Debugger users что за группа
Reviewing PCs in my work I found the following situation in some Pcs:
1. The local administrator belonging to group of user debuggers.
2. The Domain Administrator belonging to group of user debuggers
3. Sometimes the domain user using the PC belonging to user debuggers.
I researched the services of machines and all of them have a service called Machine Debug Manager located in C: \ Program Files \ Common Files \ Microsoft Shared \ VS7Debug \ mdm.exe. Machines do not have visual studio, but Office. The questions I have:
a) When you install Office XP, is this service automatically installed?
b) Is the user who installs the service, added to user debuggers or someone have to add it manually or automatically using scripts?
c) What sense does this group and what is the purpose that of the user? Can it be used for bad ways?
Administrators vs Debugger Users
Where are you seeing this "Debugger Users" group?
Michael Rucker
- Aug 18, 2006
- #3
Local Users and Groups
Where are you seeing this "Debugger Users" group?
Steven L Umbach
- Aug 18, 2006
- #4
Is the computer in question part of an Active Directory domain? Is the user
still a member of the administrators group when this happens? There is no
default group called "Debugger Users" group in Windows XP though an
administrator could have created that group or renamed another group to that
name.
Colin Nash [MVP]
- Aug 18, 2006
- #5
Is the computer in question part of an Active Directory domain? Is the
user still a member of the administrators group when this happens? There
is no default group called "Debugger Users" group in Windows XP though an
administrator could have created that group or renamed another group to
that name.
The group is created when you install Visual Studio.
"By default, installing Visual Studio .NET or the remote debugging
components adds you to the Debugger Users group, which enables you to
remotely access debugging components on other machines."
Steven L Umbach
- Aug 21, 2006
- #6
Thanks for that info. Most likely that would explain the behaviour for the
OP.
Advertisements
Michael Rucker
- Aug 21, 2006
- #7
Yes this system is part of of an AD Domian
Yes they are still members of Administrators
On all of these machines Visual Studio.NET is NOT installed.
Colin — please elaborate on your comment. Even if it was installed, how does
the group membership get changed from Administrators to Debugger Users? That
is the mystery.
Steven L Umbach
- Aug 21, 2006
- #8
Since they are part of an Active Directory domain I would expect that Group
Policy Restricted Groups is causing the group membership to change. You
could try running rsop.msc on one of the computers to see if it shows that
Restricted Groups is being used and what Group Policy is applying it. The
link below explains how Restricted Groups works. If you enable auditing of
account management on the affected computers and see that group membership
was changed by "system" that would also indicate Group Policy Restricted
Groups or possibly a Group Policy startup script.
Advertisements
Michael Rucker
- Aug 22, 2006
- #9
Thanks! I’ll take a look at this.
Since they are part of an Active Directory domain I would expect that
Group Policy Restricted Groups is causing the group membership to change.
You could try running rsop.msc on one of the computers to see if it shows
that Restricted Groups is being used and what Group Policy is applying it.
The link below explains how Restricted Groups works. If you enable
auditing of account management on the affected computers and see that
group membership was changed by "system" that would also indicate Group
Policy Restricted Groups or possibly a Group Policy startup script.
Ask a Question
Want to reply to this thread or ask your own question?
You’ll need to choose a username for the site, which only take a couple of moments. After that, you can post your question and our members will help you out.
Similar Threads
| Administrators changes to Debugger Users | 4 | Jun 30, 2005 |
| User Accounts Debugger? | 2 | Apr 10, 2004 |
| debugger user autochange | 5 | Sep 18, 2006 |
| Users set as Local Administrators group changes to "Debugger Users | 2 | Jul 18, 2005 |
| User account type changed to debugger (was Administrator) | 5 | Mar 2, 2005 |
| Administrator Password — not accessible | 1 | Feb 12, 2009 |
| User account goes from Administrators to Debugger Users? | 10 | Nov 27, 2007 |
| USERS group and NTFS permissions | 1 | Oct 12, 2006 |
- Forums
- Newsgroups
- Windows XP
- Windows XP Security
PC Review is a computing review website with helpful tech support forums staffed by PC experts. If you're having a computer problem, ask on our forum for advice.
Debugger users что за группа
Учётная запись может содержать следующие дополнительные анкетные данные о пользователе:
Конкретные категории данных, которые могут быть внесены в такую анкету, определяются администраторами системы.
Учётная запись может также содержать одну или несколько фотографий или аватар пользователя. Учётная запись пользователя также может учитывать различные статистические характеристики поведения пользователя в системе: давность последнего входа в систему, продолжительность последнего пребывания в системе, адрес использованного при подключении компьютера, интенсивность использования системы, суммарное и (или) удельное количество определённых операций, произведённых в системе, и так далее.
