Brukerkontoer i Windows: typer, tillatelser og sikkerhet

Informatec Digital » Ressurser » Brukerkontoer i Windows: typer, tillatelser og sikkerhet

Når vi deler en datamaskin eller bruker den til både jobb og personlig bruk , utgjør måten vi administrerer brukerkontoer hele forskjellen på mellom å ha et organisert og sikkert system ... eller fullstendig kaos. Å forstå hvordan kontoer fungerer i Windows, hvilke typer som finnes og hvilke tillatelser hver enkelt har, er nøkkelen til å unngå problemer med slettede data, virus eller konfigurasjonsendringer som ingen vet hvem som har gjort.

I tillegg lar Windows deg koble en personlig konto til jobb- eller skolekontoer , logge inn sikrere (passord, PIN eller biometri), opprette brukere fra grafiske verktøy eller kommandoer, kontrollere hva hver person kan gjøre med NTFS-tillatelser og organisere brukere i grupper. Alt dette kan høres veldig teknisk ut, men når det forklares tydelig, er det mye enklere enn det ser ut til.

Hva er en brukerkonto i Windows, og hvorfor er den så viktig?

En brukerkonto i Windows er settet med påloggingsinformasjon, tillatelser og personlige innstillinger som en person bruker for å jobbe med datamaskinen. Hver konto har sitt eget miljø: skrivebord, dokumenter, programmer konfigurert etter eget ønske og et bestemt nivå av systemtilgang.

Hvis alle bruker den samme kontoen, spesielt hvis det er en konto med administratorrettigheter, mangedobles risikoen: større eksponering for skadelig programvare , ukontrollerte konfigurasjonsendringer, tap av personvern og total vanskelighet med å vite hvem som har gjort hva på datamaskinen.

Det beste er at hver person har sin egen brukerkonto, og at de når det er mulig bruker standard brukerkontoer til daglige oppgaver, slik at administratorkontoer bare brukes til spesifikke vedlikeholds- eller installasjonsoppgaver.

Det er også viktig å forstå at en konto ikke bare brukes til innlogging, men er knyttet til en brukerprofil : en katalog med dokumenter, nedlastinger, programinnstillinger, nettleserdata og mye mer.

Logging i Windows: metoder, sikkerhet og vanlige problemer

Å logge inn i Windows er prosessen der systemet bekrefter identiteten din før du får tilgang til skrivebordet og dataene dine. Dette trinnet er avgjørende for å sikre at bare du (eller noen du autoriserer) har tilgang til brukerøkten og den personlige profilen din.

I dag lar Windows deg bruke forskjellige innloggingsmetoder: det klassiske passordet , en numerisk PIN-kode eller biometriske alternativer gjennom Windows Hello, for eksempel ansiktsgjenkjenning eller fingeravtrykksskanning. Disse biometriske metodene, når de er riktig konfigurert, gir raskere og generelt sikrere tilgang enn et enkelt passord.

Den grunnleggende innloggingsprosessen er veldig enkel: slå på enheten, gå til innloggingsskjermen, velg riktig konto (hvis det er flere), og skriv inn passordet eller PIN-koden din . Hvis enheten er knyttet til en Microsoft-konto, er passordet du skriver inn det samme som for den nettkontoen.

Hvis du har problemer med å huske passordet ditt, viser selve innloggingsskjermen lenker som «Jeg har glemt passordet mitt» eller «Jeg har glemt PIN-koden min », slik at du kan starte gjenopprettingsprosessen. På personlige datamaskiner fungerer dette veldig direkte, men i forretnings- eller utdanningssammenhenger kan det kontrolleres av administratorer.

Koble personlige kontoer til profesjonelle eller utdanningsmessige kontoer

Det er veldig vanlig å bruke den samme datamaskinen med en personlig Microsoft-konto og samtidig tilhøre en organisasjon (bedrift eller utdanningsinstitusjon) som tilbyr sine egne ressurser: bedrifts-e-post, OneDrive for Business, jobbapplikasjoner osv. I disse tilfellene lar Windows deg "koble til" en jobb- eller skolekonto for å enkelt få tilgang til disse ressursene uten å blande alt sammen.

Ved å koble jobb- eller skolekontoen din blir enheten tilknyttet organisasjonen , noe som gir tilgang til delte filer, bedriftsapplikasjoner, sikkerhetspolicyer og andre bedrifts- eller utdanningstjenester. Dette er standardmåten å integrere din personlige PC eller bærbare datamaskin med jobb- eller skoleinfrastrukturen din.

