3 какие встроенные группы пользователей предусмотрены в операционной системе microsoft windows 7

Обновлено: 07.07.2024

Учётная запись пользователя – это запись, которая содержит сведения, необходимые для идентификации пользователя при подключении к системе, а также информацию для авторизации и учёта. Это имя пользователя и пароль (или другое аналогичное средство аутентификации — например, биометрические характеристики). Пароль или его аналог, как правило, хранится в зашифрованном или хэшированном виде (в целях его безопасности).

Для повышения надёжности могут быть, наряду с паролем, предусмотрены альтернативные средства аутентификации — например, специальный секретный вопрос (или несколько вопросов) такого содержания, что ответ может быть известен только пользователю. Такие вопросы и ответы также хранятся в учётной записи.

Учётная запись может содержать следующие дополнительные анкетные данные о пользователе:

Конкретные категории данных, которые могут быть внесены в такую анкету, определяются администраторами системы.

Учётная запись может также содержать одну или несколько фотографий или аватар пользователя. Учётная запись пользователя также может учитывать различные статистические характеристики поведения пользователя в системе: давность последнего входа в систему, продолжительность последнего пребывания в системе, адрес использованного при подключении компьютера, интенсивность использования системы, суммарное и (или) удельное количество определённых операций, произведённых в системе, и так далее.

Создание учетных записей пользователей

В операционной системе Windows 7 можно создавать несколькими способами как учетные записи пользователей для компьютеров, состоящих в рабочих группах, так и учетные записи пользователей для компьютеров, которые входят в состав домена. Домены, рабочие группы и домашние группы представляют разные методы организации компьютеров в сети. Основное их различие состоит в том, как осуществляется управление компьютерами и другими ресурсами.

Рабочая группа – это группа компьютеров, подключенных к сети, которые совместно используют ресурсы. При настройке сети операционная система Windows автоматически создает рабочую группу и присваивает ей имя по умолчанию.

Домен — это группа компьютеров одной сети, имеющих единый центр, использующий единую базу пользователей, единую групповую и локальную политики, единые параметры безопасности, ограничение времени работы учётной записи и прочие параметры, значительно упрощающие работу системного администратора организации, если в ней эксплуатируется большое число компьютеров.

Создание учетных записей пользователей для компьютеров, состоящих в рабочей группе

В операционной системе Windows 7 для компьютеров, которые состоят в рабочей или домашней группе, учетные записи можно создавать следующими способами:

Создание учетной записи при помощи диалога «Управление учетными записями пользователей»

Для того чтобы создать учетную запись при помощи диалога «Учетные записи пользователей», нужно сделать следующее:

В этом диалоге, можно выбрать одну из двух типов учетных записей: «обычные учетные записи пользователей», которые предназначены для повседневной работы или «учетные записи администратора», которые предоставляют полный контроль над компьютером и применяются только в необходимых случаях.

Создание учетной записи при помощи диалога «Учетные записи пользователей»

Доступный через панель управления диалог «Управление учетными записями пользователей» имеет очень серьезное ограничение: оно предлагает на выбор только учетные записи типа Обычный доступ или Администратор. Для того чтобы при создании нового пользователя его можно было поместить в какую-либо определенную группу, нужно сделать следующее:

Воспользоваться комбинацией клавиш +R для открытия диалога «Выполнить»;
В диалоговом окне «Выполнить», в поле «Открыть» введите control userpasswords2 и нажмите на кнопку «ОК»;

В следующем списке перечислены 15 встроенных групп операционной системы Windows 7. Эти права назначаются в рамках локальных политик безопасности:

Создание учетной записи при помощи оснастки «Локальные пользователи и группы»

Оснастка «Локальные пользователи и группы» расположена в компоненте «Управление компьютером», представляющем собой набор средств администрирования, с помощью которых можно управлять одним компьютером, локальным или удаленным. Оснастка «Локальные пользователи и группы» служит для защиты и управления учетными записями пользователей и групп, размещенных локально на компьютере. Можно назначать разрешения и права для учетной записи локального пользователя или группы на определенном компьютере (и только на этом компьютере).

Использование оснастки «Локальные пользователи и группы» позволяет ограничить возможные действия пользователей и групп путем назначения им прав и разрешений. Право дает возможность пользователю выполнять на компьютере определенные действия, такие как архивирование файлов и папок или завершение работы компьютера. Разрешение представляет собой правило, связанное с объектом (обычно с файлом, папкой или принтером), которое определяет, каким пользователям, и какой доступ к объекту разрешен.

Для того чтобы создать локальную учетную запись пользователя при помощи оснастки «Локальные пользователи и группы», нужно сделать следующее:

Откройте оснастку «Локальные пользователи и группы» одним из следующих способов:
- Нажмите на кнопку «Пуск» для открытия меню, откройте «Панель управления» и из списка компонентов панели управления выберите «Администрирование», затем откройте компонент «Управление компьютером». В «Управлении компьютером» откройте «Локальные пользователи и группы»;
- Открыть «Консоль управления MMC». Для этого нажмите на кнопку «Пуск», в поле поиска введите mmc, а затем нажмите на кнопку «Enter». Откроется пустая консоль MMC. В меню «Консоль» выберите команду «Добавить или удалить оснастку» или воспользуйтесь комбинацией клавиш Ctrl+M. В диалоге «Добавление и удаление оснасток» выберите оснастку «Локальные пользователи и группы» и нажмите на кнопку «Добавить». Затем нажмите на кнопку «Готово», а после этого - кнопку «ОК». В дереве консоли откройте узел «Локальные пользователи и группы (локально)»;
- Воспользоваться комбинацией клавиш +R для открытия диалога «Выполнить». В диалоговом окне «Выполнить», в поле «Открыть» введите lusrmgr.msc и нажмите на кнопку «ОК»;
Откройте узел «Пользователи» и либо в меню «Действие», либо из контекстного меню выбрать команду «Новый пользователь»;

Для того чтобы добавить пользователя в группу, дважды щелкните имя пользователя для получения доступа к странице свойств пользователя. На вкладке «Членство в группах» нажмите на кнопку «Добавить».

В диалоге «Выбор группы» можно выбрать группу для пользователя двумя способами:

Создание учетной записи при помощи командной строки

Помимо вышеперечисленных способов, учетные записи пользователей можно создавать, изменять и удалять при помощи командной строки. Для этого нужно выполнить следующие действия:

Запустите командную строку от имени администратора;
Для создания учетной записи при помощи командной строки используйте команду net user.

Команда net user используется для добавления пользователей, установки паролей, отключения учетных записей, установки параметров и удаления учетных записей. При выполнении команды без параметров командной строки отображается список учетных записей пользователей, присутствующих на компьютере. Информация об учетных записях пользователей хранится в базе данных учетных записей пользователей.

/add – этот параметр указывает, что необходимо создать новую учетную запись;

/passwordreq – этот параметр отвечает за то, чтобы при первом входе в систему пользователь сменил свой пароль;

/times – этот параметр определяет, сколько раз пользователю разрешено входить в систему. Здесь можно указывать как единичные дни, так и целые диапазоны (например Sa или M-F). Для указания времени допускается как 24-часовый формат, так и 12-часовый формат;

/fullname – этот параметр идентичен полю «Полное имя» при создании пользователя предыдущими способами.

Создание учетных записей пользователей для компьютеров, состоящих в домене

В серверной операционной системе Windows Server 2008 или Windows Server 2008 R2 в домене Active Directory учетные записи пользователей можно создавать шестью способами. Рассмотрим подробно каждый из них:

Создание пользователей при помощи оснастки «Active Directory – пользователи и компьютеры»

Для создания нового пользователя в домене при помощи оснастки «Active Directory – пользователи и компьютеры» нужно сделать следующее:

Открыть оснастку «Active Directory – пользователи и компьютеры»;
В дереве консоли разверните узел, предоставляющий домен и найдите контейнер, в котором нужно создать учетную запись пользователя;
Нажмите на подразделение или контейнер правой кнопкой мыши, выберите опцию «Создать» и примените команду «Пользователь»;
В диалоговом окне «Новый объект - пользователь» введите в поле «Имя» - имя пользователя, в поле «Инициалы» - его инициалы, в поле «Фамилия» - фамилию пользователя. Поле «Полное имя» должно заполниться автоматически, согласно CN пользователя. В поле «Имя входа» введите имя входа пользователя в систему и в раскрывающемся списке выберите суффикс основного имени пользователя, который будет прикреплен к имени входа с символом @. В поле «Имя входа пользователя (пред-Windows 2000)» введите имя входа для систем, предшествующих Windows 2000, так называемое низкоуровневым именем входа. Нажать на кнопку «Далее».