Создание учетных записей пользователей
В операционной системе Windows 7 можно создавать несколькими способами как учетные записи пользователей для компьютеров, состоящих в рабочих группах, так и учетные записи пользователей для компьютеров, которые входят в состав домена. Домены, рабочие группы и домашние группы представляют разные методы организации компьютеров в сети. Основное их различие состоит в том, как осуществляется управление компьютерами и другими ресурсами.
Создание учетных записей пользователей для компьютеров, состоящих в рабочей группе
В операционной системе Windows 7 для компьютеров, которые состоят в рабочей или домашней группе, учетные записи можно создавать следующими способами:
Создание учетной записи при помощи диалога «Управление учетными записями пользователей»
1. Нажмите на кнопку «Пуск» для открытия меню, откройте «Панель управления» и из списка компонентов панели управления выберите «Учетные записи пользователей» ;
3. Здесь нужно будет ввести имя для учетной записи, выбрать тип учетной записи и нажать на кнопку «Создание учетной записи» ;
Создание учетной записи при помощи диалога «Учетные записи пользователей»
1. Воспользоваться комбинацией клавиш +R для открытия диалога «Выполнить» ;
3. В диалоговом окне «Учетные записи пользователей» нажмите на кнопку «Добавить» для запуска мастера добавления нового пользователя;
4. В появившемся диалоговом окне «Добавление нового пользователя» введите имя пользователя. Поля «Полное имя» и «Описание» не являются обязательными, то есть их можно заполнять при желании. Нажимаем на кнопку «Далее» ;
6. Это последний диалог мастера добавления нового пользователя. Здесь необходимо установить переключатель, определяющий группу безопасности, к которой должна относиться данная учетная запись пользователя. Можно выбрать одну из следующих групп: Обычный доступ, Администратор или Другой. Последний переключатель стоит использовать в том случае, если нужно отнести пользователя к какой-то другой группе, созданной по умолчанию в операционной системе Windows 7.
В следующем списке перечислены 15 встроенных групп операционной системы Windows 7. Эти права назначаются в рамках локальных политик безопасности:
Создание учетной записи при помощи оснастки «Локальные пользователи и группы»
Использование оснастки «Локальные пользователи и группы» позволяет ограничить возможные действия пользователей и групп путем назначения им прав и разрешений. Право дает возможность пользователю выполнять на компьютере определенные действия, такие как архивирование файлов и папок или завершение работы компьютера. Разрешение представляет собой правило, связанное с объектом (обычно с файлом, папкой или принтером), которое определяет, каким пользователям, и какой доступ к объекту разрешен.
1. Откройте оснастку «Локальные пользователи и группы» одним из следующих способов:
В диалоге «Выбор группы» можно выбрать группу для пользователя двумя способами:
Создание учетной записи при помощи командной строки
Помимо вышеперечисленных способов, учетные записи пользователей можно создавать, изменять и удалять при помощи командной строки. Для этого нужно выполнить следующие действия:
1. Запустите командную строку от имени администратора;
Команда net user используется для добавления пользователей, установки паролей, отключения учетных записей, установки параметров и удаления учетных записей. При выполнении команды без параметров командной строки отображается список учетных записей пользователей, присутствующих на компьютере. Информация об учетных записях пользователей хранится в базе данных учетных записей пользователей.
net user User /add /passwordreq:yes /times:monday-friday,9am-6pm/fullname:»New user»
Создание учетных записей пользователей для компьютеров, состоящих в домене
В серверной операционной системе Windows Server 2008 или Windows Server 2008 R2 в домене Active Directory учетные записи пользователей можно создавать шестью способами. Рассмотрим подробно каждый из них:
2. В дереве консоли разверните узел, предоставляющий домен и найдите контейнер, в котором нужно создать учетную запись пользователя;
3. Нажмите на подразделение или контейнер правой кнопкой мыши, выберите опцию «Создать» и примените команду «Пользователь» ;
6. В последнем диалоге можно просмотреть введенные параметры и нажать на кнопку «Готово» для создания нового пользователя.
Создание пользователей с помощью командной строки
Определение используемых параметров:
Импорт пользователей с помощью команды CSVDE
Параметр i указывает режим импорта, а параметр k используется для игнорирования ошибок.
CSV файл должен выглядеть следующим образом:
Импортировать пароли при помощи команды CSVDE нельзя.
Импорт пользователей с помощью команды LDIFDE
При помощи команды LDIFDE также можно импортировать и экспортировать объекты Active Directory. В данном случае используется стандарт файлового формата LDIF (Lightweight Directory Access Protocol Data Interchange Format). Этот файловый формат состоит из блока строк, которые вместе образуют одну операцию. Разные операции разделяются пустой строкой. Каждая строка содержит имя атрибута, а после него должно стоять двоеточие со значением атрибута. Далее можно увидеть листинг LDIF файла:
DN: CN=Дмитрий Буланов, OU=пользователи, DC=server, DC=com
CN: Дмитрий Буланов
displayName: Дмитрий Буланов
Файл можно создавать в такой программе как Блокнот, но сохранять его нужно с расширением *.ldf. в командной строке введите следующее:
Создание пользователей с помощью Windows PowerShell
При помощи Windows PowerShell для создания пользователя в Active Directory пользователя можно создать следующим образом:
1. Подключитесь к контейнеру, в котором будет создан объект;
2. Примените метод Create совместно с классом и отличительным именем RDN;
3. Заполните атрибуты при помощи метода Put;
4. Подтвердите изменения при помощи метода SetInfo.
$ObjUser=$ObjOU.Create(«user», «CN=Дмитрий Буланов»)
$ObjUser.Put(«userPrincipalName», «dmitry.bulanov @server.com»)
$ObjUser.Put(«displayName», «Дмитрий Буланов»)
$ObjUser.Put(«description», «Тестировщик программного обеспечения»)
$ObjUser.Put(«department», «Отдел тестирования»)
$ObjUser.Put(«title», «Тестировщик программного обеспечения»)
$ObjUser.Put(«mail», » dmitry.bulanov @server.com «)
$ObjUser.Put(«postOfficeBox», «Номер дома»)
Можно вводить все строки вручную, а можно использовать *.ps1-файлы для автоматизации создания новых пользователей. Для того, чтобы разрешить Windows PowerShell открывать скрипты, введите следующую команду:
Политика выполнения указывает сценарии, которые можно запускать. После назначения политики выполнения можно запустить сценарий, но если указывать для запуска только имя сценария, то может возникнуть ошибка. Чаще всего нужно будет указывать еще и путь к самому сценарию.
Создание пользователей с помощью VBScript
В связи с тем, что VBScript также как и Windows PowerShell использует интерфейс ADSI для манипулирования объектами в Active Directory, процесс создания пользователя в VBScript идентичен созданию пользователя в Windows PowerShell. Прежде всего, сценарий подключается к контейнеру OU, в котором будет создан пользователь. После чего сценарий применит к объекту ADSI инструкцию GetObject. При присвоении объекта переменной, для создания объектной ссылки используется инструкция Set.
Set objOU=GetObject(«LDAP: //OU=Пользователи,DC=server,DC=com»)
Set objUser=objOU.Create(«user»,»CN=Дмитрий Буланов»)
objUser.Put «sAMAccountName»,» dmitry.bulanov»
objUser.Put «displayName»,» Дмитрий Буланов»
Введение
Учётная запись пользователя – это запись, которая содержит сведения, необходимые для идентификации пользователя при подключении к системе, а также информацию для авторизации и учёта. Это имя пользователя и пароль (или другое аналогичное средство аутентификации — например, биометрические характеристики). Пароль или его аналог, как правило, хранится в зашифрованном или хэшированном виде (в целях его безопасности).
Для повышения надёжности могут быть, наряду с паролем, предусмотрены альтернативные средства аутентификации — например, специальный секретный вопрос (или несколько вопросов) такого содержания, что ответ может быть известен только пользователю. Такие вопросы и ответы также хранятся в учётной записи.
Учётная запись может содержать следующие дополнительные анкетные данные о пользователе:
Конкретные категории данных, которые могут быть внесены в такую анкету, определяются администраторами системы.
Учётная запись может также содержать одну или несколько фотографий или аватар пользователя. Учётная запись пользователя также может учитывать различные статистические характеристики поведения пользователя в системе: давность последнего входа в систему, продолжительность последнего пребывания в системе, адрес использованного при подключении компьютера, интенсивность использования системы, суммарное и (или) удельное количество определённых операций, произведённых в системе, и так далее.
Создание учетных записей пользователей
В операционной системе Windows 7 можно создавать несколькими способами как учетные записи пользователей для компьютеров, состоящих в рабочих группах, так и учетные записи пользователей для компьютеров, которые входят в состав домена. Домены, рабочие группы и домашние группы представляют разные методы организации компьютеров в сети. Основное их различие состоит в том, как осуществляется управление компьютерами и другими ресурсами.
