Používatelia a oprávnenia vo Windows Server

Tvoj stroj prichádza s jediným administrátorským účtom. Pracovať pod ním neustále je zlý zvyk: akákoľvek chyba alebo škodlivý súbor okamžite získa plnú kontrolu. Odddeľ roly hneď na začiatku.

Vytvor používateľa

$pw = Read-Host -AsSecureString "Password"
New-LocalUser -Name "app" -Password $pw -FullName "Application Service" -PasswordNeverExpires
Add-LocalGroupMember -Group "Users" -Member "app"

Povoľ mu prihlásenie cez Remote Desktop:

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "app"

Na anglickom obraze sa skupiny volajú Users a Remote Desktop Users. Univerzálna možnosť je odkazovať sa na ne podľa identifikátora: Get-LocalGroup | Where-Object SID -like "*-555" pre RDP skupinu.

Ak chceš vidieť, kto je na stroji a kto patrí medzi administrátorov:

Get-LocalUser | Select-Object Name, Enabled, LastLogon
Get-LocalGroupMember Administrators

Práva k priečinkom

Prideľuj prístup k adresárom namiesto členstva v skupine administrátorov. Príklad: daj používateľovi app plný prístup k jeho vlastnému adresáru a prístup len na čítanie k zdieľanému.

icacls "C:\apps\myapp" /grant "app:(OI)(CI)M" /T
icacls "C:\shared" /grant "app:(OI)(CI)R" /T
icacls "C:\apps\myapp"          # view current permissions

Vysvetlenie: M — úprava, R — čítanie, F — plná kontrola, (OI)(CI) — dedenie na súbory a podpriečinky, /T — aplikovať na existujúci obsah.

Servisné účty

Služba, ktorá komunikuje s internetom alebo spracúva nahrané súbory, by nemala bežať ako LocalSystem. Najlepšia možnosť je spravovaný účet:

New-Service -Name myapp -BinaryPathName "C:\apps\myapp\myapp.exe" -StartupType Automatic
sc.exe config myapp obj= "NT SERVICE\myapp" password= ""

Jednoduchšie a takmer rovnako bezpečné sú vstavané účty NT AUTHORITY\LocalService a NT AUTHORITY\NetworkService s právami pridelenými len k adresárom, ktoré potrebujú.

Politika hesiel

net accounts /minpwlen:14 /maxpwage:unlimited
net accounts /lockoutthreshold:5 /lockoutduration:30

Uzamknutie po piatich neúspešných pokusoch je obzvlášť dôležité, ak je RDP dostupný zvonku — podrobnosti nájdeš v ochrane RDP.

Časté chyby

• Neustála práca ako administrátor. Vytvor si bežný účet a svoje práva rozširuj len tam, kde je to potrebné.
• Pridanie používateľa do skupiny administrátorov, aby to „proste fungovalo". V deviatich prípadoch z desiatich v skutočnosti potrebuješ prístup k jednému priečinku alebo právo „Prihlásiť sa ako služba" (secpol.msc → Local Policies → User Rights Assignment).
• Vypnutie vstavaného administrátora bez overenia druhého prihlásenia. Najprv sa uisti, že nový účet sa naozaj dokáže prihlásiť cez RDP, a až potom spusti: Disable-LocalUser -Name adm-local.
• Ukladanie hesla služby v skripte v čistom texte. Skripty v adresároch, do ktorých môžu používatelia zapisovať, môže čítať ktokoľvek.

Ak si uzamkol všetky účty, stále sa dokážeš dostať k prístupu cez kartu „Console" v ovládacom paneli na /hosting/vds/m/<id> v režime „Screen". Administrátorské heslo vydané pri vytvorení je vždy dostupné na karte „Access".