Создание пользователей с помощью командной строки

Для автоматизации создания любых объектов в домене Active Directory можно использовать команду DSADD USER UserDN, при помощи которой можно создавать объекты пользователей и принимать параметры, указывающие его свойства. Нового пользователя при помощи командной строки можно создать следующим образом:

Определение используемых параметров:

Samid – указывает имя входа пользователя;

Pwd – этот параметр определяет пароль для учетной записи пользователя. Если указывать символ *, то будет предложено ввести пароль пользователя;

Mustchpwd – указывает, что пользователь должен изменить свой пароль при следующем входе в систему;

Profile – указывает путь к профилю учетной записи пользователя;

Fn – указывает имя пользователя;

Ln – указывает фамилию пользователя;

Display – указывает отображаемое имя пользователя;

Upn – указывает имя входа пользователя (пред-Windows 2000).

Импорт пользователей с помощью команды CSVDE

Утилита командной строки CSVDE позволяет импортировать и экспортировать объекты Active Directory в виде текстового файла с разделенными запятыми (Comma-Separated Values, *.csv). Эти файлы можно создавать и изменять при помощи таких программ, как Блокнот или, например, Microsoft Office Excel. Эта утилита - способ автоматизации создания учетных записей пользователя на основе информации пользователей из базы данных Excel и Microsoft Office Access. Команда импортирует текстовый файл, в котором строка определяет атрибуты импорта с помощью их имен LDAP. Синтаксис команды следующий:

Параметр i указывает режим импорта, а параметр k используется для игнорирования ошибок.

CSV файл должен выглядеть следующим образом:

Импортировать пароли при помощи команды CSVDE нельзя.

Импорт пользователей с помощью команды LDIFDE

При помощи команды LDIFDE также можно импортировать и экспортировать объекты Active Directory. В данном случае используется стандарт файлового формата LDIF (Lightweight Directory Access Protocol Data Interchange Format). Этот файловый формат состоит из блока строк, которые вместе образуют одну операцию. Разные операции разделяются пустой строкой. Каждая строка содержит имя атрибута, а после него должно стоять двоеточие со значением атрибута. Далее можно увидеть листинг LDIF файла:

Файл можно создавать в такой программе как Блокнот, но сохранять его нужно с расширением *.ldf. в командной строке введите следующее:

Создание пользователей с помощью Windows PowerShell

При помощи Windows PowerShell для создания пользователя в Active Directory пользователя можно создать следующим образом:

Подключитесь к контейнеру, в котором будет создан объект;
Примените метод Create совместно с классом и отличительным именем RDN;
Заполните атрибуты при помощи метода Put;
Подтвердите изменения при помощи метода SetInfo.

Далее можно увидеть листинг скрипта PowerShell - *.ps1-файла:

Можно вводить все строки вручную, а можно использовать *.ps1-файлы для автоматизации создания новых пользователей. Для того, чтобы разрешить Windows PowerShell открывать скрипты, введите следующую команду:

Set-ExecutionPolicy RemoteSigned

Политика выполнения указывает сценарии, которые можно запускать. После назначения политики выполнения можно запустить сценарий, но если указывать для запуска только имя сценария, то может возникнуть ошибка. Чаще всего нужно будет указывать еще и путь к самому сценарию.

Создание пользователей с помощью VBScript

В связи с тем, что VBScript также как и Windows PowerShell использует интерфейс ADSI для манипулирования объектами в Active Directory, процесс создания пользователя в VBScript идентичен созданию пользователя в Windows PowerShell. Прежде всего, сценарий подключается к контейнеру OU, в котором будет создан пользователь. После чего сценарий применит к объекту ADSI инструкцию GetObject. При присвоении объекта переменной, для создания объектной ссылки используется инструкция Set.