Рабочая группа – это группа компьютеров, подключенных к сети, которые совместно используют ресурсы. При настройке сети операционная система Windows автоматически создает рабочую группу и присваивает ей имя по умолчанию.
Домен — это группа компьютеров одной сети, имеющих единый центр, использующий единую базу пользователей, единую групповую и локальную политики, единые параметры безопасности, ограничение времени работы учётной записи и прочие параметры, значительно упрощающие работу системного администратора организации, если в ней эксплуатируется большое число компьютеров.
Создание учетных записей пользователей для компьютеров, состоящих в рабочей группе
В операционной системе Windows 7 для компьютеров, которые состоят в рабочей или домашней группе, учетные записи можно создавать следующими способами:
Создание учетной записи при помощи диалога «Управление учетными записями пользователей»
Для того чтобы создать учетную запись при помощи диалога «Учетные записи пользователей», нужно сделать следующее:
В этом диалоге, можно выбрать одну из двух типов учетных записей: «обычные учетные записи пользователей», которые предназначены для повседневной работы или «учетные записи администратора», которые предоставляют полный контроль над компьютером и применяются только в необходимых случаях.
Создание учетной записи при помощи диалога «Учетные записи пользователей»
Доступный через панель управления диалог «Управление учетными записями пользователей» имеет очень серьезное ограничение: оно предлагает на выбор только учетные записи типа Обычный доступ или Администратор. Для того чтобы при создании нового пользователя его можно было поместить в какую-либо определенную группу, нужно сделать следующее:
В следующем списке перечислены 15 встроенных групп операционной системы Windows 7. Эти права назначаются в рамках локальных политик безопасности:
Создание учетной записи при помощи оснастки «Локальные пользователи и группы»
Оснастка «Локальные пользователи и группы» расположена в компоненте «Управление компьютером», представляющем собой набор средств администрирования, с помощью которых можно управлять одним компьютером, локальным или удаленным. Оснастка «Локальные пользователи и группы» служит для защиты и управления учетными записями пользователей и групп, размещенных локально на компьютере. Можно назначать разрешения и права для учетной записи локального пользователя или группы на определенном компьютере (и только на этом компьютере).
Использование оснастки «Локальные пользователи и группы» позволяет ограничить возможные действия пользователей и групп путем назначения им прав и разрешений. Право дает возможность пользователю выполнять на компьютере определенные действия, такие как архивирование файлов и папок или завершение работы компьютера. Разрешение представляет собой правило, связанное с объектом (обычно с файлом, папкой или принтером), которое определяет, каким пользователям, и какой доступ к объекту разрешен.
Для того чтобы создать локальную учетную запись пользователя при помощи оснастки «Локальные пользователи и группы», нужно сделать следующее:
Для того чтобы добавить пользователя в группу, дважды щелкните имя пользователя для получения доступа к странице свойств пользователя. На вкладке «Членство в группах» нажмите на кнопку «Добавить».
В диалоге «Выбор группы» можно выбрать группу для пользователя двумя способами:
Создание учетной записи при помощи командной строки
Помимо вышеперечисленных способов, учетные записи пользователей можно создавать, изменять и удалять при помощи командной строки. Для этого нужно выполнить следующие действия:
Команда net user используется для добавления пользователей, установки паролей, отключения учетных записей, установки параметров и удаления учетных записей. При выполнении команды без параметров командной строки отображается список учетных записей пользователей, присутствующих на компьютере. Информация об учетных записях пользователей хранится в базе данных учетных записей пользователей.
/add – этот параметр указывает, что необходимо создать новую учетную запись;
/passwordreq – этот параметр отвечает за то, чтобы при первом входе в систему пользователь сменил свой пароль;
/times – этот параметр определяет, сколько раз пользователю разрешено входить в систему. Здесь можно указывать как единичные дни, так и целые диапазоны (например Sa или M-F). Для указания времени допускается как 24-часовый формат, так и 12-часовый формат;
/fullname – этот параметр идентичен полю «Полное имя» при создании пользователя предыдущими способами.
