Windows Serverలో వినియోగదారులు మరియు అనుమతులు

మీ మెషీన్‌లో ఒకే ఒక అడ్మినిస్ట్రేటర్ ఖాతా ఉంటుంది. ఎప్పుడూ దానితోనే పని చేయడం అలవాటుగా మారితే ప్రమాదం: ఏ చిన్న పొరపాటు లేదా హానికరమైన ఫైల్ వెంటనే పూర్తి నియంత్రణను పొందుతుంది. మొదటి నుంచే పాత్రలను వేరు చేయండి.

యూజర్‌ను సృష్టించండి

$pw = Read-Host -AsSecureString "Password"
New-LocalUser -Name "app" -Password $pw -FullName "Application Service" -PasswordNeverExpires
Add-LocalGroupMember -Group "Users" -Member "app"

Remote Desktop ద్వారా సైన్ ఇన్ చేయడానికి అనుమతించండి:

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "app"

ఇంగ్లీష్ భాషా ఇమేజ్‌పై ఈ గ్రూపులను Users మరియు Remote Desktop Users అని పిలుస్తారు. యూనివర్సల్ ఆప్షన్ ఏమిటంటే వాటిని ఐడెంటిఫైయర్‌తో సూచించడం: RDP గ్రూప్ కోసం Get-LocalGroup | Where-Object SID -like "*-555".

మెషీన్‌లో ఎవరు ఉన్నారు మరియు అడ్మినిస్ట్రేటర్లలో ఎవరు ఉన్నారు అని చూడటానికి:

Get-LocalUser | Select-Object Name, Enabled, LastLogon
Get-LocalGroupMember Administrators

ఫోల్డర్ అనుమతులు

అడ్మినిస్ట్రేటర్ సభ్యత్వం ఇవ్వడం కంటే డైరెక్టరీలకు యాక్సెస్ ఇవ్వండి. ఉదాహరణ: app యూజర్‌కు దాని స్వంత డైరెక్టరీకి పూర్తి యాక్సెస్ మరియు షేర్డ్ డైరెక్టరీకి రీడ్-ఓన్లీ యాక్సెస్ ఇవ్వండి.

icacls "C:\apps\myapp" /grant "app:(OI)(CI)M" /T
icacls "C:\shared" /grant "app:(OI)(CI)R" /T
icacls "C:\apps\myapp"          # view current permissions

వివరణ: M — మాడిఫై, R — రీడ్, F — పూర్తి నియంత్రణ, (OI)(CI) — ఫైల్స్ మరియు సబ్‌ఫోల్డర్లకు ఇన్హెరిటెన్స్, /T — ఇప్పటికే ఉన్న కంటెంట్‌కు వర్తించు.

సర్వీస్ ఖాతాలు

ఇంటర్నెట్‌కు కనెక్ట్ అయ్యే లేదా అప్‌లోడ్ చేసిన ఫైల్స్‌ను ప్రాసెస్ చేసే సర్వీస్ LocalSystemగా రన్ అవ్వకూడదు. ఉత్తమ ఆప్షన్ మేనేజ్‌డ్ ఖాతా:

New-Service -Name myapp -BinaryPathName "C:\apps\myapp\myapp.exe" -StartupType Automatic
sc.exe config myapp obj= "NT SERVICE\myapp" password= ""

సరళంగా మరియు దాదాపు అంతే సురక్షితంగా ఉండే బిల్ట్-ఇన్ NT AUTHORITY\LocalService మరియు NT AUTHORITY\NetworkService ఖాతాలకు అవసరమైన డైరెక్టరీలకు మాత్రమే అనుమతులు ఇవ్వండి.

పాస్‌వర్డ్ పాలసీ

net accounts /minpwlen:14 /maxpwage:unlimited
net accounts /lockoutthreshold:5 /lockoutduration:30

ఐదు విఫల ప్రయత్నాల తర్వాత లాకౌట్ అనేది RDP బయటి నుంచి అందుబాటులో ఉన్నప్పుడు ప్రత్యేకంగా ముఖ్యం — వివరాల కోసం RDP రక్షణ చూడండి.

సాధారణ పొరపాట్లు

• ఎప్పుడూ అడ్మినిస్ట్రేటర్‌గానే పని చేయడం. మీ కోసం ఒక సాధారణ ఖాతా సృష్టించుకోండి మరియు అవసరమైన చోట మాత్రమే మీ హక్కులను ఎలివేట్ చేయండి.
• "అలా పని చేస్తుంది" అనే ఉద్దేశంతో యూజర్‌ను అడ్మినిస్ట్రేటర్ల గ్రూప్‌లో చేర్చడం. పదిసార్లలో తొమ్మిదిసార్లు మీకు నిజంగా అవసరమైనది ఒకే ఫోల్డర్‌కు యాక్సెస్ లేదా "Log on as a service" హక్కు (secpol.msc → Local Policies → User Rights Assignment).
• రెండో లాగిన్‌ను ధృవీకరించకుండా బిల్ట్-ఇన్ అడ్మినిస్ట్రేటర్‌ను డిజేబుల్ చేయడం. ముందుగా కొత్త ఖాతా నిజంగా RDP ద్వారా సైన్ ఇన్ చేయగలదని నిర్ధారించుకోండి, ఆ తర్వాత మాత్రమే రన్ చేయండి: Disable-LocalUser -Name adm-local.
• సర్వీస్ పాస్‌వర్డ్‌ను స్క్రిప్ట్‌లో ప్లెయిన్ టెక్స్ట్‌లో నిల్వ చేయడం. యూజర్లు రాయగలిగే డైరెక్టరీలలోని స్క్రిప్ట్‌లను ఎవరైనా చదవగలరు.

మీరు ప్రతి ఖాతాను లాక్ అవుట్ చేసినా, ప్యానెల్‌లోని "Console" ట్యాబ్ ద్వారా /hosting/vds/m/<id> వద్ద "Screen" మోడ్‌లో యాక్సెస్ పొందవచ్చు. సృష్టించిన సమయంలో ఇచ్చిన అడ్మినిస్ట్రేటర్ పాస్‌వర్డ్ ఎప్పుడూ "Access" ట్యాబ్‌లో అందుబాటులో ఉంటుంది.