После этого активизируется метод Create для создания объекта конкретного класса так же, как и в PowerShell. Далее используется метод Put, но аргументы заключаются в круглые скобки. Последняя строка – идентична Windows PowerShell. Пример скрипта:

Заключение

В этой части статьи рассказывается об учетных записях пользователя. Учётная запись пользователя – это запись, которая содержит сведения, необходимые для идентификации пользователя при подключении к системе, а также информацию для авторизации и учёта. Были рассмотрены методы создания локальных учетных записей пользователей и пользователей домена. В следующей части статьи будут рассмотрены методы управления учетными записями пользователей, а также управления учетными данными для автоматического входа при помощи компонента «Диспетчер учетных данных».

Статья опубликована в рамках конкурса "Наш выбор - Windows 7!". Оригинальный стиль автора сохранен.

Windows предусматривает возможность работы за одним ПК сразу несколько человек, причем каждый из пользователей может иметь разные права доступа. Кто-то имеет возможность менять настройки сети, пользоваться удаленным доступом, другой будет лишен таких привилегий. Все зависит от того, в какую группу входят эти люди.

Чтобы регулировать возможности разной категории пользователей, необходимы специальные группы Windows. Они нужны для настройки прав доступа к конкретным возможностям системы.

Изменение прав доступа

Чтобы изменять права доступа пользователей, в Windows предусмотрено 2 инструмента. Это консоль Управление компьютером и Редактор локальной групповой политики. С их помощью вы можете добавлять пользователей в ту или иную группу, а также исключать их оттуда.

Для добавления пользователя через Управление компьютером необходимо выполнить определенную последовательность операций. Сначала кликните правой кнопкой мыши по значку Мой компьютер. Затем выберите Управление/Локальные пользователи и группы/Группы. Далее выберите необходимую группу и откройте ее. После этого откроется окно, в котором вам следует выбрать «Добавить». В следующем окне, которое появится, задайте имя пользователя для включения в эту группу. При необходимости вы можете воспользоваться функцией «Проверить имена». Выбрав одного или нескольких пользователей, нажмите ОК.

Если вы хотите удалить пользователя из группы, делать нужно практически то же самое. Только вместо пункта «Добавить» вам надо будет нажать на «Удалить».

Для изменения прав доступа через Редактор локальной групповой политики вам нужно сначала открыть его через меню «Выполнить». Нужный вам файл называется gpedit.msc. Далее выбирайте Конфигурация компьютера/Конфигурация Windows/Параметры безопасности/Локальные политики/Назначение прав пользователей. Выберите подходящую вам политику с правами доступа, нажмите «Добавить» и «Задать имя пользователя». Сам процесс добавления и удаления пользователя происходит по аналогии с такими же действиями через Управление компьютером.

Между двумя способами настроек прав доступа существует заметная разница. Консоль дает обширные права и запреты. Здесь даются общие положения, а мельчайшие тонкости и детали не учитываются. Локальные политики работают по иному принципу. Пользователь может настроить права доступа с учетом каждой мелочи. Например, это может быть даже возможность изменения времени и часового пояса. Получается, что пользователь может выбрать любой из двух подходов, которые являются совершенно разными. Это дает определенную вариативность в настройках.

Список групп

Приведем список основных групп пользователей Windows. Сюда могут быть включены и другие группы, но мы ограничимся приведенным ниже перечнем.

Это основные группы, которые могут встречаться практически на всех ПК с операционной системой Windows. Однако этих групп может быть гораздо больше. Часто можно встретить деление на группы Администраторы, Пользователи, Гости.

Учетная запись пользователя может входить в несколько групп. Создавать собственные группы, а также добавлять и удалять пользователей можно с помощью учетной записи администратора.

- Изучение организации доступа и управления правами пользователей в операционной системе Windows XP.

- Реализация атаки типа "Троянский конь" в дискреционной модели доступа.

5.4. Этап 2. Реализация атаки типа "Троянский конь" в дискреционной модели доступа.

Модели дискреционного доступа обладают рядом недостатков. В частности, в системах на их основе существует проблема троянских программ (троянских коней). Под троянской программой следует понимать любую программу, выполняющую нежелательное или неожиданное действие.

Авторы троянских программ рассчитывают на то, что пользователь сам запустит одну из них, не предполагая о существующей угрозе. Запущенная от имени пользователя-жертвы программа может передать информацию пользователю-нарушителю, который, не обладая достаточными правами доступа, не смог бы ее заполучить легально.

