LOCAL USER ACCOUNT POLICY docx

VSIC COMPUTER SCHOOL LO 45 TRIEU NU VUONG – DA NANG LOCAL USER ACCOUNT I Sơ lược Local User Account: Local user account tài khoản cá nhân user, tạo lưu trữ sở liệu SAM (Security Accounts Manager) máy tính (Local Computer), đặt thư mục \Windows\system32\config Có loại user account: Computer Administrator: - Create, change and delete user account - Make system-wide changes - Install programs and access all files Limited: - Change or remove your password, - Change your picture, themes, and other desktop settings, - View files you created Built-in User Account: Tại Local computer, tài khoản xây dựng Administrator, Guest SUPPORT_388945a0 gọi Built-in user Account - Mặc định Guest bị vô hiệu (Disable) phịng ngừa tính bảo mật xét mặt quyền hạn Guest tài khoản bị nhiều giới hạn - User Administrator thuộc Computer Administrator, khơng thể bị xóa hay disable, Bạn đổi tên - SUPPORT_388945a0, tài khoản hệ thống Win2003 Win XP, chuyên cung cấp dịch vụ Help and Support - Và account Help Assistant, chuyên cung cấp dịch vụ trợ giúp từ xa Dành cho Học Viên VSIC Trang VSIC COMPUTER SCHOOL LO 45 TRIEU NU VUONG – DA NANG Hướng dẫn tạo Local User Account: Từ menu Action hay click phải vào Right click My Computer Ỉ Manage folder Users chọn New User Ỉ Xuất Console: Nhập thông tin cần thiết vào hộp thoại sau nhắp nút Create Tùy chọn User must change password at next logon User cannot change Passsword Password never expires Account is disable Trang Ý nghĩa Buộc user account phải thay đổi mật từ lần đầu logon vào hệ thống Nếu chọn, ngăn không cho người dùng thay đổi mật tài khoản Password user account không hết hạn Nếu chọn tài khoản bị vô hiệu, đăng nhập vào hệ thống Dành cho Học Viên VSIC VSIC COMPUTER SCHOOL LO 45 TRIEU NU VUONG – DA NANG Lưu ý: Theo nguyên tắc không tạo user account trùng tên nhau, Bạn tránh tạo user account có tên Ví dụ: có hai user tên Judy Lew, tạo account cho user chọn phương án: thứ Judyle, user thứ hai Judyl Thay đổi mật (Password) cho user account: Khi trao đổi vấn đề password có trường hợp sau buộc user phải thay đổi password Ví dụ: suốt thời gian sử dụng account để logon vào hệ thống, phát password bị người khác biết, hay lý mà user qn password mình, phải thay đổi password Vậy lúc cần phải nhờ đến account thuộc Computer administrator type để reset password Thao tác sau hướng dẫn Bạn reset password cho account Khởi động Computer Management Ỉ Local User and Group Ỉ User, click phải user muốn reset password chọn hình minh họa Sau nhập password cho user account hộp thoại OK II Classic View: Khi mà nhiều người (user) sử dụng chung máy tính, việc logoff sau logon trở lại user khác, không nhanh Fast User Switching: tính Windows XP, giúp Bạn switch user account mà không cần phải logoff hệ thống, thêm vào chương trình user vừa switch cịn thực thi Vào Start Ỉ Log Off Administrator, xuất Lưu ý: hộp thoại chọn Switch User - Fast User Switching cấu hình từ Dành cho Học Viên VSIC Trang VSIC COMPUTER SCHOOL LO 45 TRIEU NU VUONG – DA NANG Cấu hình Fast User Switching: Vào Star Æ Settings Æ Control Panel Æ User Accounts User Account Control Panel - Chương trình khơng có giá trị máy tính Bạn thành viên Domain - Duy thành viên nhóm Administrators bật chức Fast User Switching - Bạn khơng thể turn off chương trình Fast User Switching user logon Chọn Change the way user log on or off xuất hộp thoại Chọn vào hai check box hộp thoại click vào nút Apply Options Thực hành Fast User Switching: Sử dụng chương trình User Account Control Panel để tạo user: Chọn Create a new account Æ Nhập tên account vào khung Type a name…, click Next, Chọn account type từ hộp thoai, click chọn Create Account - Sử dụng Computer Management hay Control Panel\User Accounts để tạo Trang Dành cho Học Viên VSIC VSIC COMPUTER SCHOOL LO 45 TRIEU NU VUONG – DA NANG - tiếp user account User3 (với account type: Limited) Tiếp theo logoff user logon vào hệ thống User2 Khởi động chương trình My Computer, Winword, Internet Explorer Sau Logoff chọn Switch User, theo dõi xem chương trình User2 có bị đóng lại hay khơng? Rồi tiếp tục Logon vào hệ thống với tài khoản User3 Từ account User3, Bạn thử bỏ chức Fast User Switching Từ rút nhận xét III Sơ lược Local Group: Việc phân bổ user account vào nhóm, giúp người quản trị dễ dàng trao quyền (right) thực tác vụ quyền (Permission) truy cập tài nguyên mạng Với Local Group, đựợc tạo Local Computer, đặc điểm Local Group: - Chứa Local user account - Và Local Group không thuộc thành viên Group Dành cho Học Viên VSIC Trang VSIC COMPUTER SCHOOL LO 45 TRIEU NU VUONG – DA NANG Hướng dẫn cách tạo Group: Khởi động console Computer Management dịng lệnh: Start Ỉ Run: Compmgmt.msc Nhập tên Group vào hộpthoại: Click phải vào thư mục Groups hay vùng trống thư mục Groups chọn New Group Add User vào Group Sau tạo Group việc add user vào Group Giúp ta dễ quản trị cấp quyền truy cập tài ngun Computer management Ỉ Local Users and Groups Ỉ Groups Trang Dành cho Học Viên VSIC VSIC COMPUTER SCHOOL LO 45 TRIEU NU VUONG – DA NANG Nhấp nút Add hộp thoại Ỉ Tiếp chọn nút Advanced Ỉ Find Now Sau click chọn Find Now, xuất danh sách User Group, chọn user click OK Giới thiệu số Built-in Local Group: Administrators: Thành viên thuộc nhóm có tất quyền ấn định sẵn, nên user thuộc nhóm có tất quyền từ Group Backup Operators: Các thành viên nhóm lưu dự phịng (backup) phục hồi liệu Guest: Các thành viên thuộc nhóm đăng nhập thực thi ứng dụng hệ thống Network Configuration Operator: Thành viên thuộc nhóm phép cấu hình giao thức TCP/IP Remote Desktop Users: Các thành viên thuộc nhóm đăng nhập từ xa vào Computer khác mạng Users: Tất user account mặc định thuộc nhóm này, thành viên nhóm user có quyền đăng nhập vào hệ thống thực thi chương trình ứng dụng, khơng thể cài đặt chúng Dành cho Học Viên VSIC Trang VSIC COMPUTER SCHOOL LO 45 TRIEU NU VUONG – DA NANG Thực hành theo yêu cầu sau: Trường hợp 1: - Lập thành nhóm (2 PC nhóm), cấu hình IP, chứng minh chúng sẳn sàng giao tiếp - Ở PC phải đặt password cho Administrator (password giống nhau) Logoff logon trở lại hệ thống - Chỉ định máy (PC1) nhóm tạo share Folder, giữ nguyên share permission - Máy lại (PC2) truy cập tài nguyên PC1 - Nhận xét: Trường hợp 2: - Như trường hợp 1, set lại password cho Administrator hai PC khác - Logoff logon trở lại hệ thống user Administrator - Dùng PC2 truy cập tài nguyên PC1 - Nhận xét: W X Trang Dành cho Học Viên VSIC VSIC COMPUTER SCHOOL LO 45 TRIEU NU VUONG – DA NANG LOCAL POLICY LOCAL SECURITY POLICY Chỉnh sửa registry: Start→Run, nhập regedit Save registry Back up Regedit Hiệu chỉnh Registry: Ẩn ổ đĩa D Windows Explorer User Key: HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer Name: NoDrives Type: REG_DWORD Dành cho Học Viên VSIC Trang VSIC COMPUTER SCHOOL LO 45 TRIEU NU VUONG – DA NANG Sau logoff để apply registry Vào Ta thấy việc hiệu chỉnh Regedit làm Run gõ Gpedit.msc mở Group Polocy thay đổi Policy Ta dùng Policy để thay đổi Registry Disable Policy theo đường dẫn Local Computer→Policy→Users Configuration→Administrative Templates→Windows Explorer Chọn Hide these specified drives in My Computer Sau chỉnh Policy ta dùng lệnh Xem lại kết registry gpupdate /force : apply hiệu chỉnh Tuy nhiên, với Administrative Template dễ thao tác so với trình Chứa thơng tin key bảng regedit.exe Registry Administrative Template Dùng để thay đổi