5

У меня есть приложение, которое я поддерживаю и которое требует разрешения на чтение и запись в Реестр, а также на создание файлов на диске и CD-ROM.

Я хотел бы запускать компьютеры, используя пользователя с ограниченными правами, чтобы больше ничего нельзя было установить или записать в реестр без моего ведома, но без запроса Windows пароля каждый раз, когда программе требуется доступ к реестру.

Могу ли я настроить пользователя с ограниченными правами, чтобы программа или папка имели разрешение на любые действия? Я полностью доверяю этой программе, поскольку знаю людей, которые ее кодировали.

3 ответа3

4

Разрешения обычно назначаются учетным записям или группам пользователей. Таким образом, стандартный способ сделать это - назначить разрешения соответствующим разделам и папкам реестра (и убедиться, что соответствующая конфигурация политики не мешает пользователям записывать на CD).

Права доступа к CD могут быть особенно плохими, если они не работают и все выглядит настроенным. Если вы используете компакт-диски UDF (также называемые компакт-дисками с пакетной записью), у вас могут возникнуть проблемы. Поддержка этого немного ненадежна, IMX, хотя именно так работает перетаскивание в Win7. Nero BurnRights раньше была программой, которая справилась бы с этим, но это необходимо делать только в Windows 2000, поскольку по умолчанию обычные пользователи в Windows XP и более поздних версиях имеют разрешение на запись на съемный носитель. Это действительно зависит от того, как программа пытается записать на CD.

Единственной альтернативой этому является использование инструментария Microsoft для того, чтобы приложения, которые плохо себя ведут с современной безопасностью ОС, продолжали функционировать: инструментарий совместимости приложений. Это позволит вам заставить старое приложение вести себя так, как если бы оно работало с более высокими привилегиями, чем пользователь обычно, но это очень сложно и (если верить моему коллеге) очень трудно настроить. Вы по сути настраиваете программу shim, которая запускается между приложением и ОС, и она должна знать все, что собирается делать программа. Этот вариант следует рассматривать только в том случае, если у вас много времени и очень глубокие потребности, и вы не можете использовать разрешения NTFS и реестра для выполнения той же задачи.

3

Используйте sysinternals ProcMon.exe, чтобы найти иерархии реестра и иерархии файловой системы, необходимые для работы. Затем установите соответствующий реестр и разрешения NTFS, чтобы предоставить наименьшие привилегии ограниченному пользователю.

Когда для этого приложения найден набор наименьших привилегий, убедитесь, что ваши "программисты" собеседника сужают свое пространство в самом коде. Таким образом, новая версия будет работать как пользователь с ограниченными правами, не открывая поверхность yoyr atrack.

-3

Если "пользователь с ограниченными правами" может сделать что-то, что требует административных привилегий, то учетная запись не ограничена. Вы противоречите себе. Никто не может получить свой пирог и съесть его тоже.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками .