Người dùng và quyền trong Windows Server

Máy của bạn đi kèm một tài khoản quản trị viên duy nhất. Làm việc dưới tài khoản đó mọi lúc là một thói quen xấu: bất kỳ sai sót hay tệp độc hại nào cũng ngay lập tức có toàn quyền kiểm soát. Hãy tách vai trò ngay từ đầu.

Tạo người dùng

$pw = Read-Host -AsSecureString "Password"
New-LocalUser -Name "app" -Password $pw -FullName "Application Service" -PasswordNeverExpires
Add-LocalGroupMember -Group "Users" -Member "app"

Cho phép người dùng đăng nhập qua Remote Desktop:

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "app"

Trên image tiếng Anh, các nhóm này có tên là Users và Remote Desktop Users. Một cách làm phổ quát là tham chiếu chúng bằng định danh: Get-LocalGroup | Where-Object SID -like "*-555" cho nhóm RDP.

Để xem ai đang ở trên máy và ai thuộc nhóm quản trị viên:

Get-LocalUser | Select-Object Name, Enabled, LastLogon
Get-LocalGroupMember Administrators

Quyền trên thư mục

Hãy cấp quyền truy cập vào các thư mục thay vì thêm vào nhóm quản trị viên. Ví dụ: cấp cho người dùng app toàn quyền truy cập vào thư mục riêng của nó và quyền chỉ đọc vào thư mục dùng chung.

icacls "C:\apps\myapp" /grant "app:(OI)(CI)M" /T
icacls "C:\shared" /grant "app:(OI)(CI)R" /T
icacls "C:\apps\myapp"          # view current permissions

Giải mã: M — sửa đổi, R — đọc, F — toàn quyền kiểm soát, (OI)(CI) — kế thừa cho tệp và thư mục con, /T — áp dụng cho nội dung hiện có.

Tài khoản dịch vụ

Một dịch vụ truy cập ra internet hoặc xử lý tệp được tải lên không nên chạy dưới LocalSystem. Lựa chọn tốt nhất là một tài khoản được quản lý:

New-Service -Name myapp -BinaryPathName "C:\apps\myapp\myapp.exe" -StartupType Automatic
sc.exe config myapp obj= "NT SERVICE\myapp" password= ""

Đơn giản hơn và gần như an toàn tương đương là các tài khoản tích hợp sẵn NT AUTHORITY\LocalService và NT AUTHORITY\NetworkService với quyền chỉ được cấp cho những thư mục chúng cần.

Chính sách mật khẩu

net accounts /minpwlen:14 /maxpwage:unlimited
net accounts /lockoutthreshold:5 /lockoutduration:30

Khóa tài khoản sau năm lần thử thất bại đặc biệt quan trọng nếu RDP có thể truy cập từ bên ngoài — xem Bảo vệ RDP để biết chi tiết.

Những sai lầm thường gặp

• Làm việc dưới quyền quản trị viên mọi lúc. Hãy tạo một tài khoản thông thường cho chính bạn và chỉ nâng quyền khi cần thiết.
• Thêm người dùng vào nhóm quản trị viên để nó "cứ thế mà chạy". Chín trên mười lần, thứ bạn thực sự cần là quyền truy cập vào một thư mục duy nhất hoặc quyền "Log on as a service" (secpol.msc → Local Policies → User Rights Assignment).
• Vô hiệu hóa tài khoản quản trị viên tích hợp sẵn mà không xác minh đăng nhập thứ hai. Trước tiên hãy chắc chắn rằng tài khoản mới thực sự có thể đăng nhập qua RDP, và chỉ sau đó mới chạy: Disable-LocalUser -Name adm-local.
• Lưu mật khẩu dịch vụ dưới dạng văn bản thuần trong một script. Các script trong thư mục mà người dùng có thể ghi vào thì ai cũng có thể đọc được.

Nếu bạn đã khóa mọi tài khoản, bạn vẫn có thể truy cập thông qua tab "Console" trong bảng điều khiển tại /hosting/vds/m/<id> ở chế độ "Screen". Mật khẩu quản trị viên được cấp khi tạo luôn có sẵn trên tab "Access".