dáng vẻ môi trường làm việc người dùng vào cấu hình máy User Configuration lưu vào HKEY_CURRENT_USER Computer Configuration lưu vào HKEY_LOCAL_MACHINE Trang 10 Dành cho Học Viên VSIC 10 VSIC COMPUTER SCHOOL LO 45 TRIEU NU VUONG – DA NANG • Windows Components o Tháo gỡ tùy chỉnh thư mục thực đơn công cụ bảng điều khiển (Control Panel), khơng cho phép người dùng thay đổi thông số để xem tệp tin ẩn hay số thông số Active Desktop, Webview offline file, o Ngăn cản không cho người dùng nối, truy nhập tới máy khác đóng kết nối mà người quản trị cài đặt o Hạn chế không cho đọc nội dung ổ đĩa chọn từ My Computer o Chuyển tất các Profile người dùng khỏi thực đơn chương trình o Vơ hiệu hóa chương trình thực đơn xác lập, chẳng hạn Control Panel, Printer, Network Dial-Up Connection o Bỏ thực đơn chạy từ thực đơn bắt đầu o Ngăn cản không cho người dùng mở hộp thoại Taskbar & Start menu Nói chung, vấn đề liên quan tới thực đơn bắt đầu kiểm sốt • • Control Panel o Ngăn cản người dùng cài đặt thêm chương trình o Thay đổi chế độ hình o Đặt mật chế độ bảo vệ hình o Một số lệnh liên quan đến máy in: không cho thêm/gỡ bỏ máy in, System o Quản lý Group Policy o Chỉ cho phép sử dụng số chương trình định o Khơng cho phép sử dụng số chương trình khơng định Dành cho Học Viên VSIC Trang 11 VSIC COMPUTER SCHOOL LO 45 TRIEU NU VUONG – DA NANG Các chức Security Setting o Account Policies Mật Policies bao gồm option sau: ƒ Enforce Password History: số mật cần thay đổi, muốn sử dụng lại mật ƒ Maximum Password Age: thời gian tối đa mật sử dụng trước người dùng phép thay đổi ƒ Manimum Password Age: thời gian tối thiểu mật sử dụng trước người dùng phép thay đổi ƒ Minimum password length : độ dài tối thiểu password ƒ Password Must Meet The Complexity Requiment: bắt buộc tạo độ phức tạp mật (như kết hợp số với ký tự) ƒ Store Password Using Rever Sible Enryption: Client Windows cần xác nhận đăng nhập với mật hóa cấp thấp o Account Lockout Policy ƒ Account Lockout threshold: số lần thử Login trước tài khoản bị khóa ƒ Reset Account Lockout Counter After: thời gian đợi để xóa bỏ lần thử sai ƒ Account Lockout Duration: thời gian tài khoản bị khóa, sau thời gian này, người dùng thử Login trở lại Trang 12 Dành cho Học Viên VSIC 12 VSIC COMPUTER SCHOOL LO 45 TRIEU NU VUONG – DA NANG o ƒ ƒ ƒ ƒ ƒ Local Policies Audit, Policy: cho phép ghi nhận lại kiện Login vào mạng (thử thành công, thử sai hai) User Right Assignment: cấp quyền cho người dùng hay nhóm Login vào mạng Security Option: cho phép tạo độ an tồn cho máy tính Cho phép truy xuất đĩa mềm, CD Install Drive o Event log: định lựa chọn đề nghị nhận cố máy o Restricted group: bắt buộc kiểm soát thành viên số nhóm, chẳng hạn nhóm Administrator o System Service: cho phép chuẩn hóa dịch vụ mạng , bảo vệ không cho thay đổi dịch vụ o Registry: khởi tạo Permission Registry key để kiểm soát việc thay đổi key truy xuất phần Registry o File System: khởi tạo Security cho cấp phép truy nhập tệp tin thư mục o Public Key Policies: quản lý việc cài đặt tổ chức Public Key Infrastructure W X Dành cho Học Viên VSIC Trang 13 ... user account trùng tên nhau, Bạn tránh tạo user account có tên Ví dụ: có hai user tên Judy Lew, tạo account cho user chọn phương án: thứ Judyle, user thứ hai Judyl Thay đổi mật (Password) cho user. .. Management Ỉ Local User and Group Ỉ User, click phải user muốn reset password chọn hình minh họa Sau nhập password cho user account hộp thoại OK II Classic View: Khi mà nhiều người (user) sử dụng... chương trình User Account Control Panel để tạo user: Chọn Create a new account Ỉ Nhập tên account vào khung Type a name…, click Next, Chọn account type từ hộp thoai, click chọn Create Account -