Как отключить контроль учетных записей в windows server

User Account Control (UAC) или контроль учетных записей – это функция безопасности Windows включенная по умолчанию и предназначенная для предотвращения нежелательных изменений в ОС. Если программа пытается выполнить действие, требующее прав администратора (например, установить программу, изменить настройки ОС, ветки реестра или системные файлы), UAC уведомляет об этом и запрашивает подтверждения этих действий у администратора. Тем самым снижается риск несанкционированных изменений и выполнения вредоносного кода с правами администратора.

В этой статье мы рассмотрим, как управлять настройками контроля учетных записей в Windows

Как выглядит окно UAC? Например, при попытке повышения привилегий процесса в сессии пользователя с правами локального администратора, появляется окно подтверждения UAC:

Контроль учетных записей
Разрешить этому приложению вносить изменения на вашем устройстве?

User Account Control
Do you want to allow this app to make changes to your device?

Картинка с сайта: winitpro.ru

Настройки контроля учётных записей (UAC) в Windows

Для управления настройками UAC в панели управления Windows доступен специальный апплет Change User Account Control settings, который можно запустить из классической панели управления или с помощью команды
UserAccountControlSettings.exe
.

С помощью ползунка можно выбрать уровень контроля учетных записей на компьютере. Доступно 4 уровня:

• Уровень 4 — Always notify — Всегда уведомлять (максимальный уровень защиты UAC);
• Уровень 3 — Notify only when programs try to make changes to my computer (default) – Уведомить только когда программа пытается внести изменения в мой компьютер (используется в Windows по умолчанию);
• Уровень 2 — Notify only when programs try to make changes to my computer (do not dim my desktop) – то же что и предыдущий уровень, но без переключения на Secure Desktop с блокировкой рабочего стола;
• Уровень 1 — Never notify – Никогда не уведомлять

Картинка с сайта: winitpro.ru

Обратите внимание, что перевод ползунка в нижнее положение Никогда не уведомлять, не отключает UAC полностью. Этот режим включает автоматическое подтверждения запросов на повышение прав, инициированных администратором, без отображения окна с запросом UAC. В сессиях пользователей запросы повышения прав автоматически откланяются.

Чтобы полностью отключить UAC, нужно отключить параметр локальной политики Контроль учетных записей: все администраторы работают в режиме одобрения администратором (User Account Control: Run all administrators in Admin Approval Mode). Об этом ниже.

Управление параметрами User Account Control через GPO

Возможно управление параметрами контроля учетных записей UAC в Windows через групповые политики. Имена политик, относящихся к UAC, начинаются с User Account Control (Контроль учетных записей) и находятся в разделе редактора GPO Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Local Policies -> Security Options (Конфигурация компьютера –> Конфигурация Windows –> Параметры безопасности –> Локальные политики).

Картинка с сайта: winitpro.ru

Доступно 12 параметров GPO. В следующей таблице представлен список политик UAC, и соответствующие им параметры реестра (ветка HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System) и возможные значения (в том числе значения по-умолчанию).

Ползунок User Account Control и соответствие параметров реестра (GPO)

Когда вы меняете уровень защиты UAC с помощью ползунка в панели управления, Windows изменяет значения следующих параметров реестра.

Таким образом, если вы хотите через GPO задать параметры UAC, соответствующие уровню ползунка вам достаточно настроить 3 параметра политик (указаны выше).

Например, для UAC уровень 3 (Notify only when programs try to make changes to my computer) нужно внедрить такие параметры в реестр:

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"PromptOnSecureDesktop"=dword:00000001
"EnableLUA"=dword:00000001
"ConsentPromptBehaviorAdmin"=dword:00000005
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableVirtualization"=dword:00000001
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000


Картинка с сайта: winitpro.ru

Значения параметров ConsentPromptBehaviorUser, EnableInstallerDetection, EnableVirtualization, ValidateAdminCodeSignatures и FilterAdministratorToken будут одинаковыми для всех уровней.

Как полностью отключить UAC в Windows через GPO?

Рассмотрим, как через групповые политики отключить контроль учетных записей в Windows.

На отдельном компьютере можно использовать редактор локальный групповой политики
gpedit.msc
. Если нужно применить политику на множестве компьютерлв в домене, нужно использовать консоль Group Policy Management Console —
gpmc.msc
(рассмотрим этот вариант).

1. В консоли управления доменными GPO щелкните по OU с компьютерами, на которых вы хотите отключить UAC и создайте новую политику
2. Отредактируйте политику и перейдите в разделComputer Configuration -> Policies -> Windows Settings -> Security Settings -> Local Policies -> Security Options;
3. Для полного отключения UAC установите следующие значения параметров:
4. User Account Control: Behavior of the elevation prompt for administrators in Admin Approval Mode =
   Elevate without prompting
   ;

• User Account Control: Detect application installations and prompt for elevation =
  Disabled
  ;
• User Account Control: Run all administrators in Admin Approval Mode =
  Disabled
  ;
• User Account Control: Only elevate UIAccess applications that are installed in secure locations =
  Disabled
  .
  

  Картинка с сайта: winitpro.ru

1. Чтобы обновить настройки групповых политик на компьютерах и отключить UAC, нужно перезагрузить их.

Также можно точечно отключать UAC только для некоторых пользователей/компьютеров через реестр, а настройки распространить через Group Policy Preferences.

Создайте новый параметр реестра в ветке GPO Computer Configuration -> Preferences -> Windows Settings -> Registry со следующими настройками:

• Action: Replace
• Hive: HKEY_LOCAL_MACHINE
• Key Path: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
• Value name: EnableLUA
• Value type: REG_DWORD
• Value data: 0

Картинка с сайта: winitpro.ru

Затем перейдите на вкладку Common и включите опции:

• Remove this item when it is no longer applied
• Item-Level targeting

Нажмите на кнопку Targeting и укажите компьютеры, или доменные группы, на которые должна применяться политика отключения UAC.

Вы можете изменить значение любого параметра из редактора реестра или из командной строки. Например, чтобы отключить UAC на компьютере (потребуется перезагрузка) можно выполнить команду:

reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f.

Или аналогичная команда на PowerShell:

New-ItemProperty -Path HKLM:Software\Microsoft\Windows\CurrentVersion\policies\system -Name EnableLUA -PropertyType DWord -Value 0 -Force

Mar
26

Add-PsSnapin -Name VeeamPSSnapIn
reg add HKLM\Software\Microsoft\Windows\CurrentVersion\policies\system /v EnableLUA /t Reg_DWORD /d 0 

How to Turn-off the User Account Control in Server 2012

If you get annoyed by the UAC dialog box, then this page explains how to disable these nagging messages on Windows Server 2012.

• Locate the UAC Policy Settings
• User Account Control: Behaviour of the elevation prompt
• Background to Windows Server 2012 UAC
• Windows Server 2012 Run as Administrator

 ♦

Locate the UAC Policy Settings

As with so many settings on a Windows computer you can control what happens via Group Policies.  Since we are talking about Server 2012, our first decision is whether to call for the Group Policy Management Console (GPMC), or the Local Group Policy Editor, the choice depends on whether the server is part of domain.

• At the Metro UI type: Secpol.msc, or
  In Server Manager, click Tools menu
  Security policy settings.
• Remember UAC is a Computer Configuration.
• Head for Windows Settings
• Security Settings
• Local Policies
• Security Options. 
• Now if you scroll down to the bottom there are several policies to disable the UAC.

User Account Control: Behaviour of the elevation prompt

To turn off the ‘Continue ..’ dialog box select this setting: User Account Control: Behaviour of the elevation prompt,
‘Elevate without prompting’.

Elevate without prompting: Allows privileged accounts to perform an operation that requires elevation without requiring consent or credentials. Note: Use this option only in the most constrained environments.

Observe in the screenshot above how all the other settings controlling the behavior of the elevation prompt for administrators in Admin Approval Mode, require credentials or prompt for consent.  See more about configuring User Account Control: Behaviour of the elevation prompt

Guy Recommends 3 Free Active Directory Tools

SolarWinds have produced three Active Directory add-ons.  These free utilities have been approved by Microsoft, and will help to manage your domain by:

1. Seeking and zapping unwanted user accounts.
2. Finding inactive computers.
3. Bulk-importing new users.  Give this AD utility a try, it’s free!

Download your FREE Active Directory administration tools.

More UAC Policies for Windows Server 2012

This screenshot illustrates how you could disable the UAC in Windows Server 2012.

Other UAC security options worth investigating include:

• Admin Approval Mode for the Built-in Administrator account.
• Allow UIAccess applications to prompt without elevation without using the secure desktop.
• Behavior of the elevation prompt for standard users.
• Run all administrators in Admin Approval Mode.
• See further discussion of UAC settings.

Guy Recommends:  A Free Trial of the Network Performance Monitor (NPM) v12

SolarWinds’ Network Performance Monitor will help you discover what’s happening on your network.  This utility will also guide you through troubleshooting; the dashboard will indicate whether the root cause is a broken link, faulty equipment or resource overload.

Perhaps the NPM’s best feature is the way it suggests solutions to network problems.  Its second best feature is the ability to monitor the health of individual VMware virtual machines.  If you are interested in troubleshooting, and creating network maps, then I recommend that you give this Network Performance Monitor a try.

Download your free trial of SolarWinds Network Performance Monitor.

An Example of User Account Control (UAC) in Windows Server 2012

Let us consider this situation, you needed to install a driver, Windows Server 2012 presents you with a dialog box. After reading the UAC menu, you click: ‘Continue’ and thus receive elevated rights for the duration of the task. The key concept is you don’t have to logoff and logon as an administrator. Instead Windows Server 2012 just switches tokens, performs the named task, and then returns you to normal user status.

As an example of UAC in action, let us assume that you wish to check the new System Restore settings. You launch the System Icon, (Windows Key and Pause / Break) then you click on ‘System Protection’ and up pops a Windows Security box – even if you are the Administrator. To gain the elevated rights needed to complete your mission, just click the ‘Continue’ button.  See screen shot below.

A good habit to cultivate is always to check that the program specified in the central band, is the program you intended; in this case, ‘Change Computer Settings’. Beware that if you are connected to the internet, then sites may have rogue programs that mimic this menu and trick you into installing Spyware.

Background to the Windows Server 2012 UAC

The first point to realize is that by default even the administrator needs elevated privileges to make certain changes to the operating system.  The good news is that you can avoid this nagging dialog box provided you are willing to take the risk that a rogue program, or more likely, an unintentional action could cripple your Windows server.

As a security measure the operating system temporarily blocks any executable that seeks to make a change that requires an administrator’s approval. Each time this happens you can either click the ‘Continue’ button in the dialog box, or else modify the policy to disable the Windows Server 2012 UAC.

The benefit of using theWindows Server 2012s User Account Control (UAC) is that it enables you to run applications such as Excel, but in the context of an ordinary user.  Then when you need to perform Administrative tasks such as installing a driver, UAC prompts you the necessary rights, all you need to do is click on ‘Continue’ and you have the permission to complete that one task.

Evolution of Windows Server 2012 User Account Control

Microsoft has not changed the UAC much from Server 2008 to Server 2012.  There seems less debate on the merits of UAC this time around.  Administrators seem polarized between those who turn it off, and those who accept the dialog box.  Microsoft has helped by allowing more tasks to complete without the need for elevated privileges, thus less intrusion of the dialog box, and as a result less complaints from administrators.  For example: we can adjust the mouse or amend the Power Settings without the UAC appearing.

In Beta versions of Windows Server 2008, UAC was called UAP (User Account Protection). More than just a change of acronym, this indicated that UAC is part of a larger security area, which Microsoft are rapidly evolving.

User Account Control is a development of least-privilege user access, or LUA. My view is that User Account Control has grown out of the ‘Run as..’ feature of Windows Server 2003 or the ‘Switch User’ feature of XP.  

Windows Server 2012 Run as Administrator

There are programs such as Regedit where you need to right-click and ‘Run as administrator’.  PowerShell or cmd would be other programs where certain tasks result in an error message such as:

‘The requested operation requires elevation’.

The answer to avoiding this message is to think ahead and ‘Run as administrator.  Even better, find the ‘Advanced Box’, and tick the box so that you always receive elevated administrative privileges.

• Right-click the Metro tile, or the shortcut icon.
• Select ‘Properties’.
• Select the Shortcut (tab).
• Click on Advanced (button).
• Tick: Run as administrator.
• Press OK!

See also SolarWinds Server and Application Monitor

»

Summary of Disable UAC in Windows Server 2012

The problem is the User Account Control dialog box interrupts the flow of configuring a setting. The solution of editing the group policy is a little more tricky on Server 2012 in a domain, than Windows 8 client in a workgroup.

If you like this page then please share it with your friends

Microsoft Windows Server 2012 Topics

• Windows Server 2012 Home   • Disable UAC Windows Server 2012   • Server 2012 Chkdsk Utility

• Install Windows Server 2012   • PowerShell Add-WindowsFeature   • Network Performance Monitor

• Shutdown Windows Server 2012   • Disable Shutdown Event Tracker Server 2012