Windows Server में यूज़र और परमिशन

आपकी मशीन के साथ एक ही एडमिनिस्ट्रेटर अकाउंट आता है। हर समय उसी के अंदर काम करना एक बुरी आदत है: कोई भी गलती या मैलिशियस फ़ाइल तुरंत पूरा कंट्रोल हासिल कर लेती है। शुरुआत से ही रोल्स को अलग करें।

एक यूज़र बनाएँ

$pw = Read-Host -AsSecureString "Password"
New-LocalUser -Name "app" -Password $pw -FullName "Application Service" -PasswordNeverExpires
Add-LocalGroupMember -Group "Users" -Member "app"

इसे Remote Desktop के ज़रिए साइन इन करने दें:

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "app"

अंग्रेज़ी-भाषा वाली इमेज पर, ग्रुप्स को Users और Remote Desktop Users कहा जाता है। एक यूनिवर्सल तरीका है उन्हें आइडेंटिफ़ायर से रेफ़र करना: RDP ग्रुप के लिए Get-LocalGroup | Where-Object SID -like "*-555"।

यह देखने के लिए कि मशीन पर कौन है और कौन एडमिनिस्ट्रेटर्स में शामिल है:

Get-LocalUser | Select-Object Name, Enabled, LastLogon
Get-LocalGroupMember Administrators

फ़ोल्डर परमिशन

एडमिनिस्ट्रेटर मेंबरशिप के बजाय डायरेक्टरीज़ तक एक्सेस दें। उदाहरण: यूज़र app को उसकी अपनी डायरेक्टरी तक पूरा एक्सेस और शेयर्ड वाली तक रीड-ओनली एक्सेस दें।

icacls "C:\apps\myapp" /grant "app:(OI)(CI)M" /T
icacls "C:\shared" /grant "app:(OI)(CI)R" /T
icacls "C:\apps\myapp"          # view current permissions

डिकोडिंग: M — मॉडिफ़ाई, R — रीड, F — फ़ुल कंट्रोल, (OI)(CI) — फ़ाइलों और सबफ़ोल्डरों तक इनहेरिटेंस, /T — मौजूदा कंटेंट पर लागू करें।

सर्विस अकाउंट

जो सर्विस इंटरनेट तक पहुँचती है या अपलोड की गई फ़ाइलों को प्रोसेस करती है, उसे LocalSystem के रूप में नहीं चलना चाहिए। सबसे अच्छा विकल्प एक मैनेज्ड अकाउंट है:

New-Service -Name myapp -BinaryPathName "C:\apps\myapp\myapp.exe" -StartupType Automatic
sc.exe config myapp obj= "NT SERVICE\myapp" password= ""

इससे आसान और लगभग उतने ही सुरक्षित बिल्ट-इन NT AUTHORITY\LocalService और NT AUTHORITY\NetworkService हैं, जिन्हें सिर्फ़ उन्हीं डायरेक्टरीज़ की परमिशन दी जाती है जिनकी उन्हें ज़रूरत है।

पासवर्ड पॉलिसी

net accounts /minpwlen:14 /maxpwage:unlimited
net accounts /lockoutthreshold:5 /lockoutduration:30

पाँच फ़ेल हुए अटेम्प्ट के बाद लॉकआउट ख़ास तौर पर ज़रूरी है अगर RDP बाहर से रीचेबल हो — डिटेल्स के लिए RDP protection देखें।

आम गलतियाँ

• हर समय एडमिनिस्ट्रेटर के रूप में काम करना। अपने लिए एक रेगुलर अकाउंट बनाएँ और अपने राइट्स सिर्फ़ वहीं बढ़ाएँ जहाँ ज़रूरत हो।
• यूज़र को एडमिनिस्ट्रेटर्स ग्रुप में इसलिए जोड़ना ताकि वह "बस चल जाए"। दस में से नौ बार आपको असल में सिर्फ़ एक फ़ोल्डर तक एक्सेस या "Log on as a service" राइट चाहिए होता है (secpol.msc → Local Policies → User Rights Assignment)।
• दूसरा लॉगिन वेरिफ़ाई किए बिना बिल्ट-इन एडमिनिस्ट्रेटर को डिसेबल करना। पहले पक्का करें कि नया अकाउंट असल में RDP के ज़रिए साइन इन कर सकता है, और उसके बाद ही चलाएँ: Disable-LocalUser -Name adm-local।
• सर्विस पासवर्ड को स्क्रिप्ट में प्लेन टेक्स्ट में स्टोर करना। जिन डायरेक्टरीज़ में यूज़र्स लिख सकते हैं, वहाँ की स्क्रिप्ट्स कोई भी पढ़ सकता है।

अगर आपने हर अकाउंट को लॉक आउट कर दिया है, तो भी आप पैनल में /hosting/vds/m/<id> पर "Console" टैब के ज़रिए "Screen" मोड में एक्सेस पा सकते हैं। क्रिएशन के समय जारी किया गया एडमिनिस्ट्रेटर पासवर्ड हमेशा "Access" टैब पर उपलब्ध रहता है।