Как отключить/изменить контроль учетных записей пользователей с помощью групповой политики?

(Контроль учетных записей) — важный компонент безопасности Windows. Когда вы запускаете любое приложение или процесс, требующий прав администратора, пытаетесь изменить параметры системы, защищенные ключи реестра или системные файлы, компонент UAC переводит рабочий стол в защищенный режим (Secure Desktop) и запрашивает у администратора подтверждение этих действий. Таким образом, UAC помогает предотвратить запуск процессов и вредоносных программ, которые потенциально могут нанести вред вашему компьютеру.

На снимке экрана ниже показано, что при попытке запустить редактор реестра (

regedit.exe

) в Windows 10 появляется окно подтверждения UAC:

User Account Control
Do you want to allow this app to make changes to your device?

В этой статье мы рассмотрим, как управлять настройками UAC на одном компьютере или нескольких компьютерах в домене с помощью групповых политик.

Уровни ползунка контроля учетных записей пользователей в Windows 10

В Windows 7 (и новее) настройками UAC на компьютере управляет специальный ползунок (вызывается через панель управления или

UserAccountControlSettings.exe

файл). С помощью ползунка вы можете выбрать один из четырех предустановленных уровней защиты контроля учетных записей.

• Уровень 4 — Всегда уведомлять — самый высокий уровень защиты UAC;

• Уровень 3 — уведомлять только тогда, когда программы пытаются внести изменения в мой компьютер (по умолчанию) — уровень защиты по умолчанию;

• Уровень 2 — Уведомлять только тогда, когда программы пытаются внести изменения в мой компьютер (не затемнять мой рабочий стол) — почти то же самое, что и предыдущий уровень, но без переключения на Безопасный рабочий стол с блокировкой рабочего стола;

• Уровень 1 — Никогда не уведомлять — UAC отключен.

По умолчанию в Windows 10 используется защита UAC Уровень 3, которая отображает уведомление только при попытке изменить системные файлы или настройки.

Как отключить контроль учетных записей пользователей в Windows с помощью GPO?

Вы можете отключить UAC с помощью групповой политики. На автономном компьютере вы можете использовать редактор локальной групповой политики.

gpedit.msc

. Если вам необходимо развернуть политику на компьютерах домена, вам необходимо использовать консоль управления групповой политикой —

gpmc.msc

(рассмотрим этот вариант).

1. В Консоли управления GPO домена нажмите на OU с компьютерами, на которых вы хотите отключить UAC, и создайте новый объект политики;

   

2. Отредактируйте политику и перейдите в раздел Конфигурация компьютера -> Политики -> Настройки Windows -> Настройки безопасности -> Локальные политики -> Параметры безопасности;

3. В этом разделе есть несколько опций, управляющих настройками UAC. Имена этих параметров начинаются с Контроль учетных записей;

   

4. Чтобы полностью отключить UAC, установите следующие значения параметров:

   • Контроль учетных записей пользователей: поведение запроса на повышение прав для администраторов в режиме одобрения администратором =

   Elevate without prompting

   ;

   • Контроль учетных записей пользователей: обнаружение установок приложений и запрос на повышение прав =

     Disabled

     ;

   • Контроль учетных записей пользователей: запуск всех администраторов в режиме одобрения администратором =

     Disabled

     ;

   • Контроль учетных записей пользователей: повышайте права только для приложений UIAccess, установленных в безопасных местах =

     Disabled

     

5. Вам необходимо перезагрузить клиентский компьютер, чтобы обновить параметры групповой политики и отключить UAC. После перезагрузки UAC перейдет в режим «Никогда не уведомлять».

Вы также можете отключить UAC только для некоторых пользователей/компьютеров через реестр и развернуть настройки через настройки групповой политики.

Создайте новый параметр реестра в разделе GPO Конфигурация компьютера -> Настройки -> Настройки Windows -> Реестр с помощью следующие настройки:

• Действие: Заменить

• Улей: HKEY_LOCAL_MACHINE

• Путь к ключу: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

• Имя значения: EnableLUA

• Тип значения: REG_DWORD

• Данные значения: 0

Затем перейдите на вкладку Общие и включите параметры:

• Удалите этот элемент, когда он больше не применяется.

• Таргетинг на уровне предмета

Нажмите кнопку Таргетинг и укажите компьютеры или группы безопасности домена, к которым вы хотите применить политику отключения UAC.

Настройки ключа реестра UAC

Управлять настройками UAC можно через реестр. Параметры, отвечающие за поведение контроля учетных записей пользователей, расположены в разделе реестра HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System .

