全面了解Windows Vista的UAC(1)

配置UAC

　　通过修改本地安全策略或基于域的组策略，管理员可以对UAC的动作进行控制。比如，如果用户不希望管理员帐号运行在Admin Approval Mode模式下（也就是说，不希望每次需要提升权限时都出现对话框），用户可以关闭这一功能。另外，用户可以通过配置组策略来限制普通用户只能安装可信的程序和设备。

　　用户可以在本地安全策略中的Local Policies | Security Options区域发现UAC策略设置项目。如图C所示。

　　图C通过修改本地安全策略或域组策略，管理员可以控制UAC的行为。

　　下面是用户可以配置的一些策略项目：

　　内置管理员帐号的Admin Approval Mode模式（Admin Approval Mode For The Built-in Administrator Account）：对于新安装的Vista系统，或者从一个包含多个管理员帐号的系统升级到Vista系统，这一设置在默认情况下是禁用的。如果启用了这一设置，那么系统内置的管理员帐号将工作在Admin Approval Mode模式下，也就是在运行普通程序时以普通用户权限进行操作，在运行管理级别程序时，进行权限提升。

　　在Admin Approval Mode模式下进行管理员权限提升的提示动作（Behavior Of The Elevation Prompt For Administrators In Admin Approval Mode）：在默认情况下，当程序需要提升权限时，UAC会对管理员进行提示。用户可以将其设置为No Prompt，这样当用户以管理员帐号登录后，遇到需要提升权限的操作，UAC将不再给出提示，而是自动进行权限提升。这种设置会降低用户以管理员身份登录后UAC提供的安全性，虽然很多管理员都通过这种方式减少UAC对话框带来的麻烦，但是一般情况下并不推荐这种设置。另一种设置方式则可以提升UAC的安全性，那就是用认证信息代替许可提示。在这种设置下，UAC不但会给出权限提升对话框，还需要用户在对话框中输入管理员帐号和密码，就算用户当前以管理员身份登录也一样需要输入。

　　普通用户的权限提升动作（Behavior Of The Elevation Prompt For Standard Users）：这一策略的默认状态根据Vista系统环境有关。Vista家庭版用户如果以普通用户身份登录系统，当遇到需要提升权限才可以执行的功能时，UAC会给出对话框，用户只需要输入管理员帐号和密码即可。而对于Vista企业版环境，普通用户如果要执行一个更高权限的功能，会被UAC告知不具备执行该功能的权限。此时用户为了执行该功能，唯一的方式就是退出目前登录的帐户，再用管理员帐号登录系统，或者使用Run As命令，输入具有管理员权限的帐户名和密码。用户可以将该策略设置为不提示或根据需要提示。

　　应用程序安装检测和权限提升提示（Detect Application Installations And Prompt For Elevation）：当这一策略设置为允许时，不论用户何时运行安装程序，UAC都会提示用户进行许可（以管理员帐号登录时）或者输入管理员帐号和密码（以普通用户登录时）。如果将这一策略设置为禁用，普通用户将无法安装新的应用程序。默认情况下，该策略在家庭版Vista中为允许，在企业版Vista中是禁用。

　　仅对签名有效的程序进行权限提升（Only Elevate Executables That Are Signed And Validated）：在默认状态下，这一策略是禁用的，也就是说，不论是签名的，或者未经签名的可执行程序，都可以运行。如果要在企业环境下提高安全水平，用户可以开启这一策略，从而在程序要求提升运行权限前对其签名进行检查。

　　仅提升安装在安全目录下的UIAccess 应用程序的权限（Only Elevate UIAccess Applications That Are Installed In Secure Locations）：默认情况下这一策略设置为允许，因此除了来自Program Files或Windows文件夹下的程序，系统不会给其它程序UIAccess特权和用户权限。这两个文件夹的访问控制列表可以防止用户随意改动这两个目录中的文件。如果一个UIAccess可执行程序从其它路径下运行，那么将不会附带任何特权。如果用户禁用了本策略，Vista将不再检查可执行程序的路径，这意味着任何UIAccess程序将以登录用户的完全权限运行（在用户允许该程序运行后）。

　　所有的管理员帐号均以Admin Approval Mode模式运行（Run All Administrators In Admin Approval Mode）:默认情况下，本策略是允许状态，即管理员总会收到UAC的提示（根据上面提到的“在Admin Approval Mode模式下进行管理员权限提升的提示动作”策略）。如果禁用了本策略，那么Application Information Service (AIS)不会自动启动，而UAC则会被关闭。要让该策略生效，用户必须重新启动电脑。如果用户是通过这种方式关闭UAC的，那么在下次系统启动后，用户会收到一条对话框，提示用户系统的安全性已经降低了，并提供给用户重新开启UAC的选项。如果用户不希望在以管理员帐号登录后还出现UAC对话框，可以根据我们前面介绍的“在Admin Approval Mode模式下进行管理员权限提升的提示动作”策略进行设置。

　　出现权限提升对话框时切换到安全桌面模式（Switch To The Secure Desktop When Prompting For Elevation）:默认情况下，该策略为允许状态。但是很多管理员可能不喜欢在出现UAC对话窗口时，桌面的其余部分都被禁用，因此大多数人都会将这一项设置为禁用状态。在该策略允许的状态下，桌面只会接受Windows进程的消息，其它应用程序都将暂时无法与桌面进行交互动作。如果该策略被禁用，UAC提示对话框仍然会出现（假设用户没有禁止该对话框），但是用户桌面不会被禁用，用户仍然可以与桌面上的项目进行交互。

　　虚拟文件和注册项写错误时的预定位置（Virtualize File And Registry Write Failures To Per-User Locations）:这一策略在默认情况下是允许的，即任何Vista之前的程序（不兼容UAC的程序）在出现磁盘写错误时，会被重新定向到一个预先定义好的文件系统或注册表位置。如果用户仅用了这一策略，那么任何与UAC不兼容的程序在试图向Program Files, Windows, 或System 32文件夹中写入数据，都会失败。