المستخدمون والصلاحيات في Windows Server

تأتي آلتك بحساب مسؤول واحد فقط. العمل به طوال الوقت عادة سيئة: أي خطأ أو ملف خبيث يحصل فورًا على صلاحيات كاملة. افصل الأدوار منذ البداية.

إنشاء مستخدم

$pw = Read-Host -AsSecureString "Password"
New-LocalUser -Name "app" -Password $pw -FullName "Application Service" -PasswordNeverExpires
Add-LocalGroupMember -Group "Users" -Member "app"

اسمح له بتسجيل الدخول عبر Remote Desktop:

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "app"

في النسخ الإنجليزية، تُسمى المجموعتان Users وRemote Desktop Users. والخيار الشامل هو الإشارة إليهما بالمعرّف: Get-LocalGroup | Where-Object SID -like "*-555" لمجموعة RDP.

لمعرفة من يوجد على الآلة ومن ينتمي إلى المسؤولين:

Get-LocalUser | Select-Object Name, Enabled, LastLogon
Get-LocalGroupMember Administrators

صلاحيات المجلدات

امنح الوصول إلى المجلدات بدلًا من عضوية المسؤولين. مثال: امنح المستخدم app صلاحية وصول كاملة إلى مجلده الخاص ووصولًا للقراءة فقط إلى المجلد المشترك.

icacls "C:\apps\myapp" /grant "app:(OI)(CI)M" /T
icacls "C:\shared" /grant "app:(OI)(CI)R" /T
icacls "C:\apps\myapp"          # view current permissions

فك الرموز: M — تعديل، R — قراءة، F — تحكم كامل، (OI)(CI) — وراثة إلى الملفات والمجلدات الفرعية، /T — تطبيق على المحتويات الموجودة.

حسابات الخدمات

الخدمة التي تتصل بالإنترنت أو تعالج الملفات المرفوعة لا ينبغي أن تعمل باسم LocalSystem. الخيار الأفضل هو حساب مُدار:

New-Service -Name myapp -BinaryPathName "C:\apps\myapp\myapp.exe" -StartupType Automatic
sc.exe config myapp obj= "NT SERVICE\myapp" password= ""

الأبسط والأقرب إلى ذلك في الأمان هما الحسابان المدمجان NT AUTHORITY\LocalService وNT AUTHORITY\NetworkService مع منح الصلاحيات فقط للمجلدات التي يحتاجان إليها.

سياسة كلمات المرور

net accounts /minpwlen:14 /maxpwage:unlimited
net accounts /lockoutthreshold:5 /lockoutduration:30

القفل بعد خمس محاولات فاشلة مهم بشكل خاص إذا كان RDP متاحًا من الخارج — راجع حماية RDP للتفاصيل.

أخطاء شائعة

• العمل كمسؤول طوال الوقت. أنشئ لنفسك حسابًا عاديًا وارفع صلاحياتك فقط عند الحاجة.
• إضافة مستخدم إلى مجموعة المسؤولين لـ"يعمل الأمر فحسب". في تسع حالات من عشر، ما تحتاجه فعليًا هو الوصول إلى مجلد واحد أو حق "تسجيل الدخول كخدمة" (secpol.msc → Local Policies → User Rights Assignment).
• تعطيل المسؤول المدمج دون التحقق من تسجيل دخول ثانٍ. تأكد أولًا من أن الحساب الجديد يستطيع فعلًا تسجيل الدخول عبر RDP، وبعدها فقط نفّذ: Disable-LocalUser -Name adm-local.
• تخزين كلمة مرور خدمة بنص صريح في سكربت. السكربتات في المجلدات التي يمكن للمستخدمين الكتابة فيها يمكن لأي شخص قراءتها.

إذا أقفلت كل الحسابات، يمكنك مع ذلك الوصول عبر تبويب "Console" في لوحة التحكم على /hosting/vds/m/<id> في وضع "Screen". كلمة مرور المسؤول الصادرة عند الإنشاء متاحة دائمًا في تبويب "Access".