Windows Server-এ ইউজার ও পারমিশন

আপনার মেশিনে একটি মাত্র অ্যাডমিনিস্ট্রেটর অ্যাকাউন্ট থাকে। সব সময় সেটি দিয়েই কাজ করা একটি খারাপ অভ্যাস: যেকোনো ভুল বা ক্ষতিকর ফাইল সাথে সাথেই সম্পূর্ণ নিয়ন্ত্রণ পেয়ে যায়। শুরু থেকেই ভূমিকাগুলো আলাদা করে নিন।

একটি ইউজার তৈরি করুন

$pw = Read-Host -AsSecureString "Password"
New-LocalUser -Name "app" -Password $pw -FullName "Application Service" -PasswordNeverExpires
Add-LocalGroupMember -Group "Users" -Member "app"

Remote Desktop-এর মাধ্যমে সাইন ইন করার অনুমতি দিন:

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "app"

ইংরেজি ভাষার ইমেজে গ্রুপ দুটির নাম Users এবং Remote Desktop Users। একটি সার্বজনীন উপায় হলো আইডেন্টিফায়ার দিয়ে সেগুলো উল্লেখ করা: RDP গ্রুপের জন্য Get-LocalGroup | Where-Object SID -like "*-555"।

মেশিনে কে আছে এবং কে অ্যাডমিনিস্ট্রেটরদের অন্তর্ভুক্ত, তা দেখতে:

Get-LocalUser | Select-Object Name, Enabled, LastLogon
Get-LocalGroupMember Administrators

ফোল্ডার পারমিশন

অ্যাডমিনিস্ট্রেটর মেম্বারশিপের বদলে ডিরেক্টরিগুলোতে অ্যাক্সেস দিন। উদাহরণ: app ইউজারকে তার নিজের ডিরেক্টরিতে সম্পূর্ণ অ্যাক্সেস এবং শেয়ার করা ডিরেক্টরিতে শুধু পড়ার অ্যাক্সেস দিন।

icacls "C:\apps\myapp" /grant "app:(OI)(CI)M" /T
icacls "C:\shared" /grant "app:(OI)(CI)R" /T
icacls "C:\apps\myapp"          # view current permissions

ব্যাখ্যা: M — modify, R — read, F — full control, (OI)(CI) — ফাইল ও সাবফোল্ডারে ইনহেরিটেন্স, /T — বিদ্যমান কনটেন্টেও প্রয়োগ করুন।

সার্ভিস অ্যাকাউন্ট

যে সার্ভিস ইন্টারনেটে সংযোগ করে বা আপলোড করা ফাইল প্রসেস করে, তা LocalSystem হিসেবে চালানো উচিত নয়। সবচেয়ে ভালো বিকল্প হলো একটি ম্যানেজড অ্যাকাউন্ট:

New-Service -Name myapp -BinaryPathName "C:\apps\myapp\myapp.exe" -StartupType Automatic
sc.exe config myapp obj= "NT SERVICE\myapp" password= ""

সহজ এবং প্রায় সমান নিরাপদ হলো বিল্ট-ইন NT AUTHORITY\LocalService এবং NT AUTHORITY\NetworkService, যাদের শুধু প্রয়োজনীয় ডিরেক্টরিগুলোতে পারমিশন দেওয়া হয়।

পাসওয়ার্ড নীতি

net accounts /minpwlen:14 /maxpwage:unlimited
net accounts /lockoutthreshold:5 /lockoutduration:30

পাঁচবার ব্যর্থ চেষ্টার পর লকআউট বিশেষভাবে গুরুত্বপূর্ণ যদি RDP বাইরে থেকে অ্যাক্সেসযোগ্য হয় — বিস্তারিত জানতে দেখুন RDP সুরক্ষা।

সাধারণ ভুল

• সব সময় অ্যাডমিনিস্ট্রেটর হিসেবে কাজ করা। নিজের জন্য একটি সাধারণ অ্যাকাউন্ট তৈরি করুন এবং শুধু যেখানে প্রয়োজন সেখানেই আপনার অধিকার বাড়ান।
• "শুধু কাজ করলেই হলো" ভেবে ইউজারকে অ্যাডমিনিস্ট্রেটর গ্রুপে যোগ করা। দশবারের নয়বারই আসলে যা প্রয়োজন তা হলো একটি ফোল্ডারে অ্যাক্সেস বা "Log on as a service" অধিকার (secpol.msc → Local Policies → User Rights Assignment)।
• দ্বিতীয় লগইন যাচাই না করেই বিল্ট-ইন অ্যাডমিনিস্ট্রেটর নিষ্ক্রিয় করা। প্রথমে নিশ্চিত করুন নতুন অ্যাকাউন্টটি সত্যিই RDP-এর মাধ্যমে সাইন ইন করতে পারে, তারপরই চালান: Disable-LocalUser -Name adm-local।
• স্ক্রিপ্টে সার্ভিসের পাসওয়ার্ড প্লেইন টেক্সটে রাখা। যে ডিরেক্টরিগুলোতে ইউজাররা লিখতে পারে, সেখানকার স্ক্রিপ্ট যে কেউ পড়তে পারে।

যদি আপনি সব অ্যাকাউন্ট লক আউট করে ফেলেন, তবুও প্যানেলে /hosting/vds/m/<id>-এ "Console" ট্যাবে "Screen" মোডে অ্যাক্সেস পেতে পারেন। তৈরির সময় দেওয়া অ্যাডমিনিস্ট্রেটর পাসওয়ার্ড সব সময় "Access" ট্যাবে পাওয়া যায়।