Как запустить программу от имени другого пользователя

Запуск программы от имени другого пользователя

Бывают ситуации, когда требуется запустить какую-либо программу от имени другого пользователя. Не важно, почему это понадобилось, главное – как это сделать быстро, тихо, и без шума. В этом нам поможет как обычная команда меню, так и специализированная команда runas, о чем и рассказывается в этой статье.

Самый простой способ запустить программу от имени другого пользователя – это стандартное контекстное меню, но с небольшой хитростью.

А именно, нам необходимо щелкнуть на файле программы правой кнопкой мыши, но с предварительной зажатой клавишей <Shift>. В результате, в открывшемся меню появится команда Запуск от имени другого пользователя.

Теперь достаточно ввести имя и пароль искомого пользователя, после чего щелкнуть на кнопке ОК.

Внимание: учтите, что запустить программу с другой учетной записи можно лишь в том случае, если эта учетная запись имеет пароль. В противном случае, ничего не выйдет.

Предположим, нам необходимо регулярно запускать программу от имени другого пользователя. Каждый раз зажимать <Shift> мне лень. Поэтому давайте создадим ярлык.

Нажмите и удерживайте нажатой клавишу <Alt>. Теперь, не отпуская кнопки, перетащите значок файла программы в то место, где нужно создать ярлык, скажем, в другую папку или на рабочий стол.

Теперь щелкните на ярлыке правой кнопкой мыши и выберите команду Свойства. Нам нужно поле Объект, в котором следует ввести вот такую команду:

Как видно из скриншота, мы задействуем команду runas. Именно она используется для запуска программ с правами другой учетной записи. Вместо фразы “учетная_запись”(см. пример над скриншотом) следует ввести имя другой учетной записи, с правами которой программа и будет запускаться. Наконец, вместо “программа” следует ввести имя программы либо команды для запуска.

Внимание: если имя пользователя из двух слов с пробелом между ними, то в команде имя нужно закрыть кавычками. Например, имя пользователя пушистик без кавычек либо “супер пушистик” – соответственно, с кавычками.

В том случае, если программа для запуска не находится в системной папке, то путь к ней также нужно указать в кавычках. Системные папки – это папки Windows, Program Files, Documents and Settings.

А вот какая нужная команда для использования учетной записи администратора, для чего к значению “user” следует указать один из двух вариантов:

У команды runas есть и другие интересные параметры, не поленитесь их узнать, выполнив в командной строке следующую команду:

Как видите, ничего сложного – просто как пряник. Или бывают сложные пряники? Хороший вопрос.

Как в Windows 11 запускать приложения от имени другого пользователя

Являясь многопользовательской ОС, Windows 11 позволяет запускать приложения от имени другого пользователя. Это означает, что если у вас более одной учетной записи пользователя, вы можете запустить какое-то приложение под разными учетными данными. Это может быть полезно, когда вам нужно быстро применить некоторые ограничения к приложению или запретить ему доступ к вашим личным данным.

Будучи запущенным от имени другого пользователя, приложение, скрипт или установщик будут работать с теми же правами, ограничениями и разрешениями, которые есть у этого пользователя. Они не будут использовать данные учётной записи пользователя, в которой вы в данный момент работаете. Такой подход делает возможным запуск нескольких экземпляров одного и того же приложения, работающих под разными учетными данными на одном рабочем столе.

Существует четыре способа запустить приложение от имени другого пользователя в Windows 11. Для этого вы можете использовать параметры, доступные в проводнике, на панели задач, в меню «Пуск» и в командной строке.

Запуск от имени другого пользователя в Windows 11

Чтобы запустить приложение от имени другого пользователя в Windows 11, выполните следующие действия.

1. Откройте проводник ( Win + E ) и перейдите в папку, содержащую исполняемый файл приложения.
2. Нажмите и удерживайте клавишу Shift на клавиатуре, и щёлкните правой кнопкой мыши исполняемый файл.
3. Кликните «Показать дополнительные параметры», чтобы открыть расширенное контекстное меню. Клавишу Shift можно отпустить.
4. Нажмите «Запуск от имени другого пользователя» в контекстном меню.
5. Введите имя пользователя и пароль для пользователя, от имени которого вы хотите работать.

Готово. Приложение запустится под предоставленными учетными данными другого пользователя.

Существует еще несколько способов запуска исполняемого файла, скрипта или установщика под разными учетными данными.