Создание учетных записей пользователей для компьютеров, состоящих в домене
В серверной операционной системе Windows Server 2008 или Windows Server 2008 R2 в домене Active Directory учетные записи пользователей можно создавать шестью способами. Рассмотрим подробно каждый из них:
Создание пользователей при помощи оснастки «Active Directory – пользователи и компьютеры»
Для создания нового пользователя в домене при помощи оснастки «Active Directory – пользователи и компьютеры» нужно сделать следующее:
Создание пользователей с помощью командной строки
Для автоматизации создания любых объектов в домене Active Directory можно использовать команду DSADD USER UserDN, при помощи которой можно создавать объекты пользователей и принимать параметры, указывающие его свойства. Нового пользователя при помощи командной строки можно создать следующим образом:
Определение используемых параметров:
Samid – указывает имя входа пользователя;
Pwd – этот параметр определяет пароль для учетной записи пользователя. Если указывать символ *, то будет предложено ввести пароль пользователя;
Mustchpwd – указывает, что пользователь должен изменить свой пароль при следующем входе в систему;
Profile – указывает путь к профилю учетной записи пользователя;
Fn – указывает имя пользователя;
Ln – указывает фамилию пользователя;
Display – указывает отображаемое имя пользователя;
Upn – указывает имя входа пользователя (пред-Windows 2000).
Импорт пользователей с помощью команды CSVDE
Параметр i указывает режим импорта, а параметр k используется для игнорирования ошибок.
CSV файл должен выглядеть следующим образом:
Импортировать пароли при помощи команды CSVDE нельзя.
Импорт пользователей с помощью команды LDIFDE
При помощи команды LDIFDE также можно импортировать и экспортировать объекты Active Directory. В данном случае используется стандарт файлового формата LDIF (Lightweight Directory Access Protocol Data Interchange Format). Этот файловый формат состоит из блока строк, которые вместе образуют одну операцию. Разные операции разделяются пустой строкой. Каждая строка содержит имя атрибута, а после него должно стоять двоеточие со значением атрибута. Далее можно увидеть листинг LDIF файла:
Файл можно создавать в такой программе как Блокнот, но сохранять его нужно с расширением *.ldf. в командной строке введите следующее:
Создание пользователей с помощью Windows PowerShell
При помощи Windows PowerShell для создания пользователя в Active Directory пользователя можно создать следующим образом:
Можно вводить все строки вручную, а можно использовать *.ps1-файлы для автоматизации создания новых пользователей. Для того, чтобы разрешить Windows PowerShell открывать скрипты, введите следующую команду:
Set-ExecutionPolicy RemoteSigned
Политика выполнения указывает сценарии, которые можно запускать. После назначения политики выполнения можно запустить сценарий, но если указывать для запуска только имя сценария, то может возникнуть ошибка. Чаще всего нужно будет указывать еще и путь к самому сценарию.
Создание пользователей с помощью VBScript
В связи с тем, что VBScript также как и Windows PowerShell использует интерфейс ADSI для манипулирования объектами в Active Directory, процесс создания пользователя в VBScript идентичен созданию пользователя в Windows PowerShell. Прежде всего, сценарий подключается к контейнеру OU, в котором будет создан пользователь. После чего сценарий применит к объекту ADSI инструкцию GetObject. При присвоении объекта переменной, для создания объектной ссылки используется инструкция Set.
После этого активизируется метод Create для создания объекта конкретного класса так же, как и в PowerShell. Далее используется метод Put, но аргументы заключаются в круглые скобки. Последняя строка – идентична Windows PowerShell. Пример скрипта:
Заключение
В этой части статьи рассказывается об учетных записях пользователя. Учётная запись пользователя – это запись, которая содержит сведения, необходимые для идентификации пользователя при подключении к системе, а также информацию для авторизации и учёта. Были рассмотрены методы создания локальных учетных записей пользователей и пользователей домена. В следующей части статьи будут рассмотрены методы управления учетными записями пользователей, а также управления учетными данными для автоматического входа при помощи компонента «Диспетчер учетных данных».
Debugger users что за группа
Debugger users
Автор Александр Агеев задал вопрос в разделе Программное обеспечение
В учётных записях пользователей, что означает группа Debugger Users? И почему она появилась? (XP 3) и получил лучший ответ
Ответ от Reballed[гуру]
У каждой группы свои привилегии. У дебагеров есть привилегия отладки процессов на локальной машине ну то есть там память их посмотреть пошаговый режим выполнения и т. д.