При изменении значения ползунка UAC в Панели управления Windows меняет значение настроек реестра из этого ключа reg следующим образом (ниже представлены готовые REG-файлы для разных уровней ползунка контроля учетных записей):

Уровень UAC 4 (всегда уведомлять):

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"ConsentPromptBehaviorAdmin"=dword:00000002
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableVirtualization"=dword:00000001
"PromptOnSecureDesktop"=dword:00000001
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000

UAC уровня 3 (уведомлять только тогда, когда программы пытаются внести изменения в мой компьютер):

"ConsentPromptBehaviorAdmin"=dword:00000005
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableVirtualization"=dword:00000001
"PromptOnSecureDesktop"=dword:00000001
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000

Уровень UAC 2:

"ConsentPromptBehaviorAdmin"=dword:00000005
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableVirtualization"=dword:00000001
"PromptOnSecureDesktop"=dword:00000000
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000

Уровень UAC 1 (никогда не уведомлять — полностью отключить UAC):

"ConsentPromptBehaviorAdmin"=dword:00000000
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableVirtualization"=dword:00000001
"PromptOnSecureDesktop"=dword:00000000
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000

Вы можете изменить значение любого параметра с помощью графического интерфейса редактора реестра или из командной строки. Например, чтобы отключить UAC на компьютере (необходима перезагрузка), можно выполнить команду:

reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f.

Или аналогичная команда PowerShell:

New-ItemProperty -Path HKLM:Software\Microsoft\Windows\CurrentVersion\policies\system -Name EnableLUA -PropertyType DWord -Value 0 -Force

Контроль учетных записей пользователей на Windows Server

Контроль учетных записей пользователей в Windows Server работает и управляется так же, как и в настольных версиях Windows.

Полностью отключить UAC в Windows Server 2016/2019 допустимо, если выполняются следующие условия:

• Удаленный доступ к рабочему столу сервера имеют только администраторы (для пользователей, не являющихся администраторами, доступ к серверу по протоколу RDP должен быть отключен). На узлах RDS оставьте UAC включенным;

• Администраторам следует использовать Windows Server только для задач административного управления. Администратор должен работать с офисными документами, мессенджерами, веб-браузерами только на рабочей станции под непривилегированной учетной записью пользователя с включенным UAC, а не на хостах серверов.

Когда UAC включен, Windows Server не позволяет удаленно подключаться под учетными записями локального компьютера (через net use, winrm, Powershell Remoting). Токен пользователя будет фильтроваться включенным UAC.

LocalAccountTokenFilterPolicy

параметр (обсуждаемый в предыдущем разделе).

Ползунок UAC и настройки групповой политики

Управлять настройками UAC можно как с помощью ползунка, так и с помощью GPO. Но не существует единого параметра групповой политики, позволяющего выбрать один из четырех уровней защиты UAC (соответствует положению ползунка UAC). Вместо этого предлагается управлять настройками UAC, используя 10 различных параметров GPO. Эти политики расположены в следующем разделе редактора объектов групповой политики: Конфигурация компьютера -> Политики -> Настройки Windows -> Настройки безопасности -> Локальные политики -> Параметры безопасности. Параметры групповой политики, связанные с UAC, начинаются с Контроль учетных записей пользователей.

В следующей таблице показан список параметров групповой политики UAC и соответствующие им ключи реестра.

Policy Name

Параметры реестра, установленные политикой

User Account Control: Admin Approval Mode for the Built-in Administrator account

Токен ФильтрАдминистратора

User Account Control: Allow UIAccess applications to prompt for elevation without using the secure desktop

ВключитьUIADesktopToggle

User Account Control: Behavior of the elevation prompt for administrators in Admin Approval Mode

СогласиеПодсказкаПоведениеАдминистратор

User Account Control: Behavior of the elevation prompt for standard users

СогласиеПодсказкаПоведениеПользователь

User Account Control: Detect application installations and prompt for elevation

Включить установщикдетектион

User Account Control: Only elevate executables that are signed and validated

Валидатеадминкодесигнатурс

User Account Control: Only elevate UIAccess applications that are installed in secure locations

ВключитьSecureUIAPaths

User Account Control: Run all administrators in Admin Approval Mode

ВключитьLUA

User Account Control: Switch to the secure desktop when prompting for elevation

PromptOnSecureDesktop

User Account Control: Virtualize file and registry write failures to per-user locations

Включить виртуализацию

По умолчанию UAC уровня 3 использует следующие параметры групповой политики:

UAC, уровень 3 (по умолчанию)

Disabled

Disabled

Prompt for consent for non-Windows binaries

Prompt for credentials on the secure desktop

Enabled  

Disabled 

Disabled

Enabled

Enabled

Enabled

Enabled