對于全新的Windows Vista，人們談?wù)撟疃嗟膬?nèi)容之一就是它新增的用戶帳戶控制（User Account Control ，UAC）安全機制。在正式出臺前，這一功能曾經(jīng)擁有過多種名字和縮寫，比如受限用戶帳戶（Limited User Account/LUA）以及用戶帳戶保護（User Account Protection/UAP）等。在本文中，我們將討論UAC的必要性，它的工作方式，以及如何配置它，以便讓我們工作起來更順利。
UAC的必要性
UAC主要用來解決用戶以管理員身份登錄的問題。由于有些系統(tǒng)功能或程序需要以管理員的身份操作，因此很多用戶（包括IT專家）平時都會以管理員身份登錄系統(tǒng)，這給系統(tǒng)安全帶來了相當多的問題。微軟在以往的操作系統(tǒng)中也試圖解決這一問題，因此提供了二次登錄功能（"run as"功能），但是大多數(shù)用戶依然采用管理員帳戶進行登錄和日常工作。
那么總是以管理員身份操作系統(tǒng)，會給系統(tǒng)帶來什么危害呢？這將給系統(tǒng)安全帶來巨大的風險，當系統(tǒng)被惡意軟件感染后，惡意軟件會具有與登錄用戶權(quán)限一致的特權(quán)。如果此時用戶是以管理員身份登錄的，那么惡意軟件將具有最大的破壞力。傳統(tǒng)的應(yīng)對方式并不可取：如果強制用戶以普通用戶身份登錄，那么很多正常的系統(tǒng)或程序功能在該用戶的權(quán)限狀態(tài)下將無法使用。
對于這一問題，Vista采用了兩種方式來解決。對于常用的功能，比如安裝打印機驅(qū)動、創(chuàng)建VPN連接，或者是進行Windows系統(tǒng)的升級，將不再需要用戶以管理員權(quán)限登錄系統(tǒng)進行操作了。另一種更完善的方式就是UAC。UAC可以讓用戶以管理員身份登錄，但是會以普通用戶權(quán)限執(zhí)行大部分操作，當用戶試圖執(zhí)行一些需要較高權(quán)限的操作時，系統(tǒng)才會提升用戶的操作權(quán)限。
UAC是如何工作的
UAC的一個基本任務(wù)就是將需要特權(quán)的任務(wù)從“普通”任務(wù)中提取出來，這樣，用戶就可以以普通用戶的權(quán)限執(zhí)行大部分任務(wù)，而以更高的權(quán)限執(zhí)行特殊任務(wù)。
在UAC下，登錄過程與以往的操作系統(tǒng)有了重大的改變。當用戶以管理員帳戶登錄時，會同時獲得管理員訪問令牌和普通用戶訪問令牌。普通用戶訪問令牌可以用來啟動Explorer.exe（所有用戶初始化進程的父進程，這些進程會繼承Explorer.exe的訪問令牌權(quán)限）。這意味著所有的程序?qū)⒁云胀ㄓ脩魴?quán)限進行工作，除非UAC對某個程序進行權(quán)限提升。當管理帳號被設(shè)定為Administrator Approval Mode模式時，系統(tǒng)會按以上描述工作。
Administrator Approval Mode是一種防護機制，可以防止用戶在以管理員帳號登錄后無意間在系統(tǒng)中植入惡意軟件，從而使惡意軟件具備了管理員權(quán)限。在這種模式下，用戶雖然以管理員帳戶登錄，但是仍然是按照普通用戶的權(quán)限執(zhí)行大多數(shù)操作，除非某一程序需要用戶以管理員權(quán)限進行操作，用戶的權(quán)限才會被提升。當這種情況發(fā)生，UAC會彈出一個對話框，詢問用戶是否提升權(quán)限，如圖A所示。
不過，雖然有Administrator Approval Mode，與以普通用戶帳號登錄系統(tǒng)相比，以管理員身份登錄系統(tǒng)的安全性還是要低一些。因為當用戶以普通用戶身份登錄系統(tǒng)后，一旦某個程序需要提升權(quán)限才能運行，用戶必須要在UAC對話框中輸入管理員帳號和密碼才能確認提升權(quán)限。而當用戶以管理員帳號登錄后，遇到同樣的問題，只需要點擊“繼續(xù)”按鈕就可以了。這使得用戶很少對可能引發(fā)的安全威脅進行考慮，從而降低了這一機制的實際效果。
提示:雖然UAC可以幫助用戶防止惡意軟件獲得更高的破壞力，但是用戶仍然需要通過反病毒程序以及反惡意軟件程序確保系統(tǒng)安全，并且要經(jīng)常更新這類安全軟件。
通過文件備份或計算機備份窗口的盾形圖標，Vista可以幫助用戶確認哪些功能或操作是需要提升權(quán)限才能完成的（如圖B所示）。需要注意的是，恢復(fù)備份內(nèi)容的按鈕并沒有盾形圖標，所以也就不需要提升權(quán)限。
在Vista之前的系統(tǒng)中，包含一個叫做“Power Users”的用戶權(quán)限，用戶以這種權(quán)限登錄系統(tǒng)，可以執(zhí)行安裝打印機驅(qū)動或者安裝系統(tǒng)軟件等工作。而在UAC下，用戶不再需要這種超級用戶的模式了，但是為了向后兼容以往的Windows系統(tǒng)，Vista依然保留了這一權(quán)限等級。如果用戶需要在Vista中使用Power Users用戶組，則需要修改默認的注冊表許可權(quán)限和系統(tǒng)文件夾權(quán)限，使其與Windows XP的權(quán)限設(shè)置一致，并將其應(yīng)用到安全模板上。
在Vista中，管理員不再需要在普通帳號和管理員帳號間反復(fù)登錄，也不需要像前幾個操作系統(tǒng)那樣采用Run As方式實現(xiàn)不同權(quán)限級別的操作。因為Admin Approval Mode不但可以提升操作權(quán)限，還可以將管理權(quán)限降低到普通用戶級別。
在默認情況下，當UAC對話框出現(xiàn)時，用戶桌面的其它部分均轉(zhuǎn)換為灰色，同時也不會響應(yīng)用戶的任何操作，這迫使用戶只能對UAC進行操作。這種模式叫做Secure Desktop Mode，它可以防止其它程序（比如在用戶不知情的情況下運行的惡意軟件）與權(quán)限提升相互作用。
| 共3頁: 1 [2] [3] 下一頁 | ||
|
