Windows Server میں یوزرز اور اجازتیں

آپ کی مشین کے ساتھ ایک ہی ایڈمنسٹریٹر اکاؤنٹ آتا ہے۔ ہر وقت اسی کے تحت کام کرنا ایک بری عادت ہے: کوئی بھی غلطی یا نقصان دہ فائل فوراً مکمل کنٹرول حاصل کر لیتی ہے۔ شروع ہی سے کرداروں کو الگ کریں۔

صارف بنائیں

$pw = Read-Host -AsSecureString "Password"
New-LocalUser -Name "app" -Password $pw -FullName "Application Service" -PasswordNeverExpires
Add-LocalGroupMember -Group "Users" -Member "app"

اسے ریموٹ ڈیسک ٹاپ کے ذریعے سائن اِن کرنے کی اجازت دیں:

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "app"

انگریزی زبان کی ایمیج پر، گروپس کو Users اور Remote Desktop Users کہا جاتا ہے۔ ایک عالمگیر طریقہ یہ ہے کہ انہیں شناخت کنندہ کے ذریعے حوالہ دیا جائے: RDP گروپ کے لیے Get-LocalGroup | Where-Object SID -like "*-555"۔

یہ دیکھنے کے لیے کہ مشین پر کون ہے اور کون ایڈمنسٹریٹرز میں شامل ہے:

Get-LocalUser | Select-Object Name, Enabled, LastLogon
Get-LocalGroupMember Administrators

فولڈر کی اجازتیں

ایڈمنسٹریٹر ممبرشپ کے بجائے ڈائریکٹریز تک رسائی دیں۔ مثال: صارف app کو اس کی اپنی ڈائریکٹری تک مکمل رسائی اور مشترکہ ڈائریکٹری تک صرف پڑھنے کی رسائی دیں۔

icacls "C:\apps\myapp" /grant "app:(OI)(CI)M" /T
icacls "C:\shared" /grant "app:(OI)(CI)R" /T
icacls "C:\apps\myapp"          # view current permissions

تشریح: M — ترمیم، R — پڑھنا، F — مکمل کنٹرول، (OI)(CI) — فائلوں اور ذیلی فولڈرز تک وراثت، /T — موجودہ مواد پر لاگو کریں۔

سروس اکاؤنٹس

وہ سروس جو انٹرنیٹ سے رابطہ کرتی ہے یا اپ لوڈ کی گئی فائلوں پر کارروائی کرتی ہے، اسے LocalSystem کے طور پر نہیں چلنا چاہیے۔ بہترین آپشن ایک منظم اکاؤنٹ ہے:

New-Service -Name myapp -BinaryPathName "C:\apps\myapp\myapp.exe" -StartupType Automatic
sc.exe config myapp obj= "NT SERVICE\myapp" password= ""

اس سے آسان اور تقریباً اتنا ہی محفوظ بلٹ اِن NT AUTHORITY\LocalService اور NT AUTHORITY\NetworkService ہیں، جنہیں صرف انہی ڈائریکٹریز کی اجازتیں دی جاتی ہیں جن کی انہیں ضرورت ہوتی ہے۔

پاس ورڈ پالیسی

net accounts /minpwlen:14 /maxpwage:unlimited
net accounts /lockoutthreshold:5 /lockoutduration:30

پانچ ناکام کوششوں کے بعد لاک آؤٹ خاص طور پر اہم ہے اگر RDP باہر سے قابل رسائی ہو — تفصیلات کے لیے RDP protection دیکھیں۔

عام غلطیاں

• ہر وقت ایڈمنسٹریٹر کے طور پر کام کرنا۔ اپنے لیے ایک عام اکاؤنٹ بنائیں اور اپنے حقوق صرف وہاں بڑھائیں جہاں ضرورت ہو۔
• صارف کو ایڈمنسٹریٹرز گروپ میں شامل کرنا تاکہ یہ "بس کام کرے"۔ دس میں سے نو بار، آپ کو درحقیقت صرف ایک فولڈر تک رسائی یا "Log on as a service" کا حق درکار ہوتا ہے (secpol.msc → Local Policies → User Rights Assignment)۔
• دوسرا لاگ اِن تصدیق کیے بغیر بلٹ اِن ایڈمنسٹریٹر کو غیر فعال کرنا۔ پہلے یقینی بنائیں کہ نیا اکاؤنٹ واقعی RDP کے ذریعے سائن اِن کر سکتا ہے، اور صرف اس کے بعد چلائیں: Disable-LocalUser -Name adm-local۔
• اسکرپٹ میں سروس کا پاس ورڈ سادہ متن میں محفوظ کرنا۔ ان ڈائریکٹریز میں موجود اسکرپٹس جن میں صارفین لکھ سکتے ہیں، کوئی بھی پڑھ سکتا ہے۔

اگر آپ نے ہر اکاؤنٹ کو لاک آؤٹ کر دیا ہے، تو بھی آپ /hosting/vds/m/<id> پر پینل کے "Console" ٹیب کے ذریعے "Screen" موڈ میں رسائی حاصل کر سکتے ہیں۔ تخلیق کے وقت جاری کردہ ایڈمنسٹریٹر پاس ورڈ ہمیشہ "Access" ٹیب پر دستیاب ہوتا ہے۔