Запуск от имени другого пользователя из контекстного меню панели задач

1. Щелкните правой кнопкой мыши значок приложения на панели задач. Это может быть закрепленное или запущенное приложение.
2. Нажмите и удерживайте клавишу Shift .
3. Удерживая Shift , щелкните правой кнопкой мыши имя приложения в контекстном меню, чтобы увидеть дополнительные пункты меню.
4. Отпустите клавишу Shift и нажмите «Запуск от имени другого пользователя».

Примечание. Этот метод не работает для Проводника, вне зависимости от того, закреплен ли его значок на панели задач, или же он запущен вданным момент. Команда «Запуск от имени» недоступна для значка Проводника на панели задач в любом случае.

Наконец, Windows 11 включает консольное приложение «runas», которое позволяет запускать приложения с использованием разных учетных данных. Вот как его использовать.

Запуск от имени другого пользователя в Windows 11 из командной строки

1. Щелкните правой кнопкой мыши кнопку «Пуск» на панели задач и выберите «Терминал Windows» в контекстном меню.
2. Выберите PowerShell или командную строку, если Терминал открывается в другом профиле.
3. Введите следующую команду и нажмите Enter . runas /user:»username» «Полный путь к exe-файлу» .
4. Замените имя пользователя фактическим именем учетной записи пользователя, от имени которого вы хотите работать. Если это учетная запись домена, используйте формат Имя домена\Имя пользователя.
5. Также, если вы хотите сохранить введенные учетные данные для использования в будущем, выполните команду runas /user:»username» /savecred «Полный путь к exe-файлу» ​. Windows сохранит пароль в диспетчере учетных данных и не будет запрашивать его в следующий раз.

В дополнение к рассмотренным выше методам вы также можете добавить команду «Запуск от имени другого пользователя» в меню «Пуск». Он появится в контекстном меню ярлыков в представлении «Все приложения».

Для этого в Windows 11 есть групповая политика. Вы можете активировать её с помощью тике реестра или в gpedit.msc. Первый вариант работает во всех выпусках Windows 11. Второй доступен только в Windows 10 Pro и выше.

Как включить «Запуск от имени» для меню «Пуск»

Чтобы включить параметр «Запуск от имени другого пользователя» в меню «Пуск» в Windows 11, выполните следующие действия.

1. Скачайте ZIP-архив по этой ссылке.
2. Извлеките из него REG файлы в любую папку.
3. Дважды щелкните файл Add_Run_as_ Different_user_for_Start_menu.reg , чтобы включить параметр для ярлыков меню «Пуск».
4. Подтвердите приглашение UAC, нажав кнопку «Да».
5. Выйдите из Windows 11 или просто перезагрузите компьютер, чтобы изменения вступили в силу.

Готово. Файл для отмены этого изменения — Remove_Run_as_ Different_user_for_Start_menu.reg . Используйте его для восстановления значений по умолчанию.

Если вы используете Windows 10 Pro или более позднюю версию, вместо этого вы можете использовать редактор локальной групповой политики.

Метод групповой политики

1. Нажмите Win + R и введите gpedit.msc в поле «Выполнить», затем нажмите Enter .
2. Перейдите в «Конфигурация пользователя» > «Административные шаблоны» > «Пуск и панель задач».
3. Найдите команду «Показать «Запуск от имени другого пользователя» в политике «Пуск»» справа и дважды щелкните ее.
4. Выберите «Включено», чтобы добавить команду «Запуск от имени другого пользователя» в контекстное меню ярлыков в «Пуск».
5. В любое время вы можете выбрать опцию «Не задано» для этой политики, чтобы скрыть команду, как это было по умолчанию.

Готово. Теперь команда доступна для ярлыков меню «Пуск». Вот как использовать запуск от имени другого пользователя из меню «Пуск»

Запуск от имени другого пользователя из меню Пуск

1. Откройте меню «Пуск».
2. Нажмите на кнопку «Все приложения«.
3. Найдите ярлык приложения для своего приложения и щелкните его правой кнопкой мыши.
4. Выберите «Дополнительно» > «Запуск от имени другого пользователя».
5. Заполните текстовые поля имени пользователя и пароля и нажмите клавишу Enter .

Наконец, если вы часто используете контекстное меню «Запуск от имени другого пользователя», вас быстро надоест необходимость держать клавишу Shift каждый раз, когда кликаете на меню «Показать дополнительные параметры».

