Por lo general, me gusta configurar inicios de sesión separados para mí, uno con permisos de usuario regulares y otro para tareas administrativas. Por ejemplo, si el dominio era XXXX, configuraría una cuenta XXXX \ bpeikes y una cuenta XXXX \ adminbp. Siempre lo he hecho porque, francamente, no confío en mí mismo para iniciar sesión como administrador, pero en cada lugar en el que he trabajado, los administradores del sistema parecen agregar sus cuentas habituales al grupo Administradores de dominio.
¿Hay alguna mejor práctica? He visto un artículo de MS que parece decir que debes usar Ejecutar como, y no iniciar sesión como administrador, pero no dan un ejemplo de implementación y nunca he visto a nadie más hacerlo.
1
Como alguien que se ocupa principalmente de Linux / Unix y no es un experto en Windows, ¿no es esto precisamente lo que se supone que arregla UAC? Por lo que quiero decir, para que uno pueda usar una cuenta pero todavía tener solo procesos autorizados, reciba privilegios administrativos.
—
Dolda2000
@ Dolda2000 UAC era más para usuarios finales con la costumbre de ejecutarse como administrador en su máquina local. Existen preocupaciones adicionales cuando se está ejecutando como administrador de dominio en su máquina local: sus credenciales y acceso se pueden usar para mucho peor que la instalación de un virus en su máquina, ya que tiene derechos elevados para la mayoría de las cosas en todo el dominio
—
HopelessN00b
@ HopelessN00b: ¿Y usted dice que UAC no se aplica a esas cosas? Por qué no? ¿Hay razones técnicas o simplemente falta la implementación?
—
Dolda2000
@ Dolda2000 Bueno, se suponía que UAC solucionaría el problema de que el malware pudiera usar el contexto de usuario administrativo del usuario conectado para instalarse en las PC de los usuarios finales y de los consumidores. Y lo hace También bloquearía que ese vector específico use el contexto de usuario de un administrador de dominio para instalar malware localmente, sin embargo, ese no es el alcance de los problemas de seguridad involucrados en la ejecución como administrador de dominio en lugar de un usuario limitado.
—
HopelessN00b
@ Dolda2000 UAC evita que los procesos ejecuten funciones privilegiadas en la máquina local. Si ha iniciado sesión como administrador de dominio, puede ejecutar comandos privilegiados de forma remota en otras máquinas y se ejecutarán de forma elevada en las máquinas remotas sin un aviso de UAC. Por lo tanto, el malware específicamente diseñado para explotar esto puede infectar todo su dominio (y luego infectar su máquina local usando otra máquina remota) sin que vea un aviso de UAC.
—
Monstieur