Kullanıcı hesabı özelliklerini değiştirmek için UserAccountControl bayraklarını kullanma

Bu makalede, kullanıcı hesabı özelliklerini değiştirmek için UserAccountControl özniteliğini kullanmaya ilişkin bilgiler açıklanmaktadır.

Şunlar için geçerlidir: Windows Server 2012 R2 , Windows Server 2016, Windows Server 2019, Windows Server 2022
Orijinal KB numarası: 305144

Özet

Bir kullanıcı hesabının özelliklerini açtığınızda, Hesap sekmesine tıklayın ve ardından Hesap seçenekleri iletişim kutusundaki onay kutularını seçin veya temizleyin; UserAccountControl özniteliğine sayısal değerler atanır. Özniteliğe atanan değer, Windows'a hangi seçeneklerin etkinleştirildiğini bildirir.

Kullanıcı hesaplarını görüntülemek için Başlat'a tıklayın, Programlar'ın üzerine gelin, Yönetimsel Araçlar'ın üzerine gelin ve ardından Active Directory Kullanıcıları ve Bilgisayarları'na tıklayın.

Özellik bayraklarının listesi

Ldp.exe aracını veya Adsiedit.msc ek bileşenini kullanarak bu öznitelikleri görüntüleyebilir ve düzenleyebilirsiniz.

Aşağıdaki tabloda, atayabileceğiniz olası bayraklar listelenir. Bir kullanıcı veya bilgisayar nesnesinde bazı değerleri ayarlayamazsınız, çünkü bu değerler yalnızca dizin hizmeti tarafından ayarlanabilir ya da sıfırlanabilir. Ldp.exe, değerleri onaltılık olarak gösterir. Adsiedit.msc, değerleri ondalık olarak görüntüler. Bayraklar kümülatiftir. Bir kullanıcının hesabını devre dışı bırakmak için UserAccountControl özniteliğini 0x0202 (0x002 + 0x0200) olarak ayarlayın. Ondalık olarak, 514 (2 + 512) olur.

Özellik bayrağı açıklamaları

• SCRIPT - Oturum açma betiği çalıştırılır.

• ACCOUNTDISABLE - Kullanıcı hesabı devre dışı bırakılır.

• HOMEDIR_REQUIRED - Giriş klasörü gereklidir.

• PASSWD_NOTREQD - Parola gerekmez.

• PASSWD_CANT_CHANGE - Kullanıcı parolayı değiştiremez. Bu, kullanıcının nesnesi üzerinde bir izindir. Bu izni program aracılığıyla ayarlama hakkında bilgi için bkz. Kullanıcı Parolayı Değiştiremez (LDAP Sağlayıcısı) ayarını değiştirme.

• ENCRYPTED_TEXT_PASSWORD_ALLOWED - Kullanıcı şifreli bir parola gönderebilir.

• TEMP_DUPLICATE_ACCOUNT - Birincil hesabı başka bir etki alanında olan kullanıcılar için bir hesaptır. Bu hesap bu etki alanına kullanıcı erişimi sağlar, ancak bu etki alanına güvenen herhangi bir etki alanına erişim sağlamaz. Bazen yerel kullanıcı hesabı olarak da adlandırılır.

• NORMAL_ACCOUNT - Tipik kullanıcıyı temsil eden varsayılan bir hesap türüdür.

• INTERDOMAIN_TRUST_ACCOUNT - Diğer etki alanlarına güvenen bir sistem etki alanı için bir hesaba güvenme iznidir.

• WORKSTATION_TRUST_ACCOUNT - Microsoft Windows NT 4.0 Workstation, Microsoft Windows NT 4.0 Server, Microsoft Windows 2000 Professional veya Windows 2000 Server çalıştıran ve bu etki alanının üyesi olan bir bilgisayarın bilgisayar hesabıdır.

• SERVER_TRUST_ACCOUNT - Bu etki alanının üyesi olan bir etki alanı denetleyicisinin bilgisayar hesabıdır.

• DONT_EXPIRE_PASSWD - Hesapta hiçbir zaman süresi dolmaması gereken parolayı temsil eder.

• MNS_LOGON_ACCOUNT - Bu bir MNS oturum açma hesabıdır.

• SMARTCARD_REQUIRED - Bu bayrak ayarlandığında kullanıcıyı akıllı kart kullanarak oturum açmaya zorlar.

• TRUSTED_FOR_DELEGATION - Bu bayrak ayarlandığında, Kerberos temsilcisi için altında bir hizmetin çalıştığı hizmet hesabına (kullanıcı veya bilgisayar hesabı) güvenilir. Bu tür bir hizmet, hizmeti isteyen bir istemcinin kimliğine bürünebilir. Bir hizmeti Kerberos temsilcisi olarak etkinleştirmek için bu bayrağı hizmet hesabının userAccountControl özelliğinde ayarlamanız gerekir.

• NOT_DELEGATED - Bu bayrak ayarlandığında, hizmet hesabı Kerberos temsilcisi için güvenilir olarak ayarlansa bile, kullanıcının güvenlik bağlamı bir hizmete devredilmez.

• USE_DES_KEY_ONLY - (Windows 2000/Windows Server 2003) Bu sorumluyu anahtarlar için yalnızca Veri Şifreleme Standardı (DES) şifreleme türlerini kullanacak şekilde kısıtlayın.

• DONT_REQUIRE_PREAUTH - (Windows 2000/Windows Server 2003) Bu hesap, oturum açmak için Kerberos ön kimlik doğrulaması gerektirmez.

• PASSWORD_EXPIRED - (Windows 2000/Windows Server 2003) Kullanıcının parolasının süresi doldu.

• TRUSTED_TO_AUTH_FOR_DELEGATION - (Windows 2000/Windows Server 2003) Hesap temsilci seçme için etkinleştirildi. Bu, güvenlik duyarlılığı olan bir ayardır. Bu seçeneğin etkinleştirildiği hesaplar sıkı bir şekilde denetlenmelidir. Bu ayar, hesap altında çalışan bir hizmetin, bir istemcinin kimliğini varsaymasına ve ağdaki diğer uzak sunucularda o kullanıcı olarak kimlik doğrulaması yapmasına olanak tanır.

• PARTIAL_SECRETS_ACCOUNT - (Windows Server 2008/Windows Server 2008 R2) Hesap salt okunur bir etki alanı denetleyicisidir (RODC). Bu, güvenlik duyarlılığı olan bir ayardır. RODC'den bu ayarın kaldırılması söz konusu sunucudaki güvenliği tehlikeye atar,.

UserAccountControl değerleri

Belirli nesneler için varsayılan UserAccountControl değerleri şunlardır:

• Tipik kullanıcı: 0x200 (512)
• Etki alanı denetleyicisi: 0x82000 (532480)
• İş istasyonu/sunucu: 0x1000 (4096)
• Güven: 0x820 (2080)