Korisnici i dozvole u Windows Serveru

Tvoja mašina dolazi sa jednim administratorskim nalogom. Rad pod njim stalno je loša navika: svaka greška ili zlonamerni fajl odmah dobija punu kontrolu. Razdvoji uloge od samog početka.

Kreiraj korisnika

$pw = Read-Host -AsSecureString "Password"
New-LocalUser -Name "app" -Password $pw -FullName "Application Service" -PasswordNeverExpires
Add-LocalGroupMember -Group "Users" -Member "app"

Dozvoli mu prijavu preko Remote Desktop-a:

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "app"

Na slici na engleskom jeziku, grupe se zovu Users i Remote Desktop Users. Univerzalna opcija je da ih pozoveš preko identifikatora: Get-LocalGroup | Where-Object SID -like "*-555" za RDP grupu.

Da vidiš ko je na mašini i ko pripada administratorima:

Get-LocalUser | Select-Object Name, Enabled, LastLogon
Get-LocalGroupMember Administrators

Dozvole za foldere

Daj pristup direktorijumima, a ne članstvo u administratorima. Primer: daj korisniku app pun pristup njegovom direktorijumu i pristup samo za čitanje deljenom.

icacls "C:\apps\myapp" /grant "app:(OI)(CI)M" /T
icacls "C:\shared" /grant "app:(OI)(CI)R" /T
icacls "C:\apps\myapp"          # view current permissions

Objašnjenje: M — izmena, R — čitanje, F — puna kontrola, (OI)(CI) — nasleđivanje na fajlove i podfoldere, /T — primeni na postojeći sadržaj.

Servisni nalozi

Servis koji pristupa internetu ili obrađuje otpremljene fajlove ne treba da radi kao LocalSystem. Najbolja opcija je upravljani nalog:

New-Service -Name myapp -BinaryPathName "C:\apps\myapp\myapp.exe" -StartupType Automatic
sc.exe config myapp obj= "NT SERVICE\myapp" password= ""

Jednostavniji i skoro jednako bezbedni su ugrađeni NT AUTHORITY\LocalService i NT AUTHORITY\NetworkService sa dozvolama dodeljenim samo direktorijumima koji su im potrebni.

Politika lozinki

net accounts /minpwlen:14 /maxpwage:unlimited
net accounts /lockoutthreshold:5 /lockoutduration:30

Zaključavanje nakon pet neuspelih pokušaja posebno je važno ako je RDP dostupan spolja — vidi RDP zaštita za detalje.

Česte greške

• Stalni rad kao administrator. Napravi sebi običan nalog i podiži prava samo tamo gde je potrebno.
• Dodavanje korisnika u grupu administratora da bi "samo radilo". U devet od deset slučajeva ono što ti zapravo treba je pristup jednom folderu ili pravo "Prijava kao servis" (secpol.msc → Local Policies → User Rights Assignment).
• Onemogućavanje ugrađenog administratora bez provere druge prijave. Prvo se uveri da novi nalog zaista može da se prijavi preko RDP-a, pa tek onda pokreni: Disable-LocalUser -Name adm-local.
• Čuvanje servisne lozinke u običnom tekstu u skripti. Skripte u direktorijumima u koje korisnici mogu da pišu može da pročita svako.

Ako si zaključao svaki nalog, i dalje možeš da dobiješ pristup preko kartice "Console" u panelu na /hosting/vds/m/<id> u režimu "Screen". Administratorska lozinka izdata pri kreiranju uvek je dostupna na kartici "Access".