3. Создание и управление учётными записями пользователей

3.1. Учётные записи пользователей

В Windows XP Professional используются три типа учетных записей пользователей: локальные учетные записи пользователей, учетные записи пользователей домена и встроенные учётные записи пользователей.

• Локальная учетная запись пользователя (local user account) позволяет начать сеанс на ком­пьютере и воспользоваться его ресурсами.

• Учетная запись пользователя домена (domain user account) позволяет войти в домен и воспользоваться сетевыми ресурсами.

• Встроенная учетная запись пользователя (built-in user account) позволяет выполнить административные задачи и воспользоваться локальными или сетевыми ресурсами.

Локальные учетные записи пользователей (local user accounts) определяются на локальном компьютере. Они обладают доступом только к локальному компьютеру и должны пройти аутентификацию, чтобы получить доступ к сетевым ресурсам. Эти записи создаются в оснастке Local users and groups (Локальные пользователи и группы).

Доменные учетные записи пользователей (domain user accounts) определяются в службе каталогов Active Direc­tory. Для получения доступа к ресурсам домена они вы­полняют разовый вход с предъявлением пароля. Эти за­писи создаются в оснастке Active Directory Users and Computers (Пользователи и компьютеры Active Directory).

Домен — в сетях Windows так называется группа компьютеров, использующих одну регистрационную базу данных. Регистрация, аутентификация и администрирование в домене выполняются централизованно. Учетная информация о пользователях централизованно хранится на главном контроллере домена (Primary Domain Controller, PDC). Эта информация может дублироваться на резервных кон­троллерах домена (Backup Domain Controller, BDC).

Когда пользователь регистрируется в XP(NT)-системе (независимо от того, рабочая это станция или сервер), запрос на регистрацию проверяется одним из контроллеров домена. Кроме того, пользователь может зарегистрироваться локально, используя учетную информацию, хранящуюся на той рабочей станции или на том сервере, к которым он хочет получить доступ.

Каждая учетная запись пользователя содержит имя, приме­няемое для входа в систему. В Windows XP такое имя состо­ит из двух частей:

• имя пользователя — текстовый идентификатор учетной записи;

• рабочая группа или домен — местоположение учетной записи.

Так, для пользователя STANEK, учетная запись которо­го создана в рабочей группе MICROSOFT, полное имя для входа в Windows XP - MICROSOFT\stanek. Пользователь STANEK вправе войти в систему своей локальной рабочей станции, состоящей в рабочей группе MICROSOFT, однако для по­лучения доступа к ресурсам домена ему нужно пройти аутен­тификацию (проверку подлинности) в домене.

В домене полное имя для входа в систему состоит из имени учетной записи и имени домена, разделённых символом @. Например, полное имя пользователя STANEK в домене tech-nology.microsoft.com - STANEK@technology.microsoft.com

При просмотре и назначении привилегий и разрешений в Windows XP применяются имена пользователей, однако главным отличительным параметром учетной записи является идентификатор безопасности (security identifier, SID).

SID – это уникальный код, генерируемый при создании учетной записи и состоящий из идентификатора безопасности группы или домена и уникального идентификатора пользователя.

Когда вы создаете имя пользователя, Windows XP связывает его c конкретным SID. После удаления учетной записи SID становится недействительным. Если позже создать запись с тем же именем, новый пользователь не получит привилегий и разрешений прежнего, так как у новой учетной записи другой SID.

Учетным записям пользователей можно сопоставлять определенные пароли и открытые сертификаты.

Пароль (pass­word) — это секретная строка аутентификации учетной за­писи.

Открытый сертификат (public certificate) — это фак­тически открытый ключ пользователя, подписанный полно­мочным центром сертификации. Для интерактивного входа в систему нужно ввести пароль, а для входа по смарт-карте — предъявить открытый сертификат.

При установке Windows XP создает несколько стандартных (встроенных) учетных записей пользователей.