Доступный через панель управления диалог «Управление учетными записями пользователей» имеет очень серьезное ограничение: оно предлагает на выбор только учетные записи типа Обычный доступ или Администратор. Для того чтобы при создании нового пользователя его можно было поместить в какую-либо определенную группу, нужно сделать следующее:
1. Воспользоваться комбинацией клавиш 
+R для открытия диалога «Выполнить»;
2. В диалоговом окне «Выполнить», в поле «Открыть» введите control userpasswords2 и нажмите на кнопку «ОК»;
3. В диалоговом окне «Учетные записи пользователей» нажмите на кнопку «Добавить» для запуска мастера добавления нового пользователя;
4. В появившемся диалоговом окне «Добавление нового пользователя» введите имя пользователя. Поля «Полное имя» и «Описание» не являются обязательными, то есть их можно заполнять при желании. Нажимаем на кнопку «Далее»;
5. В диалоге «Введите и подтвердите пароль этого пользователя» введите пароль для данной учетной записи, а затем продублируйте его в поле«Подтверждение», после чего нажмите на кнопку «Далее»;
6. Это последний диалог мастера добавления нового пользователя. Здесь необходимо установить переключатель, определяющий группу безопасности, к которой должна относиться данная учетная запись пользователя. Можно выбрать одну из следующих групп: Обычный доступ, Администратор или Другой. Последний переключатель стоит использовать в том случае, если нужно отнести пользователя к какой-то другой группе, созданной по умолчанию в операционной системе Windows 7.
В следующем списке перечислены 15 встроенных групп операционной системы Windows 7. Эти права назначаются в рамках локальных политик безопасности:
· Administrators (Администраторы). Пользователи, входящие в эту группу, имеют полный доступ на управление компьютером и могут при необходимости назначать пользователям права пользователей и разрешения на управление доступом. По умолчанию членом этой группы является учетная запись администратора. Если компьютер подключен к домену, группа «Администраторы домена» автоматически добавляется в группу «Администраторы». Эта группа имеет полный доступ к управлению компьютером, поэтому необходимо проявлять осторожность при добавлении пользователей в данную группу;
· Backup Operators (Операторы архива). Пользователи, входящие в эту группу, могут архивировать и восстанавливать файлы на компьютере независимо от любых разрешений, которыми защищены эти файлы. Это обусловлено тем, что право выполнения архивации получает приоритет над всеми разрешениями. Члены этой группы не могут изменять параметры безопасности.
· Cryptographic Operators (Операторы криптографии). Членам этой группы разрешено выполнение операций криптографии.
· Debugger Users (Группа удаленных помощников). Члены этой группы могут предлагать удаленную помощь пользователям данного компьютера.
· Distributed COM Users (Пользователи DCOM). Членам этой группы разрешено запускать, активировать и использовать объекты DCOM на компьютере.
· Event Log Readers (Читатели журнала событий). Членам этой группы разрешается запускать журнал событий Windows.
· Guests (Гости). Пользователи, входящие в эту группу, получают временный профиль, который создается при входе пользователя в систему и удаляется при выходе из нее. Учетная запись «Гость» (отключенная по умолчанию) также является членом данной встроенной группы.
· IIS_IUSRS. Это встроенная группа, используемая службами IIS.
· Network Configuration Operators (Операторы настройки сети). Пользователи, входящие в эту группу, могут изменять параметры TCP/IP, а также обновлять и освобождать адреса TCP/IP. Эта группа не имеет членов по умолчанию.
· Performance Log Users (Пользователи журналов производительности). Пользователи, входящие в эту группу, могут управлять счетчиками производительности, журналами и оповещениями на локальном или удаленном компьютере, не являясь при этом членами группы «Администраторы».
· Performance Monitor Users (Пользователи системного монитора). Пользователи, входящие в эту группу, могут наблюдать за счетчиками производительности на локальном или удаленном компьютере, не являясь при этом участниками групп «Администраторы» или «Пользователи журналов производительности».
· Power Users (Опытные пользователи). По умолчанию, члены этой группы имеют те же права пользователя и разрешения, что и учетные записи обычных пользователей. В предыдущих версиях операционной системы Windows эта группа была создана для того, чтобы назначать пользователям особые административные права и разрешения для выполнения распространенных системных задач. В этой версии операционной системы Windows учетные записи обычных пользователей предусматривают возможность выполнения большинства типовых задач настройки, таких как смена часовых поясов. Для старых приложений, требующих тех же прав опытных пользователей, которые имелись в предыдущих версиях операционной системы Windows, администраторы могут применять шаблон безопасности, который позволяет группе«Опытные пользователи» присваивать эти права и разрешения, как это было в предыдущих версиях операционной системы Windows.
· Remote Desktop Users (Пользователи удаленного рабочего стола). Пользователи, входящие в эту группу, имеют право удаленного входа на компьютер.