5.4.1. Штатными средствами ОС создать модель условной защищаемой системы. Модель должна включать:

- два каталога, соответствующих различным уровням секретности (например, SECRET и NONSEC);

R - право на чтение

W - право на запись

Z - право на запуск программ

5.4.2. Пользователю User_A создать файл Secret.txt в каталоге SECRET.

(остальные файлы так же создал User_A)

5.4.3. Пользователю User_B сделать попытку прочитать файл Secret.txt в каталоге SECRET. В соответствии с правами пользователю User_B должно быть отказано в доступе. Результат зафиксировать в отчете.

5.4.4. Написать троянскую программу с безобидным названием, например, Igrushka.exe и поместить ее в каталог NONSEC. Данную программу можно реализовать с помощью скрипта или командного файла.

Основные функции программы Igrushka.exe:

- чтение файла Secret.txt из каталога SECRET;

- запись файла Secret.txt в каталог NONSEC.

Блок-схему алгоритма работы программы поместить в отчет.

Напишем несколько строк в блокноте и сохраним в папку NONSEC как Ne nazhimat’.bat:

Echo off – отключение режима отображения команд на экран

Copy (какой файл\файлы копировать куда копировать и как назвать) – копирование всех файлов из папки SECRET в NONSEC без изменения названия

Cls – очистка командной строки (чтобы очистить результаты после команды copy)

Pause – закрытие командной строки после нажатия клавиши, а не сразу после выполнения команд

Вот так выглядит результат:

echo off – маскирует команды

cls – маскирует результат копирования

Т.О. результат деятельности программы остается незамеченным

5.4.5. Пользователю User_B запустить программу Igrushka.exe. В соответствии с правами пользователю User_B должно быть отказано в доступе. Результат зафиксировать в отчете.

5.4.6 Пользователю User_A запустить программу Igrushka.exe. Убедиться, что копирование файла Secret.txt в каталог NONSEC произведено, так как оно не противоречит маске прав пользователя User_A.

Таким образом, содержимое секретного файла Secret.txt становится известным пользователю, не имеющему прав на доступ к ней.

Атака завершена и останется незамеченной, если действия троянца будут замаскированы. (за это отвечают команды echo off и cls)

5.4.7. Поместить в отчет вывод, содержащий предложения по противодействию атаке.
6. Контрольные вопросы

6.1. Какие встроенные учетные записи предусмотрены в операционной системе Microsoft Windows XP?

6.2. Какие встроенные группы пользователей предусмотрены в операционной системе Microsoft Windows XP?

Администраторы, опытные пользователи, пользователи, гости

6.3. Как создать новую учетную запись?

Пуск->панель управления->учетные записи пользователей->создать новую учетную запись

Панель управления -> Производительность и обслуживание -> Администрирование -> Управление компьютером :

- открыть компонент «Управление компьютером»;

- в дереве консоли выбрать компонент «Локальные пользователи и группы -> Пользователи»

- в окне со списком пользователей нажать правую кнопку мыши и в появившемся меню выбрать команду Новый пользователь

6.4. Как создать новую локальную группу?

- открыть компонент «Управление компьютером»;

- в дереве консоли выбрать компонент «Локальные пользователи и группы->Группы»

- в окне со списком групп нажать правую кнопку мыши и в появившемся меню выбрать команду Создать группу

6.5. В чем заключается угроза раскрытия информации? Какие еще угрозы Вы знаете?

Угроза раскрытия информации заключается в получении доступа к этой информации лицом, у которого нет на это прав.

6.6. Что такое дискреционная модель доступа?

Избирательное управление доступом (англ. discretionary access control, DAC) — управление доступом субъектов к объектам на основе списков управления доступом или матрицы доступа.

При разграничении доступа по спискам для каждого пользователя задается список ресурсов и прав доступа к ним или для каждого ресурса задается список пользователей их прав доступа к данному ресурсу.

При запросе пользователем доступа идет сравнение по списку, куда он имеет доступ. Если данная запись существует, то доступ будет получен.

В матрице, или как ее еще называют, таблице полномочий строками являются идентификаторы пользователей, имеющих доступ в систему, а столбцами - ресурсы вычислительной системы. Каждая ячейка таблицы для заданного пользователя и ресурса может содержать следующую информацию:

- размер предоставляемого ресурса

- имя компонента предоставляемого ресурса

- код, определяющий права доступа к ресурсу

- ссылку на другую информационную структуру, задающую права доступа к ресурсу

- ссылку на программу, регулирующую права доступа к ресурсу.

