появляется информационное сообщение с запросом на выполнение действий, но рабочая область дисплея не блокируется.
3. Уведомление появляется, экран затемняется.
4. Уведомления возникают не только при изменении системных настроек, но и при выполнении действий любыми инсталляторами.

Заключение

1. UAC – не антивирус, но помогает защитить ОС от вредоносного ПО.
2. Не выключайте опцию без прямой необходимости.
3. Если UAC мешает только при работе в определенной программе, то отключите функцию лишь для этого приложения.
4. Если Контроль деактивировался в рамках всей системы, то после выполнения действий, ради которых все затевалось, активируйте системный компонент снова.