Чтобы сэкономить ваше время, вы можете сделать его всегда видимым в расширенном контекстном меню в разделе «Показать дополнительные параметры».

Примечание: Вы не сможете добавить пункт «Запуск от имени другого пользователя» в стандартное «компактное» контекстное меню. Оно не настраивается. Команда появится только в классическом меню.

Всегда показывать Запуск от имени другого пользователя в контекстном меню

1. Нажмите Win + R , чтобы открыть диалоговое окно «Выполнить»; введите regedit и нажмите Enter, чтобы открыть редактор реестра.
2. На левой панели перейдите к ключу HKEY_CLASSES_ROOT\exefile\shell\runasuser .
3. Справа удалите значение Extended (пустое текстовое значение).
4. Теперь удалите тот же текстовый параметр в следующих разделах:
   • HKEY_CLASSES_ROOT\cmdfile\shell\runasuser
   • HKEY_CLASSES_ROOT\batfile\shell\runasuser
   • HKEY_CLASSES_ROOT\mscfile\shell\runasuser
   • HKEY_CLASSES_ROOT\Msi.Package\shell\runasuser
5. Команда «Запуск от имени другого пользователя» теперь всегда будет видна в варианте меню «Показать дополнительные параметры».

Чтобы отменить это изменение, просто заново создайте удаленный параметр «Extended» под соответствующими ключами.

Чтобы автоматизировать этот процесс, вы можете использовать следующие готовые файлы реестра.

Файл Always_show_Run_as_ Different_user.reg позволяет отображать команду напрямую, не удерживая клавишу Shift для элемента «Показать дополнительные параметры». Второй REG файл отменит это изменение.

Однако иногда вы можете захотеть добиться противоположного эффекта и скрыть команду «Запуск от имени другого пользователя» для всех пользователей. Для этого вам нужно применить немного другой твик реестр. Давайте рассмотрим его для полноты картины.

Удалить контекстное меню «Запуск от имени другого пользователя» для всех пользователей

1. Откройте редактор реестра (regedit.exe).
2. Перейдите к следующему ключу HKEY_CLASSES_ROOT\cmdfile\shell\runasuser.
3. Щелкните правой кнопкой мыши ключ runasuser слева и выберите в меню «Создать» > «Строковое значение».
4. Назовите новое значение «ProgrammaticAccessOnly» и оставьте его значение пустым.
5. Теперь повторите шаги 2-4 в этих разделах:
   • HKEY_CLASSES_ROOT\cmdfile\shell\runasuser
   • HKEY_CLASSES_ROOT\batfile\shell\runasuser
   • HKEY_CLASSES_ROOT\mscfile\shell\runasuser
   • HKEY_CLASSES_ROOT\Msi.Package\shell\runasuser
6. Запись «Запуск от имени другого пользователя» теперь удалена для всех пользователей.

Готово. Значение ProgrammaticAccessOnly указывает проводнику скрыть элемент контекстного меню от пользователя, не нарушая работу приложений или Windows. Скрытая команда остается доступной для приложений, если некоторым из них требуется доступ к ней.

Чтобы вернуть скрытую команду контекстного меню, просто удалите созданное вами значение ProgrammaticAccessOnly.

Чтобы сэкономить ваше время, я подготовил пару REG-файлов на этот случай.

Файл Remove_Run_as_ Different_user_from_context_menu.reg​ скроет пункт меню. Другой файл, Add_Run_as_ Different_user_from_context_menu.reg ​, восстановит команду в контекстном меню.

��Узнавайте о новых статьях быстрее. Подпишитесь на наши каналы в Telegram и Twitter.

Судя по тому, что вы читаете этот текст, вы дочитали эту статью до конца. Если она вам понравилась, поделитесь, пожалуйста, с помощью кнопок ниже. Спасибо за вашу поддержку!

Вы здесь: Главная страница » Windows » Windows 11 » Как в Windows 11 запускать приложения от имени другого пользователя

Публикации по теме

Автор: Сергей Ткаченко

Сергей Ткаченко создал этот сайт в далёком 2009 году, и с тех пор продолжает над ним работать, публикуя новые материалы о Windows и её приложениях практически каждый день. Посмотреть все записи автора Сергей Ткаченко

Запуск от имени другого пользователя

В операционных системах Windows существует возможность находясь под учетной записью пользователя, произвести запуск исполняемого файла от имени другого пользователя. Причин для такого запуска много и как правило это нужно осуществить в короткие сроки, так что сразу к важному.

Статья поделена на:

Запуск от имени другого пользователя в проводнике Windows

Пожалуй, это самый простой и быстрый способ открытия исполняемого файла, либо ярлыка с рабочего стола, а также с любого другого места, находящегося на локальном компьютере, или в сетевой папке через протокол SMB.

1. C зажатой клавишей Shift правой кнопкой мыши ( ПКМ ) щелкаем на нужный объект и в открывшемся меню выбираем «Запуск от имени другого пользователя» в английской локализации Windows будет «Run as different user».
2. В выскочившем окне вбиваем имя и пароль учетной записи, от которой следует произвести запуск. Если пароля у учетной записи не существует, то произвести запуск не получится .

Чтобы не заниматься лишней писаниной и выяснением имени компьютера, можно просто вбить .\UserName

В этом случае будет произведен запуск от имени локального пользователя UserName.

Для доменных пользователей используйте формат DomainName\UserName, либо UserName@DomainName

Запуск через утилиту Runas

Запустить исполняющий файл от имени другого пользователя возможно с помощью интерпретатора командной строки, через «Выполнить», либо просто через ярлык, воспользовавшись утилитой runas.

Пример запуска калькулятора через приложение «Выполнить»:

( Win + R ) + runas /user:”UserName с пробелами вводится обязательно в кавычках” calc.exe + Enter

Пример создания ярлыка для запуска для запуска оснастки Active Directory Users and Computers:

1. ПКМ – Создать – Ярлык
2. В отрывшемся окне пишем:

Для того, чтобы утилита не спрашивала каждый раз перед запуском объектов пароль, можно добавить параметр /savecred в строку после runas. Пароль в этом случае запишется в Диспетчере учетных данных Windows. Пользоваться параметром /savecred не безопасно , особенно если сохранять данные привилегированного пользователя.

Если оснастка Active Directory Users and Computers не запускается, то возможно она просто не установлена с пакетом RSAT. Подробно ознакомиться, как установить пакет RSAT и запустить средства удаленного администрирования Active Directory в Windows 10 узнаете по ссылке.

Запуск от имени другого пользователя в меню Пуск

До Windows 10 в меню пуск существовала возможность, не прибегая ни к каким манипуляциям осуществить запуск от имени другого пользователя. Открытие приложения осуществлялось ПКМ с выбором соответствующего задаче параметра. В Windows 10 для отображения контекстного меню с такими параметрами, необходимо:

1. ( Win + R ) + gpedit.msc + Enter
2. Проследовать Конфигурация пользователя -> Административные шаблоны -> Меню «Пуск» и панель задач.
3. Найти “Показывать команду «Запуск от имени другого пользователя» при запуске”.
4. Найденному параметру групповой политике задать состояние «Включено».
5. ( Win + R ) + gpupdate /force + Enter

Второй способ для отображения контекстного меню «Запуск от имени другого пользователя» в меню «Пуск» Windows 10 – воспользоваться редактором реестра:

1. ( Win + R ) + regedit + Enter
2. Зайти в раздел HKEY_CURRENT_USER \ Software \ Policies \ Microsoft \ Windows \ Explorer
3. Параметру ShowRunAsDifferentUserInStart поменять значение на 1.
4. Перезагрузить компьютер.

После пункт «Запуск от имени другого пользователя» появляется в «Дополнительно», а необходимость нажимать Shift пропадает.

Проблема использования RunAs на серверах

В этой статье я подробно расскажу о проблемах, с которыми столкнётся каждый системный администратор, использующий в своей работе возможность запуска программ от имени другого пользователя, в большинстве случаев от имени администратора. Если вы — тот самый сисадмин, прочитайте её внимательно, скорее всего вам требуется срочная смена своего пароля.

