Use os sinalizadores UserAccountControl para manipular as propriedades da conta de usuário

Este artigo descreve informações sobre como usar o atributo UserAccountControl para manipular as propriedades da conta de usuário.

Aplica-se a: Windows Server 2012 R2, Windows Server 2016, Windows Server 2019, Windows Server 2022
Número original do KB: 305144

Resumo

Quando abrir as propriedades de uma conta de usuário, clique na guia Conta e, em seguida, marque ou desmarque as caixas de seleção na caixa de diálogo Opções de conta, valores numéricos são atribuídos ao atributo UserAccountControl. O valor atribuído ao atributo informa ao Windows quais opções foram habilitadas.

Para visualizar as contas do usuário, clique em Iniciar, aponte para Programas, Ferramentas administrativas e clique em Usuários e computadores do Active Directory.

Lista de sinalizadores de propriedade

Você pode exibir e editar esses atributos usando a ferramenta Ldp.exe ou o snap-in Adsiedit.msc.

A tabela a seguir lista os possíveis sinalizadores que você pode atribuir. Você não pode definir alguns dos valores em um objeto de usuário ou computador porque esses valores podem ser definidos ou redefinidos apenas pelo serviço de diretório. Ldp.exe mostra os valores em hexadecimal. Adsiedit.msc exibe os valores em decimal. Os sinalizadores são cumulativos. Para desabilitar a conta de um usuário, defina o atributo UserAccountControl como 0x0202 (0x002 + 0x0200). Em decimal, é 514 (2 + 512).

Descrições do sinalizador de propriedade

• SCRIPT: o script de logon será executado.

• ACCOUNTDISABLE: a conta de usuário está desabilitada.

• HOMEDIR_REQUIRED: a pasta base é necessária.

• PASSWD_NOTREQD: nenhuma senha é necessária.

• PASSWD_CANT_CHANGE: o usuário não pode alterar a senha. É uma permissão no objeto do usuário. Para obter informações sobre como definir essa permissão programaticamente, consulte Como modificar o usuário não pode alterar senha (provedor LDAP).

• ENCRYPTED_TEXT_PASSWORD_ALLOWED: o usuário pode enviar uma senha criptografada.

• TEMP_DUPLICATE_ACCOUNT: é uma conta para usuários cuja conta primária está em outro domínio. Essa conta fornece acesso de usuário a esse domínio, mas não a nenhum domínio que confie nesse domínio. Às vezes, ele é conhecido como uma conta de usuário local.

• NORMAL_ACCOUNT: é um tipo de conta padrão que representa um usuário típico.

• INTERDOMAIN_TRUST_ACCOUNT: é uma permissão para confiar em uma conta para um domínio do sistema que confia em outros domínios.

• WORKSTATION_TRUST_ACCOUNT: é uma conta de computador para um computador que está executando o Microsoft Windows NT 4.0 Workstation, o Microsoft Windows NT 4.0 Server, o Microsoft Windows 2000 Professional ou o Windows 2000 Server e é membro desse domínio.

• SERVER_TRUST_ACCOUNT: é uma conta de computador para um controlador de domínio que é membro desse domínio.

• DONT_EXPIRE_PASSWD: representa a senha, que nunca deve expirar na conta.

• MNS_LOGON_ACCOUNT: é uma conta de logon do MNS.

• SMARTCARD_REQUIRED: quando esse sinalizador é definido, ele força o usuário a fazer logon usando um cartão inteligente.

• TRUSTED_FOR_DELEGATION: quando esse sinalizador é definido, a conta de serviço (a conta de usuário ou computador) na qual um serviço é executado é confiável para delegação Kerberos. Qualquer serviço desse tipo pode representar um cliente solicitando o serviço. Para habilitar um serviço para delegação Kerberos, você deve definir esse sinalizador na propriedade userAccountControl da conta de serviço.

• NOT_DELEGATED: quando esse sinalizador é definido, o contexto de segurança do usuário não é delegado a um serviço, mesmo que a conta de serviço seja definida como confiável para delegação Kerberos.

• USE_DES_KEY_ONLY: (Windows 2000/Windows Server 2003) restrinja essa entidade de segurança para usar somente tipos de criptografia DES (Data Encryption Standard) para chaves.

• DONT_REQUIRE_PREAUTH: (Windows 2000/Windows Server 2003) essa conta não exige a pré-autenticação kerberos para fazer logon.

• PASSWORD_EXPIRED: (Windows 2000/Windows Server 2003) a senha do usuário expirou.

• TRUSTED_TO_AUTH_FOR_DELEGATION: (Windows 2000/Windows Server 2003) a conta está habilitada para delegação. É uma configuração sensível à segurança. As contas que têm essa opção habilitada devem ser rigidamente controladas. Essa configuração permite que um serviço executado na conta assuma a identidade de um cliente e autentique-se como esse usuário em outros servidores remotos na rede.

• PARTIAL_SECRETS_ACCOUNT: (Windows Server 2008/Windows Server 2008 R2) a conta é um RODC (controlador de domínio somente leitura). É uma configuração sensível à segurança. Remover essa configuração de um RODC compromete a segurança nesse servidor.

Valores userAccountControl

Aqui estão os valores padrão de UserAccountControl para determinados objetos:

• Usuário típico: 0x200 (512)
• Controlador de domínio: 0x82000 (532480)
• Estação de trabalho/servidor: 0x1000 (4096)
• Confiança: 0x820 (2080)