Користувачі та права у Windows Server

Ваша машина постачається з одним адміністраторським акаунтом. Постійна робота під ним — погана звичка: будь-яка помилка або шкідливий файл одразу отримує повний контроль. Розділіть ролі від самого початку.

Створення користувача

$pw = Read-Host -AsSecureString "Password"
New-LocalUser -Name "app" -Password $pw -FullName "Application Service" -PasswordNeverExpires
Add-LocalGroupMember -Group "Users" -Member "app"

Дозвольте йому входити через Remote Desktop:

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "app"

На англомовному образі групи називаються Users і Remote Desktop Users. Універсальний варіант — звертатися до них за ідентифікатором: Get-LocalGroup | Where-Object SID -like "*-555" для групи RDP.

Щоб побачити, хто є на машині й хто належить до адміністраторів:

Get-LocalUser | Select-Object Name, Enabled, LastLogon
Get-LocalGroupMember Administrators

Дозволи на папки

Надавайте доступ до каталогів, а не членство в адміністраторах. Приклад: надайте користувачу app повний доступ до його власного каталогу й доступ лише для читання до спільного.

icacls "C:\apps\myapp" /grant "app:(OI)(CI)M" /T
icacls "C:\shared" /grant "app:(OI)(CI)R" /T
icacls "C:\apps\myapp"          # view current permissions

Розшифрування: M — змінення, R — читання, F — повний контроль, (OI)(CI) — успадкування файлами та підкаталогами, /T — застосувати до наявного вмісту.

Сервісні акаунти

Сервіс, який звертається до інтернету або обробляє завантажені файли, не повинен працювати як LocalSystem. Найкращий варіант — керований акаунт:

New-Service -Name myapp -BinaryPathName "C:\apps\myapp\myapp.exe" -StartupType Automatic
sc.exe config myapp obj= "NT SERVICE\myapp" password= ""

Простіші й майже такі самі безпечні вбудовані NT AUTHORITY\LocalService та NT AUTHORITY\NetworkService з дозволами, наданими лише до потрібних їм каталогів.

Політика паролів

net accounts /minpwlen:14 /maxpwage:unlimited
net accounts /lockoutthreshold:5 /lockoutduration:30

Блокування після п'яти невдалих спроб особливо важливе, якщо RDP доступний ззовні — див. Захист RDP.

Поширені помилки

• Постійна робота як адміністратор. Створіть для себе звичайний акаунт і підвищуйте права лише там, де це потрібно.
• Додавання користувача до групи адміністраторів, щоб "просто працювало". У дев'яти випадках із десяти насправді потрібен доступ до однієї папки або право "Вхід як служба" (secpol.msc → Local Policies → User Rights Assignment).
• Вимкнення вбудованого адміністратора без перевірки другого входу. Спершу переконайтеся, що новий акаунт справді може увійти через RDP, і лише потім виконайте: Disable-LocalUser -Name adm-local.
• Зберігання пароля сервісу у відкритому тексті в скрипті. Скрипти в каталогах, куди користувачі можуть писати, може прочитати будь-хто.

Якщо ви заблокували всі акаунти, доступ усе одно можна отримати через вкладку "Console" в панелі за адресою /hosting/vds/m/<id> у режимі "Screen". Пароль адміністратора, виданий під час створення, завжди доступний на вкладці "Access".