Как понизить права локального администратора в Windows 7?

Question

[Павел]

Здравствуйте

Ставил ОС лет 5 назад и по советам тогдашних статей активировал встроенную учетную запись супер администратора и сделал ее своей.

Сейчас осваиваю Linux (только чтобы использовать для виртуалки при изучении yii2) и понял, что сидеть под супер администратором (root) – это плохо.

Создавал нового юзера, вносил его в группу администраторов. Удалял свою учетную запись из администраторов – ошибка на подобии «данная встроенная запись не может быть удалена из этой группы».

Что делать, чтобы перестать быть админом, но весь софт работал?

Comments

[landergate]

Если какой-либо из ответов помог, его можно отметить "Решением". =)

[Павел]

landergate: Здравствуйте. Сорри. Я долго был далеко от того ПК. А сейчас перешел с АМД Фенома на ксеон 2011. И что-то система стала долго грузится на ССД.

Думаю над переустановкой системы и не поставить ли виндовс 10. Но напрягает слежка и обновления без моего желания

[landergate]

Павел: Странно, скорость загрузки с SSD не может зависеть от CPU. Может на новой материнской плате выключён Fast Boot в BIOS, пропускающий все проверки RAM и прочего?

У Windows 10 можно выключить автоприменение обновлений, а также найти выключалки/твикеры, отключающие телеметрию, или посылающие левые данные в неё.

[Павел]

landergate: windows долго висит на экране приветствия. В общем сейчас нужно портфолио обновить, чтобы найти работу в новом городе после переезда (и уволиться с текущей вне ИТ). И буду думать над переустановкой. Поставлю пока windows 10 на виртуалке.

Пишут, что всю слежку отключить нельзя

[Павел]

Обновился до вин 10. Проверить решения не смогу :(

Если кто-то проверит, отпишитесь - я помечу решением

Answer 1

[landergate]

Включить UAC и поднять его уровень контроля.
Весь софт будет спрашивать доступ на административные операции.

Можно изменить поведение (напр.: запрашивать пароль) на все административные операции:
Откройте оснастку локальных групповых политик, выполнив: gpedit.msc
В ней:
Local Computer Policy > Windows Settings > Security Settings > Local Policies > Security Options

А там:

• Run all administrators in Admin Approval Mode
  
• Behaviour of the elevation prompt for administrators in Admin Approval Mode
  

Ещё можно попробовать скопировать профиль в нового пользователя с более низкими правами, чтобы и пользоваться ПК не под администратором, и сохранить при этом профиль.
Лучше сделать резервную копию, прежде чем экспериментировать.

1. Создайте ещё одного пользователя, добавив его в группу администраторов.
   
2. Зайдите под созданным пользователем.
   
3. Панель управления -> Система -> Дополнительные параметры системы -> Профили пользователей.
   
4. Выберите профиль локального администратора и нажмите "Копировать..."
   

Comments

[Павел]

Поставил UAC на 3-й уровень. Пароля на учетке нет. Я единственный юзер ПК

Я не могу сменить тип своей учетки, потому что я "Встроенная учетная запись админитсратора". Описал это в вопросе.

[landergate]

Павел: Работа от администратора - тоже самое, что пытаться форсить sudo для root. У root и так все права уже есть.
Другими словами, использовать встроенную учётку "Администратор" за основную - моветон. К ней обращаются для обслуживания.

Попробуйте создать себе новый профиль со своим именем. Так работают в корпоративной среде - все сотрудники работают исключительно от своего имени, не имея повышенных привилегий. При этом, когда нужно, они жмакают "запуск от имени администратора" и просят местное IT ввести админский пароль.

[Павел]

landergate: я знаю это. Поэтому и хочу как-то понизить свою учетку. Новая не вариант. Тогда часть настроек и т д делать заново

[landergate]

Павел: Апдейтнул пост вариантом про копирование профиля. Вдруг всё перенесётся корректно?

[Ethril]

landergate: У встроенного Администратора ровно также, как и у остальных, работает UAC. И лишают юзеров админских прав на компе далекоо не везде в корпоративной среде.

[landergate]

Ethril:
> У встроенного Администратора ровно также, как и у остальных, работает UAC
В домене - да, но у локальных администраторов вне домена, насколько я понимаю, по умолчанию нет, поэтому нужны доп. манипуляции в локальных политиках.

> И лишают юзеров админских прав на компе далекоо не везде в корпоративной среде.
Безусловно, но и сидят в этих компаниях пользователи не под учёткой "Administrator", если там практикуется хоть сколько-нибудь маломальское разграничение доступа или управление конфигурациями.

Павел:
Включив UAC и настроив локальные политики по примеру в ответе, у вас должны перестать выполняться без подтверждения какие-либо административные операции.
Например 'sfc --help' у вас не должен выполняться до тех пор, пока вы не откроете командную строку, кликнув "от имени администратора".

[Ethril]

landergate:
>но у локальных администраторов вне домена, насколько я понимаю, по умолчанию нет
По умолчанию - да.

>но и сидят в этих компаниях пользователи не под учёткой "Administrator", если там практикуется хоть сколько-нибудь маломальское разграничение доступа или управление конфигурациями.
Есть разные подходы. Например такой - пофиг на самом деле, кто под кем сидит, какие права имеет и что вообще куролесит на своём ноуте. Доменные ресурсы предоставляются по доменной учётной записи. Каким образом юзер с ней аутентифицируется на сервере - неважно. Штатным ли образом, или снёс нафиг корпоративную винду, поставил убунту и ходит на шару самбой+керберосом с AD-шной учёткой. Ессно, отдел ИТ нештатные системы не поддерживает. Но и не препятствует. Трахайся с ней сам, коли шибко умный. Если надоест - ИТ-отдел быстро и без шума перезальёт винду на штатный корпоративный образ.

[landergate]

Ethril:
> По умолчанию - да.
Вот прямо сейчас проверил, встроенная учётная запись администратора по умолчанию всё выполняет в обход всяких UAC:
https://storage.sbg1.cloud.ovh.net/v1/AUTH_e473c1c...
Кажется, это обычное поведение для _встроенной_ учётной записи администратора. Регулировать его можно групповыми политиками.

> Есть разные подходы.
Сомнений нет: если управление над самими компами не нужно и пользователи хотя бы мало-мальски самостоятельны - их рабочие станции не обязательно полностью заводить в домен. Ваш подход по-своему удобен в некоторых средах.
Я не пытался пропагандировать AD. Я описал best practice про то, как обычно используется (а точнее - не используется) _встроенная_ учётка администратора. Это чисто сервисный аккаунт. Разумеется, его можно использовать за основной профиль, но многих нежелательных нюансов не миновать - с одним из них столкнулся Павел. Благо, локальные политики всё-же позволяют изменить это поведение.

[landergate]

Павел:
Расскажите: изменение локальных политик помогло пресечь выполнение админских операций без подтверждения прав?