В данном случае при запросе доступа информация сравнивается с записью из таблицы.
6.7. Что такое мандатная модель доступа?

- разграничение доступа по уровням секретности и категориям.

Все информационные ресурсы (логические диски, каталоги, файлы, а также элементы баз данных) делятся на группы в соответствии с их уровнем секретности. Так же все информационные ресурсы вычислительной системы разделяются на группы в соответствии с категориями содержащихся в них данных.

Аналогично всем пользователям задается, с каким уровнем секретности они могут работать и с какими категориями данных.

Пользователь запрашивает доступ к ресурсу. Если его уровень секретности выше или равен уровню секретности ресурса, а также их категории совпадают, то пользователь получает доступ к ресурсу.

6.8. Раскройте понятие "троянский конь".

- разновидность вредоносной программы, проникающая в компьютер под видом легального программного обеспечения, в отличие от вирусов и червей, которые распространяются самопроизвольно.

В данную категорию входят программы, осуществляющие различные несанкционированные пользователем действия: сбор информации и её передачу злоумышленнику, её разрушение или злонамеренное изменение, нарушение работоспособности компьютера, использование ресурсов компьютера в неблаговидных целях.

Соблюдение конфиденциальности информации.
Выполнение процессов идентификации, аутентификации и авторизации

Не вызывать подозрений у пользователя, не выводить исполнение вредоносных процессов и их результат на монитор (в данной работе за это отвечают команды cls и echo off)

6.12. Расскажите о методах противодействия данной атаке.

Со стороны пользователя – «правила компьютерной гигиены» (не скачивать с непроверенных сайтов, не переходить по ссылкам в письме от незнакомцев и т.д.)

Со стороны администратора – уделять больше внимания разделению и разграничению доступа. Работать, отталкиваясь от принципа белого списка (запрещено все, что не разрешено).

Мы уже обсуждали возможности Windows по настройке прав доступа пользователей к определенным объектам. Данными объектами выступали папки или файлы. Соответственно, мы могли дать некоторым пользователям доступ к выбранным объектам, а некоторым запретить. Права доступа к файлам это одно, а вот как настроить права доступа к определенным компонентам и возможностям операционной системы Windows? Как одному пользователю разрешить пользоваться удаленным рабочим столом, а второму запретить изменять настройки сети или времени? Тут уже обычными правами доступа NTFS не обойтись.

Как изменить права доступа пользователя?

Консоль Управление компьютером.
Редактор локальной групповой политики.

Рассмотрим оба варианта.

Настройка групп пользователей Windows через консоль Управление компьютером

Как добавить пользователя в группу пользователей Windows:

Выполните клик правой кнопкой компьютерной мышки по пункту Мой компьютер.
В контекстном меню выберите пункт Управление.
В открывшемся окне раскройте узел Локальные пользователи и группы.
Выберите узел Группы.
В центральном окне выберите необходимую группу и откройте ее.
В открывшемся окне выберите пункт Добавить.
В следующем окне введите имя пользователя Windows, которого Вы хотите добавить в данную группу. При необходимости воспользуйтесь кнопкой Проверить имена.
После выбора пользователя или сразу нескольких пользователей, жмите кнопку ОК.

Как удалить пользователя из группы:

Проделайте первые 5 пунктов описанные выше.
В открывшемся окне выберите нужного пользователя и нажмите кнопку Удалить.
Нажмите ОК.

Работа с группами пользователей Windows в Редакторе локальной групповой политики

Как добавить/удалить пользователя в/из группу/группы пользователей WIndows:

Разница политик от консоли Управление компьютера в том, что они позволяют настроить права доступа по винтикам. Если группы пользователей Windows в Управлении компьютером имеют довольно обширные права и запреты, то политики позволяют настроить права пользователей Windows до такой мелочи, как возможность изменения времени или часового пояса.

Группы пользователей в Windows и их права доступа

А вот и долгожданный список основных групп пользователей Windows:

Данный список может быть намного шире. Тут приведены только основные группы пользователей Windows, которые встречаются практически на всех машинах под управлением операционной системы от Microsoft.

Читайте также: