Pengguna dan izin di Windows Server

Mesin Anda hadir dengan satu akun administrator. Bekerja di bawahnya terus-menerus adalah kebiasaan buruk: kesalahan apa pun atau file berbahaya langsung mendapatkan kendali penuh. Pisahkan peran sejak awal.

Membuat pengguna

$pw = Read-Host -AsSecureString "Password"
New-LocalUser -Name "app" -Password $pw -FullName "Application Service" -PasswordNeverExpires
Add-LocalGroupMember -Group "Users" -Member "app"

Izinkan pengguna tersebut masuk melalui Remote Desktop:

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "app"

Pada image berbahasa Inggris, grupnya disebut Users dan Remote Desktop Users. Opsi universal adalah merujuknya berdasarkan identifier: Get-LocalGroup | Where-Object SID -like "*-555" untuk grup RDP.

Untuk melihat siapa saja yang ada di mesin dan siapa yang termasuk administrator:

Get-LocalUser | Select-Object Name, Enabled, LastLogon
Get-LocalGroupMember Administrators

Izin folder

Berikan akses ke direktori alih-alih keanggotaan administrator. Contoh: beri pengguna app akses penuh ke direktorinya sendiri dan akses hanya-baca ke direktori bersama.

icacls "C:\apps\myapp" /grant "app:(OI)(CI)M" /T
icacls "C:\shared" /grant "app:(OI)(CI)R" /T
icacls "C:\apps\myapp"          # view current permissions

Penjelasan: M — modify, R — read, F — full control, (OI)(CI) — pewarisan ke file dan subfolder, /T — terapkan ke konten yang sudah ada.

Akun layanan

Layanan yang mengakses internet atau memproses file yang diunggah tidak boleh berjalan sebagai LocalSystem. Opsi terbaik adalah akun terkelola:

New-Service -Name myapp -BinaryPathName "C:\apps\myapp\myapp.exe" -StartupType Automatic
sc.exe config myapp obj= "NT SERVICE\myapp" password= ""

Lebih sederhana dan hampir sama amannya adalah NT AUTHORITY\LocalService dan NT AUTHORITY\NetworkService bawaan dengan izin yang diberikan hanya ke direktori yang dibutuhkan.

Kebijakan kata sandi

net accounts /minpwlen:14 /maxpwage:unlimited
net accounts /lockoutthreshold:5 /lockoutduration:30

Penguncian setelah lima percobaan gagal sangat penting jika RDP dapat diakses dari luar — lihat Perlindungan RDP untuk detailnya.

Kesalahan umum

• Bekerja sebagai administrator terus-menerus. Buat akun biasa untuk diri Anda sendiri dan naikkan hak Anda hanya saat diperlukan.
• Menambahkan pengguna ke grup administrator agar "langsung berfungsi". Sembilan dari sepuluh kasus, yang sebenarnya Anda butuhkan adalah akses ke satu folder atau hak "Log on as a service" (secpol.msc → Local Policies → User Rights Assignment).
• Menonaktifkan administrator bawaan tanpa memverifikasi login kedua. Pastikan dulu akun baru benar-benar bisa masuk melalui RDP, baru kemudian jalankan: Disable-LocalUser -Name adm-local.
• Menyimpan kata sandi layanan dalam teks biasa di skrip. Skrip di direktori yang dapat ditulis pengguna bisa dibaca siapa saja.

Jika Anda terkunci dari semua akun, Anda masih bisa mendapatkan akses melalui tab "Console" di panel pada /hosting/vds/m/<id> dalam mode "Screen". Kata sandi administrator yang diterbitkan saat pembuatan selalu tersedia di tab "Access".