Локальний адміністратор на робочих ПК: чому користувач ним бути не має

Права адміністратора роздають не зі злого наміру, а щоб не бігати на кожен запит. Через рік виявляється, що на кожній машині свій набір програм, антивірус вимкнений у трьох кабінетах, а шифрувальник, який прийшов поштою, зашифрував ще й спільну теку. Нижче — як забрати права без конфлікту і що робити з програмами, які без них не працюють.

Коротко

1. Обліковий запис у групі адміністраторів небезпечний навіть з увімкненим UAC — контроль облікових записів не є захистом від шкідливого коду.

2. Схема, яка працює: користувач без прав плюс окремий адміністративний запис, дані якого вводять за потреби.

3. Без шифрування диска все це не має значення: з завантажувальної флешки права отримує будь-хто.

Що насправді дають адмінські права

Спершу технічна деталь, яку варто розуміти, перш ніж сперечатися.

Обліковий запис у групі адміністраторів не працює з повними правами постійно. Контроль облікових записів (UAC) видає такому користувачеві розділений токен: звичайні права для щоденної роботи й повні — тільки після підтвердження. Перевірено на живій машині: обліковий запис входить до групи адміністраторів, а перевірка IsInRole для ролі адміністратора повертає False.

Наочно це видно за реакцією системи. З-під такого запису без підвищення прав не вдається нічого з очевидного:

Звідси й типовий аргумент: «у нас усе під UAC, ризику немає». Він хибний із двох причин.

По-перше, підвищення прав — це один клік, і користувач робить його не думаючи: вікно UAC давно сприймається як «щоб продовжити, натисніть Так». По-друге, Microsoft прямо не вважає UAC межею безпеки: способи обійти запит існують, і шкідливе ПЗ ними користується. Наявність у групі адміністраторів — це можливість отримати повні права, а не гарантія, що їх не отримають без відома людини.

Що ламається, коли користувач — адміністратор

Шифрувальник працює з правами адміністратора. Це головне. Із правами звичайного користувача програма-вимагач зашифрує його документи. З правами адміністратора вона додатково видалить тіньові копії, вимкне захист і дістанеться мережевих тек, доступних із цієї машини.

Захист вимикають. Не з диверсійними намірами, а тому, що «антивірус заважає програмі». Ви дізнаєтесь про це через півроку.

Парк перестає бути однаковим. На кожній машині свій набір програм, свої драйвери, свої «оптимізатори». Будь-яка задача перетворюється на розслідування, бо однакових комп’ютерів більше немає.

Слідів немає. Усе, що зробив адміністратор, зроблено легітимно. Не буде ні відмови в доступі, ні події в журналі, за якою можна відновити картину.

Змінюють те, за що відповідаєте ви. Мережеві налаштування, права на теки, час, драйвери. Наслідки розгрібає IT-служба, і причина щоразу невідома.

Чого адмінські права насправді не вирішують

Перш ніж забирати, варто розібрати аргументи, які ви почуєте. Більшість із них не витримує перевірки.

«Мені треба оновлювати браузер». Не треба. Сучасні браузери оновлюються самі: на перевіреній машині Edge встановлений у профілі користувача (AppData\Local) і оновлюється без будь-яких прав. Chrome в корпоративному розгортанні теж має службу оновлення, яка працює від системи.

«Я маю ставити принтери». Установка драйвера принтера звичайним користувачем заборонена в Windows за замовчуванням — після відомої вразливості в службі друку Microsoft закрив цю можливість. Перевірено: параметр RestrictDriverInstallationToAdministrators на тестовій машині не заданий, тобто діє саме заборона. Права адміністратора цю задачу не вирішують правильно — правильно виглядає інакше: принтери додає IT-служба або вони роздаються централізовано.

«Програма не запускається без прав». Іноді це правда, і саме такі випадки треба зібрати списком (крок 2). Але частіше програма вимагає прав не для роботи, а для запису журналу чи налаштувань у власну теку в Program Files — і це лікується правами на одну теку, а не адміністратором на весь комп’ютер.

«Я сам розберуся швидше, ніж чекати заявку». Це не про права, а про строк реакції. Якщо заявку беруть у роботу за годину, потреба «зробити самому» зникає. Про те, як домовитись про такі строки й дотримуватися їх, є окрема методика: SLA для внутрішнього IT.