· Replicator (Репликатор). Эта группа поддерживает функции репликации. Единственный член этой группы должен иметь учетную запись пользователя домена, которая используется для входа в систему службы репликации контроллера домена. Не добавляйте в эту группу учетные записи реальных пользователей.
· Users (Пользователи). Пользователи, входящие в эту группу, могут выполнять типовые задачи, такие как запуск приложений, использование локальных и сетевых принтеров и блокировку компьютера. Члены этой группы не могут предоставлять общий доступ к папкам или создавать локальные принтеры. По умолчанию членами этой группы являются группы «Пользователи домена», «Проверенные пользователи» и «Интерактивные». Таким образом, любая учетная запись пользователя, созданная в домене, становится членом этой группы.
Не нашли то, что искали? Воспользуйтесь поиском:
Учетные записи пользователей — основной инструмент защиты данных, даже если на своем компьютере вы единственный пользователь. Система учетных записей позволяет шифровать файлы так, чтобы их было невозможно прочитать без ввода пароля или можно было открывать информацию только для доверенных пользователей сети. Кроме того, благодаря учетным записям вы вполне можете пускать за свой компьютер детей, не боясь при следующем входе в систему обнаружить на Рабочем столе обои с космонавтами-серферами.
Вообще-то диалоговых окон для управления учетными записями пользователей в Windows 7 целых четыре. Все они по-разному выглядят и предназначены для разных, так сказать, «целевых аудиторий». Проблема в том, что в каждом из этих окон есть определенные параметры, недоступные в остальных трех, поэтому для решения всех стоящих перед вами задач придется пользоваться всеми этими инструментами понемногу О Учетные записи пользователей (User Accounts)
Страница Учетные записи пользователей (User Accounts) (рис. 7.1) открывается из Панели управления. Это большой и дружественный инструмент, правда, несколько нескладный.
Добавлять, настраивать и удалять учетные записи очень легко, интерфейс понятен с первого взгляда. Это достойно восхищения. Однако для выполнения более сложных задач, например управления группами или включения автоматического входа в систему для учетных записей с паролями, вам может потребоваться один из альтернативных инструментов, перечисленных далее.
Рисунок учетной записи, который отображается на экране входа в систему и вверху меню Пуск (см. раздел «Упрощаем меню Пуск»), можно изменить только ‘V j •, в стандартном окне Учетные записи пользователей (User Accounts), там же мож-
-но отключить сообщение «Добро пожаловать» (см. раздел «Как скрыть список
учетных записей пользователей»).
О Учетные записи пользователей 2 (User Accounts 2)
Несколько дополнительных параметров, о которых речь пойдет далее, можно изменить только в альтернативном окне Учетные записи пользователей (User Accounts) — по сути, пережитке, доставшемся нам в наследство от Windows 2000. Чтобы открыть старое диалоговое окно Учетные записи пользователей (User Accounts) (рис. 7.2), откройте меню Пуск и в поле Поиск (Search) введите
%SystemRoot%system32control userpasswords2 Нажмите Enter.
Как и в основном окне Учетные записи пользователей (User Accounts), здесь можно добавлять новых пользователей, переименовывать и удалять существующие учетные записи. Однако в этом окне предлагается больше настроек, касающихся разрешений и ограничений для учетных записей. Также здесь открывается доступ к учетным записям, которые в обычном окне Учетные записи пользователей (User Accounts) скрыты: Администратор (см. раздел «Вход в систему под именем администратора») и учетная запись IUSR, которую использует веб-сервер IIS. Еще одна функция этого окна рассматривается в разделе «Как скрыть список учетных записей пользователей».
Часто используете диалоговое окно Учетные записи пользователей 2 (User Ассо-, unts 2)? Для добавления значка этого полезного инструмента на Панель управ- Читайте также: Hfplfnm wifi c yjen erf
О Диспетчер учетных данных (Credential Manager)
Страница Диспетчер учетных данных (Credential Manager) открывается из Панели управления (см. рис. 7.22). Здесь можно просматривать, изменять и, что самое важное, добавлять пароли к учетным записям на других компьютерах. Хотя настроить учетные записи локального компьютера с помощью этого инструмента не получится, для доступа к общим папкам на других компьютерах он незаменим. Пошаговое руководство вы найдете в разделе «Удаленный доступ к общим папкам».
Сложнее всего разобраться, какой из перечисленных инструментов наилучшим
образом подходит для выполнений конкретной задачи. В табл. 7.1 перечислены
разнообразные типовые задачи. Посмотрите, какой инструмент рекомендуется для решения каждой из них.
