五月 29, 2006
Windows Vista功能聚焦：用户帐户控制
由. xx appbeta 将文章归档于
为什么要使用UAC？有很多人认为这个功能很讨厌，没错。不过，如果你使用的帐号权限很大，可以修改任何系统设置和程序，那么，如果你的系统被入侵（病毒、蠕虫、木马等恶意软件），入侵者将会拥有和你一样的权限，后果可想而知。所以要安全还是要清静自己做个了断吧……
对于那些具有安全意思的人来说，在XP中都回使用受限帐户，他们就很容易理解为什么要使用UAC了。Vista中的“Run As”(以……运行)功能被用于临时提升用户权限到管理员权限，以便一些设计较差的程序能够使用管理员权限运行。
一、使用用户帐号控制
在Vista中，微软最终通过使用多种方式重建Windows克服了这个问题。内建于Vista中的许多技术明确的提出这个系统，但是仍然还提供了隐藏的兼容功能，以帮助遗留程序继续像以前那样运行。这个关键的技术就是UAC，它完成两个基本目标：其一，UAC将Windows中你能完成的任务分为两组，标准用户完成的任务和管理员完成的任务。其二，多数时候UAC悄悄将管理员帐号降级为标准用户运行；当一个管理员级别的任务尝试运行时，用户就会受到一个提示，以便他们为了能完成此单个任务而临时提升权限。
那么什么任务属于哪个组呢？安装新程序、改变系统日期和时间或者访问许多控制面板程序属于管理员级的任务组。同时，非破坏性的人物，像改变电源管理设置或添加新打印机能够被任何用户执行。微软自动在用户界面元素上应用盾形图标，在单击时就需要帐号提升。如下图所示，改变时区不需要提示，而如果改变日期和时间就需要得到你的同意。
UAC的运行根据你的帐号类型的不同而不同。标准用户在尝试执行管理员级任务时，将会面临一个信任状对话框，向你要管理员帐号名称和密码（或者其他类似的获取信任壮的方法），如下图所示：
同时，管理员级的用户，运行于默认的微软称之为管理员批准模式下，收到的界面有些不同，称为批准对话框。这个对话框简单问你是否要继续任务。
第三种UAC对话框显示你试图执行的应用程序没有进行数字签名或验证。该对话框比其他UAC对话框要更大些，不论你是否是管理员都会显示。
提示：为了让系统更加安全，管理员级用户也可以将Vista配置成需要用户名和密码的形式，就像标准用户帐号那样，后面会讨论这个问题。
两种情形下，屏幕会在一闪之后进入挂起，直到你处理好对话框。这个时候系统会进入称为安全桌面（Vista的欢迎/登陆屏幕也利用了它），然后提供你UAC对话框。
微软为什么不是简单使用普通弹出窗口的原因有二。首先，微软的安全研究员承认原来开发的UAC版本的确显示的是普通的对话框屏幕。其次，如果用户同时有许多打开窗口，这时UAC窗口会隐藏于它们之后。在这种情况下，用户可能不会意识到需要认证，会认为刚刚请求的任务在后台默默运行着。而实际上它还在等待用户与它交互呢。
不论一些误传，Windows XP中没有类似UAC的功能。例如，上述的Run As命令，为用户提供了手动的提升特定任务到管理员权限的功能。但是XP的shell本质上不理解Run As，不能自动提示用户任务在标准用户权限下运行失败。UAC提供了一个解决方案，不仅更加优雅还与系统结合更好。的确，UAC最好的一个功能是让父母配置孩子的标准账号更简单了。例如，当孩子们需要安装程序时，父母可以预览程序然后再在确认安全时提供信任状进行安装。
UAC还提供了向后兼容，在典型的XP系统中，应用程序会获取对系统的完全控制，所以它们可以读写注册表和文件系统的任何地方。在Vista中，注册表和文件系统都被锁定了。所以UAC提供注册表和文件系统的虚拟化服务，悄悄重定向读写操作，将读写操作从受保护的注册表和文件系统导向未被保护的地方。让我们看看这是什么意思。
我安装了许多程序，它们中的许多呈现出它们完全控制了系统。其中之一就是微软的MSN Messenger程序。如果你导航到这个程序文件，就会看到在资源管理器工具栏中的一个新按钮，称为兼容性文件。
如果你单机这个按钮，你将被带到在你的用户配置处的一个隐藏位置。这里有一个文件ErrorResponse.xml，相信它位于C: Program FilesMSN Messenger目录中。但是它实际位置是D:UsersPaulAppDataLocalVirtualStoreProgram FilesMSN Messenger。
最后，我应该指出UAC在Vista Beta 2中相对之前版本已经有所改进，而且微软也承诺会进一步改进UAC，让用户减少见到UAC的机会。
二、配置和禁用UAC
某些用户会想以特殊方式配置UAC或者关闭它。我的建议是：不要管UAC，适应它的存在吧。因为这样系统会更安全。但是，如果你正寻找变化或者关闭UAC，这里有些方法。
大部分的UAC配置都可以在本地安全设置控制台中进行（假定你没有连接到域）。访问它的方式：打开开始菜单，键入secpol.msc，回车。
然后，导向本地策略—安全选项，滚动到列表底部，就能看见下列8个UAC选项列表：
User Account Control:内建管理员账号的管理员批准模式
默认设置：未定义
User Account Control:管理员批准模式权限提升提示
默认设置：批准提示
User Account Control:标准用户权限提升提示
默认设置：信任状提示
User Account Control: 删除程序安装和权限提升提示
默认设置：开启
User Account Control: 只有执行签名和验证时权限提升
默认设置：开启
User Account Control:在管理员批准模式中运行所有管理程序
默认设置：开启
User Account Control:当权限提升提示时控制切换到安全桌面
默认设置：开启
User Account Control:对于每一个用户位置虚拟化文件和注册表写失败
默认设置：开启
如果你想禁用UAC可以进入控制面板-用户帐号和家庭安全-用户帐号-改变安全设置以禁用UAC。
当你改变UAC时注意，安全中心会触发警告。UAC的其他安全设置，你将看到一个监视这个功能是否开启的UAC选项，有一个开启按钮可以让你重启UAC（系统需要重启）。
--Paul Thurrott
May 27, 2006
===========
appbeta.com 编译
固定链接: Windows Vista功能聚焦：用户帐户控制
关键词:
引用:
