Użytkownik w grupie Administratorzy nie ma takich samych uprawnień jak Administrator (Win 2012 R2)

Utworzyłem administratora użytkownika i umieściłem tego użytkownika w grupach administratorów (lokalnie, nie ma reklam). Ale ten administrator nie ma takich samych uprawnień jak sam administrator.

Przykład 1: plik jest własnością SYSTEM, a grupa administratorów ma pełną kontrolę. Jeśli spróbuję dodać uprawnienia dla użytkownika do tego pliku, nie działa to dla administratora. Z Administratorem działa bez problemu.

Przykład 2: Konfiguracja zwiększonych zabezpieczeń IE jest wyłączona dla administratorów, włączona dla użytkowników. Dla administratora jest to w porządku, dla administratora jest nadal włączone.

Czy to problem z konfiguracją? Jeśli tak, co powinienem zrobić, aby zrobić to dobrze?

permissions windows-server-2012-r2 users

— Maarten
źródło

To nie powinno się tak zachowywać. Upewnij się, że to konto lokalne naprawdę należy do lokalnej grupy Administratorzy. Po zalogowaniu się z tym użytkownikiem możesz uruchomić, WHOAMI /GROUPS /FO LISTaby sprawdzić, czy naprawdę należą do właściwych grup.

— TheCleaner

Czy wylogowałeś się i ponownie zalogowałeś do nowego użytkownika po tym, jak stał się członkiem grup Administratora? Jego token dostępu nie zmieni się przez cały czas trwania bieżącej sesji na tym komputerze

— Mathias R. Jessen

@TheCleaner: są to grupy, do których on należy: Wszyscy, NT AUTHORITY \ Konto lokalne i członek grupy Administrators, BULTIN \ Administrators, BUILTIN \ Users, NT AUTHORITY \ REMOTE INTERACTIVE LOGON, NT AUTHORITY \ INTERACTIVE, NT AUTHORITY \ Authentified Users , NT AUTHORITY \ Ta organizacja, NT AUTHORITY \ Konto lokalne, LOCAL, NT AUTHORITY \ NTLM Uwierzytelnianie, etykieta obowiązkowa \ Średni poziom obowiązkowy

— Maarten

Ponieważ nie ma go w domenie, zastanawiam się, czy to jest problem UAC. Jeśli wyłączysz UAC (Kontrola konta użytkownika) na serwerze, czy to zadziała? social.technet.microsoft.com/wiki/contents/articles/…

— TheCleaner

Problem z prawami (przykład 1) wydaje się być OK po wyłączeniu UAC. IE ESC nadal stanowi problem.

— Maarten

Odpowiedzi:

Może to być spowodowane Kontrolą konta użytkownika , funkcją (nienawidzoną przez wielu), która sprawia, że nawet jeśli masz uprawnienia administracyjne, nie masz ich, chyba że wyraźnie o to poprosisz. Istnieją dwie odrębne zasady rządzące zachowaniem UAC (obie znajdują się w Computer settings\Windows settings\Security settings\Local policies\Security options), jedna dla Administratorkonta wbudowanego , a druga dla wszystkich innych użytkowników administracyjnych:

Kontrola konta użytkownika: tryb zatwierdzania przez administratora dla wbudowanego konta administratora (domyślnie wyłączone)
Kontrola konta użytkownika: uruchom wszystkich administratorów w trybie zatwierdzania przez administratora (domyślnie włączone)

Oznacza to, że: domyślnie na Administratorkonto wbudowane nie ma wpływu Kontrola konta użytkownika, podczas gdy wszyscy inni użytkownicy administracyjni tak ; dlatego użytkownik administracyjny (inny niż wbudowany Administrator) może nie mieć praw administracyjnych, nawet jeśli jest członkiem Administratorsgrupy.

Więcej informacji tutaj .

— Massimo
źródło

Wyłączenie drugiego ustawienia rozwiązało problem w systemie Windows 10. Czy możesz wyjaśnić, dlaczego to ustawienie istnieje? Po co mieć grupę Administratorów, jeśli członkowie tej grupy domyślnie nie mają dostępu do żadnego z uprawnień tej grupy?

— Mordred,

Chodzi o (podobno) to, że UAC powstrzymuje użytkowników z prawami administracyjnymi przed przypadkowym zastrzeleniem się im na nogi, ponieważ muszą jawnie poprosić system o przyznanie im uprawnień, które powinni mieć (używając „uruchom jako administrator” podczas uruchamiania programu).

— Massimo

Jednak implementacja jest tak niestabilna (na przykład nie można użyć opcji „uruchom jako administrator” w Eksploratorze Windows, ponieważ zawsze działa i nie można uruchomić innej instancji z podwyższonymi uprawnieniami), że większość zaawansowanych użytkowników po prostu całkowicie wyłącza UAC , aby móc faktycznie korzystać z komputera.

— Massimo

Kontrola konta użytkownika istnieje już od systemu Windows Vista, ale jest jeszcze gorzej w systemie Windows 8 i nowszych (w tym 10), ponieważ wyłączenie UAC skutecznie zatrzymuje w ogóle uruchamianie aplikacji Metro / Modern: z jakiegoś nieznanego powodu wydają się one potrzebować UAC do uruchomienia, i nawet się nie uruchamiają, jeśli UAC jest wyłączony.

— Massimo

Miałem podobną sytuację i naprawiłem ją, postępując zgodnie z instrukcjami z http://clintboessen.blogspot.com/2013/05/you-dont-currently-have-permission-to.html (które dotyczą innej sytuacji). Oto co miałem i co zrobiłem:

Dwa komputery, brak domeny Active Directory, jeden z Win 8.1 (na przykład nazwa W81), drugi z Server 2012 (na przykład nazwa w12)
Dwóch lokalnych użytkowników na w12: [UżytkownikA] z HasłemA i [UżytkownikB] z HasłemB. Oba należą do grupy lokalnej [Administratorzy].
Dwóch lokalnych użytkowników na w81: [UżytkownikA] i [UżytkownikB] z tym samym hasłemA i hasłemB, co odpowiadający użytkownicy w12. Oba należą do grupy lokalnej [Administratorzy].
Udostępniam folder na w12: a. Nazwa udziału: Temp1 $ b. Uprawnienia do udostępniania: [Wszyscy], Pełna kontrola c. Uprawnienia NTFS: [Administratorzy], Pełna kontrola. Żadna inna grupa nie ma tutaj uprawnień NTFS
Zalogowałem się na W12 jako [UżytkownikA], próbuję uzyskać dostęp do udziału przy użyciu UNC \ w12 \ Temp1 $. Pojawia się błąd informujący, że nie mam dostępu. Udział został znaleziony. Po prostu brak dostępu.
Zalogowałem się na W81 jako [UserB], próbuję uzyskać dostęp do udziału przy użyciu UNC \ w12 \ Temp1 $. Otrzymuję ten sam błąd. RESTARING w12 NIE POMAGA.
Jeśli dodam [UserA] i [UserB] jawnie do uprawnień NTFS, mają oni teraz dostęp do udziału, wykonując kroki 5 i 6.
I Ran GPEdit.msc na w12, poszedłem do:

Konfiguracja komputera -> Ustawienia systemu Windows -> Ustawienia zabezpieczeń -> Zasady lokalne -> Opcje bezpieczeństwa

i zastosował ustawienia dla rekomendacji nr 1 i 3:

# 1, Kontrola konta użytkownika: Tryb zatwierdzania przez administratora dla wbudowanego konta administratora: Wyłączony. # 3, Kontrola konta użytkownika: Uruchom wszystkich administratorów w trybie zatwierdzania przez administratora: Wyłączony.

I pozostawiono # 2 nietknięte: # 2, Kontrola konta użytkownika: Zachowanie monitu o podniesienie uprawnień dla administratorów w trybie zatwierdzania przez administratora: Monituj o zgodę na pliki binarne inne niż Windows

Uruchomiłem ponownie maszynę i sytuacja się nie powtórzyła.

— Jelgab
źródło

Zezwolenie na dostęp do udziału (pozwolenie na udział) nie jest tym samym, co pozwolenie na dostęp do pliku (pozwolenie NTFS). Są i powinny być oddzielne.

— artifex