Таблица 7.1. Инструменты для управления учетными записями пользователей
Учетные записи пользователей (User Accounts)
Учетные записи пользователей 2 (User Accounts 2)
Добавить пользователя в группу
Добавить пользователя в несколько групп
Изменить имя пользователя
Изменить описание пользователя
Изменить домашнюю папку профиля пользователя
Изменить пароль пользователя
Изменить пароль пользователя на другом компьютере
Изменить рисунок пользователя
Изменить сценарий входа в систему
Скопировать папку профиля пользователя
Отключить учетную запись пользователя или группы, не удаляя ее
Экспортировать список пользователей или групп в текстовый файл
Найти учетные записи администраторов без паролей
Настроить сетевые имена пользователей и пароли
Диск сброса пароля
Предотвращение забывания паролей
Удалить практически любого пользователя
Удалить любого пользователя
Переименовать некоторых пользователей
Удалить пароль пользователя
Потребовать нажатия Ctrl+Alt+Del для входа в систему
Установить срок действия пароля
Включить или выключить учетную запись администратора
Включить или выключить учетную запись
Задача Учетные записи Учетные записи LUaG
пользователей пользователей 2 (User Accounts) (User Accounts 2)
Использовать быстрое переключение поль- / зователей
Просмотреть состав групп ^
Процессы добавления, удаления и настройки учетных записей пользователей большей частью интуитивно понятны, поэтому я не буду рассматривать их в деталях.
Каждому пользователю на компьютере присваивается уникальный идентификатор безопасности (Security Identifier, SID). Он необходим для применения большинства возможностей, о которых мы поговорим далее в этой главе, таких как настройка разрешений и шифрование, а также для реализации некоторых решений, о которых рассказывается в других главах. Например, ваши персональные настройки хранятся в реестре (подробнее о нем — в главе 3) в ветви с приблизительно таким именем:
Цифровая часть имени — это и есть ваш идентификатор безопасности, SID. SID состоит из следующих элементов:
где S указывает, что это идентификатор безопасности, г обозначает уровень ревизии, который всегда равен 1, i определяет полномочия идентификатора, asd-xuimxror-УУУУУУУУУУ-zzzzzzzzz — полномочия второго уровня. Наконец, uid — это идентификатор пользователя.
Значение индикатора полномочий, /, сообщает о том. к какому типу принадлежит пользователь с данным SID:
S-1-0 — неизвестная группа или пустая группа;
S-1-1 — «общая» группа, включающая в себя всех пользователей;
S-1-2 — локальный пользователь, работающий в «терминале»;
S-1-3 — создатель объекта (файла, папки и т. д.);
S-1-4 — неуникальный идентификатор пользователя;
S-1-5 — обычная учетная запись пользователя.
Помимо прочего, из-за SID иногда возникают проблемы при клонировании машины (об этом рассказывается в главе 5). Даже если клонирование прошло успешно, после этого может потребоваться сменить SID при помощи Microsoft System Preparation Tool (SysPrep).
Блог Чифина Владимира
Одним из пунктов по защите от mimikatz является отъем привилегии Debug Users у администраторов.
Разумеется существуют способы вернуть себе такие привилегии, но все же попробуем уменьшить вектор атаки в доменной среде.
Существует потенциальная проблема, что такие привилегии могут понадобится некоторым пользователям.
Если настраивать параметр «Отладка программ» групповыми политиками централизованно — параметр блокируется для локальных изменений.
Но что, если нужно кому-то индивидуально на определенном компьютере?
Решение (может быть и не самое изящное но точно работающее):
1. Создаем доменную политику, которая задает возможность «Отладка программ» локальной группе — пусть будет Local_DebugUsers
При этом убираем группу Администраторы из этой привилегии
2.Настраиваем Group Policy Preference, который создает локальную группу Local_DebugUsers
3. Далее если мы хотим защитить нашу систему от возможности бесконтрольной модификации -ставим галочки «Удалять членов группы» — в таком случае при каждом применении политики группа будет очищена
4. Ну и добавляем возможность персонального добавления через доменную группу:
Добавляем в preference группу по какому-либо шаблону. К примеру Comp_MNG_%ComputerName%_Debug
В домене создаем группу по указанному шаблону: Comp_MNG_%ComputerName%_Debug
К примеру, если компьютер называется WKST-001, то группа будет называться Comp_MNG_WKST-001_Debug
Далее, если нам нужно на компьютер WKST-001 дать привилегии Debug пользователю User1 — добавляем пользователя в группу Comp_MNG_WKST-001_Debug
UPD — было выявлено, что debug привилегии требуются в некоторых вполне себе легальных ситуациях: