4.3 Облікові запису користувача

Основою захисту в системах сімейства Windows NT є можливість привласнювати шкіряному користувачу унікальний ідентифікатор — обліковий запис користувача. Обліковій запис визначається при введенні імені і пароля користувача при завантаженні системи. Потім система контролює, обмежує й забороняє доступ до ресурсів системи на підставі дозволів і прав, привласнених даному обліковому запису власником ресурсів чи системним адміністратором.

Крім звичайних облікових записів користувача система забезпечує ще два спеціальні облікові записи, за якими закріплений визначений набір дозволів і прав: обліковий запис адміністратора та обліковий запис гостя.

Обліковій запис адміністратора дає права на (весь комп'ютер). З ним можна створювати інші облікові записи користувачів і керувати комп'ютером. Для даного запису доступно багато функцій і прав системи, що не доступні для простих облікових записів.

Порада. Щоб було не так просто скористатися обліковим записом адміністратора, його варто перейменувати. Інформація про перейменування облікового запису міститься в розділі “Перейменування, видалення й позбавлення доступу до облікового запису”.

Обліковий запис гостя по можливості протилежний запису адміністратора. Він надає право нечастому чи випадковому користувачу ввійти в систему без пароля і використовувати можливості системи в дуже обмеженому обсязі. Рівень доступу для облікового запису гостя визначає адміністратор.

4.4 Групи користувачів

Групи дозволяють адміністратору створювати об'єднання користувачів, що мають однакові ступені доступу (під рівнями доступу маються на увазі й дозволи і права). Наприклад, якщо хто-небудь із працівників бухгалтерії має потребу в доступі до теки Платежі, адміністратор може створити групу, назвати її так чи інакше і надати групі доступ до потрібної теки. Якщо після цього адміністратор додасть усі облікові записи працівників бухгалтерії в створену групу, усі вони автоматично одержать доступ до теки.

Користувач може належати до однієї групи, до декількох груп і не належати ні до яких груп зовсім.

Групи є зручним інструментом адміністратора. Вони спрощують роботові з користувачами, які потребують той самий набір доступів до ресурсів.

Дозволи і права можна накопичувати, тобто, якщо користувач належить до декількох груп, він дістає права й дозволи, надані всім групам.

В системах сімейства Windows NT є набір готових стандартних груп (Рис. 4.1):

Рисунок 4.1 – Стандартні групи в системах сімейства Windows NT

Кожна стандартна група має визначені ступені доступу, закріплені за нею за замовчуванням. Адміністратори можуть використовувати групи в готовому вигляді, а можуть робити необхідні зміни. Нижче наведені характеристики готових груп.

Адміністратори. Ця група за замовчуванням включає обліковий запис адміністратора і володіє найбільшим з усіх груп контролем над системою. (Члени групи адміністраторів можуть надавати собі повноваження, не встановлені за замовчуванням.) Усі облікові записи даної групи автоматично одержують повноваження системних адміністраторів.

Хоча повноваження адміністраторів дуже великі, користувач все-таки може створити файл, до якого в адміністративної групи не буде доступу. Файлова система NTFS дозволяє забороняти доступ до файлів усім, в тому числі й адміністраторам. В цьому випадку адміністратор може одержати доступ до файлу, тільки привласнивши собі його авторство, а це спричиняє створення відповідного запису в панелі подій.

Досвідчені користувачі. Ця група включає тихий, хто має потребу в багатьох, але не в усіх, рівнях доступу, що є в групі адміністраторів. Досвідчені користувачі не мають права привласнювати авторство файлів, створювати архівні копії чи відновлювати файли, завантажувати й видаляти диски пристроїв чи керувати панелями безпеки. Однак, на відміну від звичайних користувачів, вони можуть створювати й видаляти файли, надані в загальне користування, створювати, керувати, видаляти й надавати в загальне користування локальні принтери й створювати локальних користувачів і групи.

Користувачі. Група користувачів є всеосяжною групою. Вона надає базовий рівень доступу до системи. Її учасники не можуть надавати теки в загальне користування чи створювати локальні принтери (тільки в тому випадку, якщо вони є ще і членами групи адміністраторів чи досвідчених користувачів). За винятком облікових записів адміністраторів і гостей, всі облікові записи користувачів за замовчуванням входять в групу користувачів. Велика частина користувачів належить саме до цієї групи і ніякої іншої.

Примітка. Якщо комп'ютер із системою сімейства Windows NT є частиною домену, група користувачів включає всіх користувачів глобальної групи користувачів домену. Це означає, що тій, хто попадає у вашу систему через мережа з іншого комп'ютера вашого домену, користується тими ж рівнями доступу, що і користувачі вашої системи.

Гості. Вбудований обліковий запис гостя є автоматичним членом групи гостей. Ті користувачі, що не часто використовують комп'ютер, також є кандидатами в групу гостей. Ступені доступу в тих, хто часто входити в систему (тобто звичайних учасників групи користувачів), набагато вище, ніж у групи гостей. Доступ у випадкових чи нечастих користувачів невеликий, що підвищує захист системи.

Оператори архіву. Члени цієї групи можуть створювати резервні (архівні) копії й відновлювати теки й файли, навіть ті, до яких у них в інших випадках немає дозволу. Вони також мають доступ до системи Windows Backup.

Реплікатор. Члени цієї групи можуть створювати копії файлів на доменах, робочих станціях і серверах.

Крім перерахованих, в системах сімейства Windows NT є кілька спеціальних системних груп. Система може контролювати членів цих груп; адміністратори не можуть стежити за тим, хто входить в ці групи, а хто — ні. Ці групи не відображені в Локальні користувачі і групи, але з'являються в інших списках груп, наприклад, в тих, які можна побачити при запиті дозволу на користування текою, яка надана в загальне користування, чи загальним принтером. Ось деякі з них:

- Всі. Ця група включає всіх, хто використовує комп'ютер, локальних і віддалених користувачів.

- Що пройшли перевірку. Підгрупа попередньої групи, що виключає гостей і тих користувачів, що використовують комп'ютер по мережі анонімно. За замовчуванням група ідентифікованих користувачів входить в групу користувачів.

- System. Безпосередньо ОС.

Інші групи системи розділяють користувачів по тому, як смороду приєднуються до системи: Interactive (Інтерактивні), Network (Мережа) і Dialup (Віддалений доступ).