Beschrijving van gebruikersaccountbeheer en externe beperkingen in Windows Vista

In dit artikel worden gebruikersaccountbeheer (UAC) en externe beperkingen beschreven.

Van toepassing op: Windows Vista
Origineel KB-nummer: 951016

Inleiding

Gebruikersaccountbeheer (UAC) is een nieuw beveiligingsonderdeel van Windows Vista. Met UAC kunnen gebruikers algemene dagelijkse taken uitvoeren als niet-beheerders. Deze gebruikers worden standaardgebruikers genoemd in Windows Vista. Gebruikersaccounts die lid zijn van de lokale groep Administrators, voeren de meeste toepassingen uit met behulp van het principe van minimale bevoegdheden. In dit scenario hebben gebruikers met minimale bevoegdheden rechten die lijken op de rechten van een standaardgebruikersaccount. Wanneer een lid van de lokale groep Administrators echter een taak moet uitvoeren waarvoor beheerdersrechten zijn vereist, wordt de gebruiker automatisch om goedkeuring gevraagd.

Hoe externe UAC-beperkingen werken

Om gebruikers die lid zijn van de lokale groep Administrators beter te beschermen, implementeren we UAC-beperkingen op het netwerk. Dit mechanisme helpt bij het voorkomen van loopback-aanvallen . Dit mechanisme helpt ook voorkomen dat lokale schadelijke software op afstand wordt uitgevoerd met beheerdersrechten.

Lokale gebruikersaccounts (Security Account Manager-gebruikersaccount)

Wanneer een gebruiker die lid is van de lokale groep Administrators op de externe doelcomputer een externe beheerverbinding tot stand brengt met behulp van bijvoorbeeld de opdracht net use *\\remotecomputer\Share$ , maakt deze geen verbinding als een volledige beheerder. De gebruiker heeft geen uitbreidingspotentieel op de externe computer en de gebruiker kan geen beheertaken uitvoeren. Als de gebruiker het werkstation wil beheren met een SAM-account (Security Account Manager), moet de gebruiker zich interactief aanmelden bij de computer die moet worden beheerd met Hulp op afstand of Extern bureaublad, als deze services beschikbaar zijn.

Domeingebruikersaccounts (Active Directory-gebruikersaccount)

Een gebruiker met een domeingebruikersaccount meldt zich extern aan bij een Windows Vista-computer. En de domeingebruiker is lid van de groep Administrators. In dit geval wordt de domeingebruiker uitgevoerd met een volledig beheerderstoegangstoken op de externe computer en is UAC niet van kracht.

Externe UAC-beperkingen uitschakelen

Voer de volgende stappen uit om externe UAC-beperkingen uit te schakelen:

1. Klik op Start, klik op Uitvoeren, typ regedit en druk op Enter.

2. Zoek naar en klik op de volgende registersleutel:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

3. Als de registervermelding niet bestaat, voert u de LocalAccountTokenFilterPolicy volgende stappen uit:

   1. Wijs in het menu Bewerkende optie Nieuw aan en selecteer vervolgens DWORD-waarde.
   2. Typ LocalAccountTokenFilterPolicy en druk op Enter.

4. Klik met de rechtermuisknop op LocalAccountTokenFilterPolicy en selecteer vervolgens Wijzigen.

5. Typ 1 in het vak Waardegegevens en selecteer VERVOLGENS OK.

6. Sluit de Register-editor af.

Heeft dit het probleem opgelost

Controleer of het probleem is opgelost. Als het probleem niet is opgelost, neemt u contact op met de ondersteuning.

Externe UAC-instellingen

De registervermelding LocalAccountTokenFilterPolicy kan de waarde 0 of 1 hebben. Met deze waarden wordt het gedrag van de registervermelding gewijzigd in de vermelding die in de volgende tabel wordt beschreven.