For å gjøre dette, gå ganske enkelt til Systeminnstillinger-appen (for eksempel ved å trykke på Win + I ), gå inn i Kontoer- delen og deretter i Arbeids- eller Skolekonto-delen. Derfra kan du velge alternativet for å legge til en ny konto og angi informasjonen som er oppgitt av organisasjonen din (vanligvis jobb-e-postadressen din og tilhørende passord).

Når den er tilkoblet, vil kontoen bli administrert i henhold til retningslinjene som er fastsatt av organisasjonen. Det kan derfor være ytterligere sikkerhetsbegrensninger , ekstern programvareinstallasjon eller kontroller over selve enheten.

Typer brukerkontoer i Windows 11

Windows 11 (og i stor grad også Windows 10) skiller mellom flere typer kontoer basert på tillatelsesnivåer og tiltenkt bruk. Å forstå disse hjelper med å bestemme hvilken konto som skal opprettes for hver person og hva hver konto kan og ikke kan gjøre på systemet.

De fire hovedkategoriene av brukerkontoer i Windows 11 er: Administrator , Standardbruker , Gjestekonto og Barnekonto . Hver av dem tjener forskjellige behov og kontekster.

Administratorkonto: maksimal systemkontroll

Administratorkontoen er kontoen med høyest mulig rettigheter på systemet. Den lar deg installere og avinstallere programmer , endre globale Windows-innstillinger, justere sikkerhetsalternativer, opprette, redigere eller slette andre brukerkontoer, og til og med få tilgang til alle systemfiler.

Denne makten kommer med et klart ansvar: alle endringer som gjøres fra en administratorkonto påvirker alle brukere på datamaskinen . Derfor anbefales det å ikke bruke den til hverdagsoppgaver som å surfe på internett eller lese e-post, og dermed redusere angrepsflaten mot skadelig programvare eller menneskelige feil.

I praksis har en personlig datamaskin vanligvis en hovedadministratorkonto som brukes til å vedlikeholde systemet (installere programmer, oppdatere drivere, endre avanserte innstillinger) og en standardkonto som brukes til daglig arbeid.

Hvis du trenger å forfremme en eksisterende konto til administrator, kan du gjøre det fra Innstillinger > Kontoer > Familie og andre brukere: velg brukeren, klikk på endre kontotype og velg Administrator fra rullegardinmenyen, og legg til endringene.

Standard brukerkonto: det anbefalte alternativet for daglig bruk

Standardbrukerkontoen er utformet for normal bruk av datamaskiner : surfing, bruk av installerte programmer, oppretting eller endring av dokumenter, spilling osv. Hovedfordelen er at den ikke tillater endring av systemets globale innstillinger eller installasjon av programvare uten eksplisitt administratorautorisasjon.

Denne kontotypen reduserer risikoen for at noen ved et uhell avinstallerer et viktig program, endrer kritiske systeminnstillinger eller installerer skadelig programvare. Faktisk, hvis du prøver å installere et program fra en standardkonto, vil Windows kreve administratorrettigheter for å fortsette.

Standardkontoer er ideelle for familiemedlemmer, kolleger eller venner som trenger tilgang til datamaskinen din samtidig som de opprettholder et rimelig sikkerhets- og kontrollnivå . Hver person vil ha sin egen profil, skrivebord og data, men vil ikke kunne bryte systemet ved første anledning.

For å opprette en standardkonto, gå til Innstillinger > Kontoer > Familie og andre brukere, velg alternativet Legg til konto, følg trinnene (med eller uten en Microsoft-konto), og når du definerer kontotypen, velg Standardbruker.

Gjestekonto: svært begrenset midlertidig tilgang

Gjestekontoen er utformet for å gi svært begrenset og midlertidig tilgang til datamaskinen, for eksempel når noen trenger å bruke datamaskinen en stund for å sjekke e-post, surfe på internett eller utføre en bestemt oppgave.

Denne kontoen kan ikke endre systeminnstillinger, installere programmer eller få tilgang til andre brukeres data. Dessuten lagres vanligvis ikke endringer du gjør (dokumenter, programinnstillinger osv.) permanent etter at du logger ut, noe som minimerer påvirkningen på datamaskinen din.

I Windows 11 er gjestekontoen deaktivert som standard, men den kan aktiveres fra det lokale brukeradministrasjonsverktøyet. For å gjøre dette kan du åpne den lokale bruker- og gruppebehandleren (for eksempel med lusrmgr.msc I Kjør), gå til brukermappen, finn "Gjest"-kontoen, få tilgang til egenskapene og fjern merket for alternativet som indikerer at kontoen er deaktivert.

