Права администратора после Windows Autopilot
whoami /all показывает привилегии и группы пользователя.Содержание лекции: Права администратора после Windows Autopilot
Расшифровка лекции: Права администратора после Windows Autopilot
Полный текст первых минут лекции «Права администратора после Windows Autopilot» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Мы только что закончили устанавливать компьютер с помощью Autopilot. Мы развернули чистый Windows и дали файл ответов из облака, из Автопилота. И мы видим здесь в Intune, в Endpoint Security, в Devices, что у нас есть один компьютер, который под управлением Intune в нашем облаке.
Intune, я вам напоминаю, это как System Center, только в облаке, управляет девайсами. Это не связано с учетной записей пользователя.
Управление учетными записями это Active Directory. Давайте зайдем в наш чистый новый компьютер, который только что закончил установку Windows с автопилотом, с файлом ответов.
И посмотрим, что в нем происходит. И самое интересное, что в Computer Management в локальных пользователях нет ни одного разрешенного пользователя. Заметьте, все пользователи отменены, disabled.
То есть мы можем заходить в этот компьютер только с учетными записями с нашего облака. И это прекрасно с точки зрения безопасности.
То есть ни один локальный пользователь, даже тот, который устанавливал сам этот Windows, Default User 0, вот он устанавливал весь Windows, и администратор, они все закрыты по окончанию установки.
И только пользователи с облака, с нашего Ажура, имеют право доступа в этот компьютер. Более того, давайте посмотрим, у кого есть права администратора, кто в группе администратор с этого компьютера.
И мы увидим, что в этой группе обязан быть администратор-пользователь, но пользователь-администратор закрыт. Поэтому хакер не сможет залогиниться пользователем администратора, потому что он просто disabled, он отменен.
То, что он находится в группе администратор, это не поможет. Что я здесь интересного еще вижу? Что в группе администратор с локальных есть какие-то цифры. Это security ID, идентификаторы безопасности. И для каждого пользователя, и для каждой группы в системе security есть своя цифра. Вот такая вот длинная.
Такое длинное число. У него даже есть стандарт, как он пишется. Что это символизирует? Это символизирует имя или группу пользователей.
Но почему эта группа не написана? Потому что эта группа находится в облаке, наш Windows не может превратить это в красивое имя из-за разных технических проблем.
Но нам это не важно. Что мы здесь видим? Что у нас есть пользователи или группы, которые могут логиниться и быть администраторами на этом компьютере.
И я вам расскажу тайну, эти группы это из Ажура, это администраторы в Ажуре. И благодаря вот этим вот настройкам пользователи, разрешенные в облаке быть администраторами, попадают в группу локальных администраторов, а в группе локальных администраторов есть права доступа на весь компьютер.
Я сейчас не буду углубляться, мы в курсе Active Directory системных администраторов говорим про это намного больше. Давайте сейчас посмотрим, что произойдет, если я запущу CMD с правами администратора.
И он мне говорит, дай мне юзера с паролем, у которого есть такие права администратора. Ты, дорогой, не в группе администраторов, и тебе нельзя запускать CMD с правами администратора.
Он требует имя и пароль пользователя, который в группе локальных администраторов. Давайте сейчас кого-то добавим в эту группу, посмотрим, что произойдет.
Кстати, я вам хочу показать, что этот компьютер находится внутри Active Directory под контролем центральной системы. То есть он часть от Azure AD, то есть он находится в центральном управлении, весь этот компьютер.
Этот компьютер принадлежит нашей организации, он находится в центральной системе. Что это значит? Что не только можно им руководить, а можно в него заходить любому пользователю.
Заметьте, пользователи Azure в локальных группах находятся, потому что этот компьютер часть от нашего домейна, Часть от нашего центрального управления. Но этот, самый первый наш компьютер, он не находится в домене.
Он зарегистрирован как устройство, как MDM, Mobile Device Management, в нашем домене. Но он не управляется полностью нашим доменом.
Это такая вот частичная система управления устройством и приложением. Называется MDM. То есть у нас есть два уровня контроля. Контроль полный над девайсом, над устройством,