Зачем это вообще нужно? Бывают ситуации, когда пользователю с ограниченными правами требуется выполнить программу, которой для выполнения специфической работы требуются повышенные права. Например, программисту нужно предоставить возможность завершать определённые процессы бухгалтерской программы, некоторым пользователям из бухгалтерии требуется возможность переключать ключи безопасности в интерактивном режиме и так далее. Часть этих задач можно выполнять неинтерактивно, при этом несколько страдает удобство, поскольку пользователь не видит интерфейс программы и может разве что получить системное сообщение о завершении работы программы, об этом способе подробно рассказал мой коллега Вадим Стеркин в своём блоге: Как выполнять задачи с полными правами обычным пользователем без ввода пароля администратора. Способ отличный для своих задач, в моей же статье речь пойдёт о рисках и безопасности выполнения интерактивных программ от имени других пользователей, где полной автоматизации достичь нельзя и есть необходимость взаимодействия с интерфейсом.

Самое важное, что должен уяснить администратор — из запущенной программы с повышенными правами не должно быть возможности запустить другую произвольную программу, поскольку права автоматически наследуются. Прежде чем вообще планировать создавать ярлык для запуска, следует самостоятельно убедиться, что в программе нет окон открытия других файлов или запуска справки с собственной программой обработки, где дополнительно можно вызвать диалог открытия других файлов справки, и тому подобные в данном случае уязвимости, которые позволят пользователю запустить произвольную программу с правами администратора. Ещё пример — программа при определённых или редких обстоятельствах открывает логи в блокноте, а уже там есть диалог открытия других файлов, вот и готовая уязвимость. То есть целевая программа должна быть изучена администратором вдоль и поперёк (а ещё лучше — написана самостоятельно), чтобы пользоваться ей было действительно безопасно.

RunAs из коробки

В системе есть родная утилита runas, позволяющая выполнять задачу запуска от другого имени, однако пользоваться ей нужно осторожно и в целях безопасности её нельзя применять для запуска программ с повышенными привилегиями, но можно наоборот — администратору запускать программы с правами обычного пользователя, хотя технически возможны оба варианта. Почему так? Параметр /savecred позволяет сохранить пароль для пользователя, от имени которого запускается программа, в профиле пользователя, который запускает программу. Однако этот же сохранённый пароль RunAs использует и для запуска любых других программ, запуск которых может инициировать пользователь, у которого сохранён пароль.

Рассмотрим это на примере: у нас есть Admin с правами администратора, User1 с необходимостью запуска программы от имени администратора, и все остальные пользователи, которые эту программу запускать не должны, назовём их условно User2, а тестовая программа — калькулятор (calc). Когда администратор хочет запустить программу от имени пользователя для проверки или из планировщика, он может сохранить пароль User1 в своём профиле, выполнив команду «runas /savecred /user:User1 calc», ввести пароль User1 и в дальнейшем для этой команды пароль запрашиваться не будет, но также он не будет запрашиваться и для других программ, помимо калькулятора. При этом User2, который выполнит у себя эту же команду, столкнётся с необходимостью ввода пароля для User1, поскольку в его профиле этот пароль заранее не сохранён. Такой сценарий допустим и безопасен, ведь администратор и так имеет полные права. Однако если мы выполним команду «runas /savecred /user:Admin calc» от имени User1 и введём пароль администратора, User1 сможет запускать любые программы от имени администратора, что полностью разрушает модель безопасности.

Вывод — использовать родной runas в составе системы для повышения прав на постоянной основе (с сохранением пароля) категорически нельзя, эта уязвимость должна быть очевидна каждому сисадмину. Да и без сохранения пароля вводить пароль администратора под ограниченным пользовательским сеансом не рекомендуется, если там заранее не были предприняты меры предосторожности, которые не позволяют запускать произвольные программы (SRP, AppLocker), иначе пользователь может запросто перехватить пароль. А мы переходим к неочевидным уязвимостям.

AdmiLink и его армия

Попыток преодолеть небезопасность стандартного runas предпринято множество, тысячи их. Самые известные — AdmiLink, CPAU, Encrypted RunAs и другие. Всех их объединяет конечный способ запуска, который мы разберём далее. В целом алгоритм работы этих программ такой: берём имя и пароль пользователя, от имени которого будет выполняться запуск целевой программы (как правило с правами администратора), добавляем к нему путь и контрольную сумму исполняемого файла (чтобы его нельзя было подменить на произвольный), и всю эту информацию дико шифруем, чтобы расшифровать могла только авторская программа, и желательно только на том же компьютере. Проблема в том, что вся эта защита не имеет никакого смысла, поскольку имя и пароль администратора можно перехватить тогда, когда он уже будет расшифрован. Дополнительная проблема в том, что авторы этих программ об этом не подозревают и убеждают системных администраторов в безопасности своих разработок:

Так вот, AdmiLink — это очень неплохой «кирпич» в системе защиты, задачей которого является БЕЗОПАСНЫЙ ЗАПУСК программ. Безопасный запуск означает, что:

Пользователь сможет запускать нужную программу с нужными правами.

Пользователь не сможет узнать пароль Администратора через ярлык запуска.

Пользователь не сможет запустить не разрешенную Администратором программу, даже подменив исполняемый файл или командную строку в ярлыке.

admilink.ru/admilink.htm#NotProtected

Как работает RunAs и аналоги

Этот момент хорошо разобрал Mick Grove в своей статье Capturing credentials from ‘Encrypted RunAs’ software ещё в 2013 году. Он заметил, что любой подобный софт не изобретает велосипед, а использует для запуска программ от имени другого пользователя стандартную функцию CreateProcessWithLogonW, которой в качестве параметров нужно передавать логин и пароль в открытом виде. А это в свою очередь означает, что запросы к функциям можно перехватить и просто прочитать их параметры, получив на руки логин и пароль администратора. Для мониторинга здесь использовалась бесплатная программа API Monitor, и что самое важное, для её запуска не нужны права администратора, она отлично работает в пользовательском пространстве, поскольку обращение к функции CreateProcessWithLogonW происходит именно в контексте пользователя, а уже сама функция осуществляет запуск процесса с заданными учётными данными, что и следует из её названия.

Получение учётных данных администратора происходит по следующей цепочке:

Пользователь с ограниченными правами запускает ярлык, в котором хорошо зашифрованы данные для запуска программы.

RunAs или его аналоги проверяют корректность шифра и целостность программы, затем извлекают данные и в открытом виде передают их функции CreateProcessWithLogonW.

В это же время API-мониторинг перехватывает данные, переданные функции в качестве параметров, чем делает бессмысленным шифрование пароля и полностью компрометирует учётные данные администратора.

Всё пропало?

Какие меры нужно принять, если на вашем сервере использовался такой способ запуска программ для пользователей? В первую очередь нужно поменять пароли администраторов и провести аудит системы, не было ли взлома с использованием этой уязвимости. Если у вас был запрещён запуск всех посторонних программ, это слегка снижает градус проблемы, но только слегка — нужно убедиться, что пользователям не были доступны для записи те папки, из которых им был разрешён запуск программ, а добраться до них можно разными способами: кроме проводника, где доступ к ФС можно ограничить твиками, как минимум в систему встроены командная строка и PowerShell, запретить их запуск ограниченным пользователям тоже нужно было заранее. Имея же учётные данные администратора на руках, пользователь уже не ограничен ничем и все данные на таком сервере следует считать скомпрометированными. Помните, что безопасность сервера это комплексная мера, и она достигается суммой правильно настроенных параметров, многие из которых здесь не упомянуты.

Есть ли альтернативы?

Они как бы и есть, и их как бы нет. На данный момент мне известно об одной — RunAsRob, которая использует другой метод: вместо запуска программы от имени другого пользователя она по заранее сформированному списку разрешённых программ временно выдаёт права администратора запускаемой программе посредством службы, работающей от имени системы. Благодаря такому подходу исключается утечка учётных данных, а разграничивать доступ к целевым программам нужно NTFS-правами. На данный момент я не могу её рекомендовать, так как она платная и глючная, однако за неимением других в крайнем случае можно использовать эту. Для неинтерактивных программ однозначно лучше использовать планировщик с вызовом по событию в журнале.

В вышеупомянутой статье дополнительно указывается Just Enough Administration (JEA), однако моё исследование этого инструмента показало, что им не получится пользоваться полноценно для интерактивного запуска приложений с окнами — так как процессы запускаются от имени другого виртуального администратора, то окна программ не будут видны для текущего пользователя. JEA может помочь в организации запуска автоматических скриптов и просмотра вывода результатов консольных программ, это определённо информативнее планировщика, но для работы с оконными приложениями не годится.

Можно ли запретить в системе мониторинг API для ограниченных пользователей и этим решить проблему перехвата системных функций — на данный момент мне не известно. Если вам есть что добавить к этой статье, оставьте свой комментарий.

P. S. RestAdmin — концепция безопасного Run As Admin (решение было разработано после этой статьи).