Крок 1. Порахуйте, хто зараз адміністратор

Почніть із фактів, а не з відчуттів. На кожній машині подивіться склад групи адміністраторів:

Get-LocalGroupMember -SID 'S-1-5-32-544'

Групу шукайте за ідентифікатором S-1-5-32-544, а не за назвою: в українській Windows вона зветься «Адміністратори», в англійській — Administrators, і скрипт із жорстко прописаною назвою на половині парку просто не спрацює.

У виводі буде видно і вбудований запис Administrator, і всіх доданих людей. Цікавлять саме люди.

Заодно перевірте вбудований обліковий запис адміністратора:

Get-LocalUser | Where-Object { $_.SID.Value -like 'S-1-5-*-500' } | Select-Object Name, Enabled

У Windows 11 він вимкнений за замовчуванням — на перевіреній машині саме так. Якщо у вас він увімкнений, це окремий ризик: цей запис не має обмеження UAC і часто має однаковий пароль на весь парк.

Крок 2. Складіть перелік того, що справді вимагає прав

Не забирайте права, доки не знаєте, що зламається. Обійдіть кабінети або опитайте користувачів і випишіть програми, які без адміністратора не працюють.

У бюджетній установі це зазвичай короткий і передбачуваний список: банк-клієнт зі старим модулем підпису, програма казначейства, спеціалізована галузева система, драйвер апаратного ключа. Решта — офіс, браузер, пошта — працюють без прав завжди.

Для кожної позиції зі списку з’ясуйте, що саме їй потрібно: запис у власну теку в Program Files, запис у гілку реєстру HKLM чи доступ до порту. Це визначає рішення в кроці 6.

Крок 3. Розділіть облікові записи

Схема, яка працює в установі без домену:

Звичайний обліковий запис — той, під яким людина працює щодня. Без прав адміністратора.

Окремий адміністративний запис — існує на комп’ютері, але ніхто під ним не працює. Його дані вводить IT-служба, коли треба щось встановити.

Windows цю схему підтримує з коробки: коли звичайний користувач запускає програму, яка вимагає прав, система пропонує ввести облікові дані адміністратора. На перевіреній машині параметр ConsentPromptBehaviorUser дорівнює 3 — це саме «запитати облікові дані», а не «відмовити мовчки».

Головне правило: адміністративний запис не має бути тим, під яким читають пошту. Сенс поділу зникає, щойно людина заходить у систему під записом із повними правами.

Крок 4. Різні паролі локального адміністратора

Однаковий пароль локального адміністратора на всьому парку — найпоширеніша й найдорожча помилка. Один скомпрометований комп’ютер означає доступ до всіх інших: облікові дані з пам’яті однієї машини підходять скрізь.

У Windows 11 для цього є вбудоване рішення — Windows LAPS. Воно саме генерує окремий пароль локального адміністратора для кожної машини, зберігає його в каталозі й регулярно змінює. Перевірено: командлети керування ним присутні в системі за замовчуванням, окремо нічого встановлювати не треба.

Якщо домену немає й LAPS розгорнути ніде, мінімальний варіант — різні паролі на кожній машині, згенеровані, а не придумані, і збережені в менеджері паролів IT-служби. Не у файлі паролі.xlsx на робочому столі.

Крок 5. Зашифруйте системний диск

Без цього кроку всі попередні втрачають сенс, і це варто сказати прямо.

Будь-хто, хто має фізичний доступ до комп’ютера й завантажувальну флешку, отримує повні права над незашифрованою системою: способи скинути пароль або підмінити системний файл, який запускається до входу, добре описані й не потребують кваліфікації. Ваш поділ облікових записів у цьому сценарії не заважає взагалі.

Шифрування диска — те, що робить фізичний доступ марним. Для Windows 11 Pro це BitLocker, і для машин у кабінетах, куди заходять сторонні, він потрібен так само, як для ноутбуків, які возять із собою.

Перевірити стан:

Get-BitLockerVolume -MountPoint C:

Команда потребує прав адміністратора — без них вона відповість Access denied.

Крок 6. Заберіть права так, щоб це прижилося

Не в один день. Масове зняття прав у понеділок вранці дає десятки заявок і зіпсовані стосунки з половиною установи.

Почніть із нових машин і нових працівників. Комп’ютер, який видають уже без адміністратора, не викликає питань — це просто так влаштовано.

Пілот на собі. IT-служба працює під звичайним записом першою. Це знімає половину заперечень і показує реальні незручності до того, як їх відчують інші.

Далі — кабінети з найменшим опором. Бухгалтерія й спеціалізовані відділи — в останню чергу, коли ви вже знаєте, як поводяться їхні програми.

Домовтеся про строк. Забирати права без обіцянки швидко реагувати на заявки — гарантований конфлікт. Строк має бути оголошений і виконуваний.