Denne kontotypen er perfekt når du ikke vil opprette en permanent brukerkonto, men du heller ikke vil gi tilgang til din personlige konto. Den tilbyr et kontrollert og flyktig miljø for sporadiske brukere.

Barnekonto: foreldrekontroll og familiesikkerhet

Barnekontoen er spesielt utviklet for barn og er en del av Microsofts Family Safety- verktøy . Den lar foreldre eller foresatte overvåke og begrense barns bruk av datamaskiner.

Med denne typen konto kan du angi bruksplaner (daglig skjermtid eller tidsluker), begrense apper og spill, blokkere upassende nettsteder og se gjennom aktivitetsrapporter. Alt dette er utformet for å skape et tryggere miljø for barn uten å hindre dem i å bruke teknologi.

Du kan sette opp en barnekonto fra Innstillinger > Kontoer > Familie og andre brukere, ved å bruke alternativet for å legge til et familiemedlem og velge «legg til et barn». Du kan bruke en eksisterende e-postadresse eller opprette en ny for barnet, og deretter bruke de ønskede foreldrekontrollene.

Denne tilnærmingen er svært nyttig i familier der flere barn deler samme datamaskin, da den gjør det mulig å tilpasse begrensningsnivået og innholdet til alderen og modenheten til hver enkelt.

Risikoer ved å ikke administrere brukerkontoer riktig

Å ikke ta brukerkontoadministrasjon i Windows på alvor kan føre til alvorlige problemer, både når det gjelder sikkerhet og personvern, eller til og med driften av datamaskinen.

En av de mest åpenbare farene er økt risiko for skadelig programvare og virus . Hvis alle bruker en konto med administratorrettigheter, vil enhver skadelig fil som kjører ha fritt spillerom til å gjøre store endringer i systemet. Hvis for eksempel alle på en familiedatamaskin deler samme administratorkonto, skal det bare én person til som laster ned et infisert program for å kompromittere hele maskinen.

Et annet problem involverer uautorisert tilgang til personopplysninger . Hvis datamaskinen ikke er beskyttet med separate kontoer og låsemekanismer (passord, PIN osv.), kan alle som bruker datamaskinen få tilgang til hovedbrukerens dokumenter, bilder, e-poster og andre data.

Utilsiktede konfigurasjonsendringer er også vanlige . En bruker med begrenset teknisk kunnskap kan utilsiktet endre sensitive innstillinger (nettverk, brannmur, kontoer, tillatelser), noe som forårsaker ytelsesproblemer eller sikkerhetsproblemer uten å vite hvordan de skal reverseres.

Når enheter deles uten individuelle kontoer, åpner det døren for uovervåket bruk av apper og tjenester . Dette betyr at hvem som helst kan installere apper fra upålitelige nettsteder, logge på andres personlige kontoer eller la økter være åpne uten overvåking.

Videre går personvern og personalisering tapt: uten individuelle kontoer ser alle de samme varslene, nettleserloggen, skrivebordsbakgrunnen osv. Dette begrenser digitalt personvern og gjør opplevelsen mindre praktisk for hver bruker.

Til slutt, hvis alle jobber med samme konto (for eksempel i en liten bedrift), er det nesten umulig å vite hvem som gjorde hva . I en bedrift der flere personer bruker samme datamaskin til å behandle betalinger, endre priser eller registrere transaksjoner, gjør bruk av én administratorkonto det umulig å spore spesifikke handlinger.

Brukerprofiler i Windows: hvor data og innstillinger lagres

Bak hver brukerkonto finnes det en brukerprofil , som ikke er noe mer enn en mappe der personens data og preferanser er lagret: dokumenter, nedlastinger, programinnstillinger, skrivebord osv.

I Windows 10 og Windows 11 lagres brukerprofiler som standard i katalogen C: \ UsersInne i den mappen finnes det en underkatalog for hver bruker, hvis navn vanligvis samsvarer med påloggings-ID-en deres (for eksempel C:\Users\alumno, C:\Users\marinapg, Osv.).

Det er viktig å forstå at Windows bare fysisk oppretter en brukerprofil når en bruker logger seg på for første gang . Dette betyr at vi kan ha mange kontoer definert på systemet, men inntil de logger seg på minst én gang, vil ikke profilmappen deres finnes i C:\Brukere.

Innenfor brukerprofilen finnes det synlige mapper som Dokumenter, Bilder, Skrivebord og Nedlastinger, men også skjulte mapper, inkludert AppData , der konfigurasjonsfiler og interne programdata lagres. Dette er grunnen til at to brukere av samme datamaskin for eksempel kan ha en nettleser konfigurert forskjellig.

AppData-mappen er videre delt inn i Lokal, LokalLav og Roaming, som hver brukes til en annen type data (lokale innstillinger, data som kan synkroniseres osv.). I mange programmer lagres grensesnitttilpasninger, utvidelser eller avanserte innstillinger i disse underkatalogene.

På den annen side installeres selve programmene (deres kjørbare filer og statiske filer) vanligvis i Programfiler (eller Programfiler (x86)), mens hver bruker opprettholder sin egen konfigurasjon av disse programmene i brukerprofilen sin. Dermed kan Firefox bare installeres én gang på systemet, men hver bruker vil ha sine bokmerker, historikk og preferanser i sin egen AppData-katalog.

Opprette og administrere brukere: grafiske verktøy og kommandoer

Windows tilbyr flere måter å opprette og administrere brukerkontoer på . De vanligste i et skrivebordsmiljø er Innstillinger-appen og det klassiske Kontrollpanel, men du kan også bruke verktøyet «Datamaskinbehandling» og, for avanserte brukere, kommandolinjen.

Fra Teamadministrasjon (tilgjengelig i Pro-utgaver og høyere), i delen Lokale brukere og grupper, kan du se alle eksisterende kontoer, sjekke om de er aktivert eller deaktivert, og opprette nye brukere. I dette grensesnittet indikerer et nedoverpekende pilikon at kontoen er til stede, men ikke kan brukes til å logge inn.

Når du oppretter en ny bruker med dette verktøyet, tildeler du dem et navn og passord (hvis ønskelig), og bestemmer om brukeren må endre det ved innlogging eller om det utløper over tid. Du kan også definere begrensninger, for eksempel å forhindre at brukeren endrer sitt eget passord.

I tillegg til grafiske verktøy er det mulig å administrere brukere ved hjelp av kommandoer. For eksempel kan du fra et ledetekstvindu bruke «kjør som administrator». net user for å opprette en konto, angi et passord, liste opp eksisterende brukere eller endre egenskaper.

En typisk kommando ville være noe sånt som net user anagp ClaveRoot#20 /addDette oppretter en bruker kalt «anagp» med det passordet. Den samme kommandoen, uten parametere, viser kontoene som finnes på systemet. Denne metoden er veldig nyttig når du vil automatiser oppgaver med skript eller når mange brukere opprettes samtidig.

FAT32 og NTFS filsystemer: tillatelser og sikkerhet

Et annet viktig aspekt ved å forstå brukerkontosikkerhet i Windows er å vite forskjellen mellom filsystemene som disken kan bruke, spesielt FAT32 og NTFS , som er de vanligste.

FAT32 er et eldre og enklere filsystem med flere betydelige begrensninger. Den mest kjente er at det ikke tillater filer større enn 4 GB . Men fra et sikkerhetssynspunkt er den største ulempen at FAT32 ikke støtter detaljerte tilgangstillatelser: filer og mapper i FAT32 støtter ikke NTFS-lignende ACL-er (tilgangskontrolllister).

NTFS, derimot, er det mest moderne og kraftige filsystemet for Windows. Det tillater finjusterte fil- og katalogtillatelser , revisjon, kryptering og andre avanserte funksjoner. I praksis, hvis du vil implementere en bruker- og gruppebasert sikkerhetspolicy, er bruk av NTFS avgjørende.

Med Windows Diskbehandling-verktøyet kan du opprette nye partisjoner og velge hvilket filsystem du vil bruke. Du kan for eksempel opprette en datapartisjon formatert i NTFS for detaljerte tillatelser, og en annen i FAT32 (hvis kompatibilitet med andre enheter er nødvendig), og husk at sistnevnte ikke vil ha ACL-basert sikkerhet.

Når du kopierer en katalog fra en NTFS-partisjon med konfigurerte tillatelser til en annen stasjon formatert i FAT32, går all sikkerhetsinformasjon tapt : på FAT32-stasjonen finnes det ingen Sikkerhet-fane eller tillatelsesliste, fordi selve filsystemet ikke støtter det.

NTFS-tillatelser, ACL-er og brukerbasert mappetilgang

NTFS-tillatelser lar deg bestemme, med betydelig presisjon, hvem som kan lese, skrive, endre eller slette en fil eller mappe. Dette gjøres ved hjelp av ACL-er (tilgangskontrolllister) , som er lister over brukere og grupper med deres respektive tillatelser.

Fanen Sikkerhet i egenskapene til en katalog viser brukerne og gruppene som har tillatelser på den ressursen. Hvis en bruker eller gruppe ikke er oppført, har de ingen tilgangsautorisasjon som standard (selv om de i noen tilfeller kan arve tillatelser fra overordnede mapper).

Et veldig typisk praktisk eksempel: i en datamappe (for eksempel E:\Company) opprettes undermapper med navnet til hver bruker, for eksempel E:\Company\student og E:\Company\marinapg. NTFS kan konfigureres slik at bare den tilhørende brukeren, pluss administratorer og selve systemet, har full kontroll over sin personlige mappe.

Dette gjøres vanligvis ved å deaktivere arv av tillatelser i undermapper, kopiere eller tømme den eksisterende listen, og deretter bare legge til brukerne eller gruppene som skal ha tilgang. En typisk konfigurasjon ville la Administrators , SYSTEM og mappeeieren være i tilgangskontrollisten.

Hvis en bruker som tilhører administratorgruppen prøver å få tilgang til en mappe de mangler direkte tillatelser til, kan Windows tilby alternativet å "fortsette" ved å heve privilegiene. Hvis de godtar, legger systemet kontoen deres til tilgangskontrollisten med full kontroll, og utnytter statusen deres som administrator og/eller eier av ressursen.

Lokale brukere og grupper: organisering og casestudie

Det kan bli et mareritt å administrere tillatelser direkte på brukerbasis når systemet har mer enn noen få brukere. Derfor bruker Windows lokale grupper , som rett og slett er beholdere for brukere som tillatelser er tildelt samlet.

I verktøyet Datamaskinbehandling, under delen Lokale brukere og grupper, kan du se systemets standardgrupper (som administratorer, brukere, privilegerte brukere osv.) og medlemmene deres. Når du legger til en bruker i administratorgruppen, får de automatisk avanserte tillatelser på tvers av hele systemet . Når de legges til i brukergruppen, blir de standardbrukere.

En sterkt anbefalt teknikk er å opprette spesifikke grupper for bestemte oppgaver eller avdelinger. Du kan for eksempel opprette grupper som Utviklere og Systemadministratorer og inkludere de relevante brukerne i hver av dem (for eksempel utviklere eller systemadministratorer i et selskap).

Fordelen med denne tilnærmingen er at tillatelsene gjelder for grupper, ikke individuelle brukere. Hvis noen blir med i utviklingsteamet i fremtiden, vil det å legge dem til i utviklergruppen automatisk gi dem de samme tillatelsene som alle andre. Hvis de forlater teamet, blir de ganske enkelt fjernet fra gruppen og mister tilgangen.

Et svært illustrerende praktisk eksempel er følgende: i E:\Company opprettes mappene Utviklere, SysAdmins, Privat og Offentlig, med følgende policy:

• UtviklereBare medlemmer av utviklergruppen kan gå inn og ha full kontroll.
• SysAdminsBare medlemmer av SysAdmins-gruppen har tilgang til og full kontroll.
• privatbare to spesifikke brukere (for eksempel alfredoff og marinapg) har fulle tillatelser.
• Publicotilgjengelig med full kontroll for utvikler- og systemadministratorgruppene.

Ved å konfigurere tilgangskontrollister med bare grupper og noen få spesifikke brukere, oppnås et mye mer vedlikeholdbart og skalerbart system . Hvis for eksempel brukeren anagp må jobbe som utvikler i tillegg til å være systemadministrator, vil det å legge dem til i utviklergruppen tillate dem å bruke utviklermappen uten å påvirke mappens tillatelser.

I det avanserte sikkerhetsgrensesnittet i Windows finnes det også en «Effektiv tilgang»-fane, som lar deg sjekke hvilke tillatelser en bestemt bruker eller gruppe har på en ressurs, noe som er veldig nyttig for å verifisere komplekse konfigurasjoner og diagnostisere tilgangsproblemer.

Til slutt er det verdt å huske at selv om det er veldig fristende å alltid legge til administratorer til alle tilgangskontrollister for å «være på den sikre siden», kan det i noen sammenhenger (for eksempel brukerprofiler eller svært sensitive mapper) være å foretrekke å begrense deres tilstedeværelse for å styrke konfidensialiteten , og strengt kontrollere eierskap og tilgang.

Riktig administrasjon av brukerkontoer, profiler, NTFS-tillatelser og lokale grupper lar én Windows-datamaskin sømløst betjene en krevende bruker, en hel familie eller en liten bedrift, og kombinerer sikkerhet, organisering og bekvemmelighet uten bryderiet med å gjøre endringer.