Скажіть, що саме змінюється. Одне речення: «встановлення програм тепер через заявку, все інше працює як раніше». Люди опираються невизначеності, а не правилу.

Що робити з програмами, які вимагають прав

Варіанти за спаданням якості.

Установка в профіль користувача. Багато програм мають режим установки без прав. Найпростіше рішення, якщо воно доступне.

Права на конкретну теку або гілку реєстру. Якщо програмі потрібен запис у власну теку в Program Files, видайте право на змінення саме цієї теки — не на весь диск і не адміністратора на машину.

Запуск від окремого запису. Для одиничних задач, які виконують рідко, підходить запуск програми з правами адміністративного запису — без постійних прав у користувача.

Виняток із записом. Якщо інакше ніяк, лишіть права на конкретній машині, але запишіть: яка машина, яка програма, хто вирішив, коли переглянути. Виняток без запису через рік перетворюється на «у нас усі адміністратори».

Плануючи це, тримайте перелік винятків там само, де облік техніки — інакше ніхто не згадає, чому в цього комп’ютера особливі права. Як вести такий облік, описано в інструкції з обліку IT-обладнання.

Типові помилки

Дати права «тимчасово». Тимчасових прав не буває: ніхто не приходить забирати їх назад. Якщо дали — поставте дату перегляду в календар того ж дня.

Вимкнути UAC, щоб не заважав. Це знімає останній бар’єр і робить будь-який запущений процес повноправним. Перевірити стан можна значенням EnableLUA — на здоровій системі там 1.

Використовувати вбудований Administrator. Він не має фільтра UAC, часто має однаковий пароль на парку і не показує, хто саме що зробив. Для адміністративних дій заводять окремий іменований запис.

Забрати права, не домовившись про строки. Люди сприймуть це як покарання, і перший же зірваний дедлайн стане аргументом повернути все назад.

Тримати паролі адміністратора у файлі. Таблиця з паролями на спільному диску — це те саме, що однаковий пароль на всіх машинах, тільки гірше.

Якщо забрати права не дозволяють

Аргументи, які працюють із керівництвом, — не технічні.

Порахуйте вартість одного дня простою бухгалтерії й порівняйте з вартістю заявки на встановлення програми. Нагадайте, що відповідальність за збереження даних лежить на установі, а не на працівникові, який натиснув «Так» у вікні. Покажіть, скільки машин зараз мають повні права, — після кроку 1 у вас є точна цифра, і вона зазвичай справляє враження сама.

Якщо рішення все одно негативне — зафіксуйте його письмово. Це не бюрократія: коли шифрувальник таки прийде, питання «чому в користувача були повні права» матиме відповідь із датою.

Питання, які виникають найчастіше

Чи достатньо просто увімкнути UAC замість зняття прав? Ні. UAC зменшує кількість випадкових змін, але не є захистом від шкідливого коду. Обліковий запис у групі адміністраторів лишається можливістю отримати повні права.

Що робити з керівником, який вимагає права собі? Дати окремий адміністративний запис і пояснити правило: під ним не читають пошту. Це компроміс, який зберігає і поділ прав, і стосунки.

Чи можна дати права лише на встановлення програм? Windows не має такого окремого дозволу: встановлення програми — це запис у системні теки й реєстр, тобто фактично повні права. Тому працюють інші механізми: установка в профіль, централізоване розгортання або заявка.

Скільки часу займає перехід? Технічно — хвилини на машину. Реально — від місяця до кварталу, бо основна робота полягає в тому, щоб зібрати перелік програм і домовитися з людьми.

Ми в домені. Тут те саме? Принцип той самий, але інструменти кращі: склад локальних адміністраторів роздається груповими політиками, паролі керуються централізовано, а винятки видно з одного місця.

Скрипт, який покаже картину по парку

Щоб не обходити кабінети: скрипт знімає з комп’ютера склад групи адміністраторів (за ідентифікатором групи, а не за назвою), стан вбудованого запису адміністратора, стан UAC і шифрування диска — і дописує рядок у спільний CSV із переліком ризиків. Скрипт аудиту локальних адміністраторів.

Читайте також

• SLA для внутрішнього IT: строки, яких реально дотримуються — без обіцяного строку реакції права забрати не вийде.

• Спільна папка у Windows 11 без «доступ заборонено» — як роздавати доступ до тек, не роздаючи адміністратора.

• Як навести порядок в обліку IT-обладнання — де фіксувати винятки, щоб через рік вони не стали правилом.