| Привілеї
| Опис
|
| Робота в режимі операційної системи (Работа в режиме операционной системы або Act As Part Of The Operating System)
| Дозволяє процесу аутентифікуватися подібно користувачу й одержувати доступ до ресурсів, так само як користувач.
Не призначайте цей привілей, якщо немає впевненості в необхідності цього. Тільки низькорівневі служби аутентифікації можуть вимагати цього привілею. Процеси, що вимагають цього привілею, повинні виконуватися під обліковим записом LocalSystem, оскільки для неї дані привілеї уже призначений.
Окремі облікові записи користувачів з цим привілеєм дозволяють користувачам або процесам одержувати маркер доступу, що надає більше прав, чим вони повинні мати, і не проходити ідентифікацію для збереження подій у журналах аудита.
|
| Додавання робочих станцій до домену
(Добавление рабочих станций к домену або Add Workstations Те Domain)
| Визначає, які групи і користувачі можуть додавати робочі станції в домен.
Ця політика діє тільки на контролерах домена. За замовчуванням таким правом володіє будь-який користувач, що пройшов перевірку аутентифікації; він може створити до 10 облікових записів комп'ютерів у домені.
Комп'ютер, обліковий запис якого додано в домен, може брати участь у виконанні мережних операцій, що використовують уміст Active Directory. Наприклад, робоча станція, додана в домен, отримує можливість розпізнавати облікові записи і групи, що існують у Active Directory.
За замовчуванням: «Ті, що пройшли перевірку».
|
| Розміщення в архів файлів і каталогів (Архивирование файлов и каталогов або Back Up Files And Directories)
| Дозволяє виконувати розміщення в архів, не призначаючи дозволів, що відкривають доступ до усіх файлів і папок системи.
За замовчуванням на робочих станціях, рядових серверах і контролерах домену цей привілей призначається членам груп Адміністратори (Administrators) і Оператори архіву (Backup Operators). На контролерах домену цей привілей також призначається членам групи Оператори серверу (Server Operators)
|
| Обхід перехресної перевірки
(Обход перекрестной проверки або Bypass Traverse Checking)
| Дозволяє користувачу переміщуватися через папки, на доступ до яких у нього немає дозволу. Привілей не дозволяє переглядати вміст папок, а тільки лише рухатись через них по шляху до файлу.
На робочих станціях і рядових серверах цей привілей за замовчуванням встановлюється для груп Адміністратори (Administrators), Оператори архіву (Backup Operators), Досвідчені користувачі (Power Users), Користувачі (Users) і Всі (Everyone).
|
| Зміна системного часу (Изменение системного времени або Change The System Time)
| Дозволяє змінювати час внутрішніх годинників комп'ютера.
На робочих станціях і рядових серверах цей привілей за замовчуванням встановлюється для груп Адміністратори (Administrators) і Досвідчені користувачі (Power Users), а також для облікових записів LocalSystem і NetworkService. На контролерах домену цей привілей за замовчуванням встановлюється для груп Адміністратори (Administrators) і Оператори серверу (Server Operators), а також для облікових записів LocalSystem і NetworkService.
|
| Створення маркерного об'єкту
(Создание маркерного объекта або Create A Token Object)
| Дозволяє процесу створювати маркер, що використовується для доступу до ресурсів локального комп'ютеру, коли процес використовує відповідний інтерфейс прикладного програмування (API).
Microsoft рекомендує виконувати процеси, що вимагають цього привілею, під обліковим записом Local System, оскільки для нього привілей уже призначений.
|
| Створення постійних об'єктів спільного використання (Создание постоянных объектов совместного использования або Create Permanent Shared Objects)
| Дозволяє процесу створювати об'єкт каталогу в диспетчері об'єктів Windows. Цей привілей використовується компонентами, що виконуються в режимі ядра і планують розширення простору імен об'єктів Windows. Компоненти, що працюють у режимі ядра, уже мають цей привілей, так що встановлювати його не потрібно.
|
| Створення сторінкового файлу (Создание страничного файл або Create A Pagefile)
| Дозволяє створювати файли підкачування і змінювати розмір існуючих файлів підкачування.
На робочих станціях, рядових серверах і контролерах домену цей привілей за замовчуванням встановлюється для групи Адміністратори (Administrators).
|
| Налагодження програм (Отладка программ або Debug Programs).
| Дозволяє підключати налагоджувач до будь-якого процесу. Цей привілей відкриває доступ до критично важливих компонентів операційної системи.
На робочих станціях, рядових серверах і контролерах домену цей привілей за замовчуванням встановлюється для групи Адміністратори (Administrators).
|
| Дозвіл довіри до облікових записів при делегуванні (Разрешение доверия к учетным записям при делегировании або Enable Computer And User Accounts To Be Trusted For Delegation)
| Дозволяє користувачу встановлювати право Довіра при делегуванні (Trusted For Delegation) для об'єктів чи користувача комп’ютера. Серверний процес, що запущений на комп'ютері, для якого встановлена довіра при делегуванні, чи від імені користувача, для якого встановлена довіра при делегуванні, може одержати доступ до ресурсів іншого комп'ютера.
He призначайте цей привілей без необхідності, оскільки установка параметра Довіра при делегуванні (Trusted For Delegation) робить вашу систему уразливої для атаки з боку троянських вірусів, що використовують клієнтські виклики для одержання доступу до мережних ресурсів.
На робочих станціях і рядових серверах цей привілей не призначається нікому. На контролерах домену цей привілей за замовчуванням встановлюється для групи Адміністратори (Administrators).
Дозволяє виключити комп'ютер з віддаленого комп'ютера в мережі. На робочих станціях і рядових серверах цей привілей за замовчуванням встановлюється для групи Адміністратори (Administrators).
|
| Примусове віддалене завершення
(Принудительное удаленное завершение або Force Shutdown From A Remote System)
| Дозволяє виключити комп'ютер з віддаленого комп'ютера в мережі. На робочих станціях і рядових серверах цей привілей за замовчуванням встановлюється для групи Адміністратори (Administrators).
На контролерах домену цей привілей за замовчуванням встановлюється для груп Адміністратори (Administrators) і Оператори сервера (Server Operators).
|
| Створення журналів безпеки (Создание журналов безопасности або Generate Security Audits)
| Дозволяє процес додавання елементів у журнал безпеки для об'єктів аудиту
|
| Настроювання квот пам'яті для процесу (Настройка квот памяти для процесса або Adjust Memory Quotas For A Process)
| Дозволяє процесу змінювати виділену квоту ресурсів процесора для іншого процесу. Процес, що змінює квоту, повинен мати доступ на запис для процесу, якому змінюється квота.
|
| Збільшення пріоритету диспетчування (Увеличение приоритета диспетчирования або Increase Scheduling Priority)
| Дозволяє процесу змінити пріоритет виконання іншого процесу. Процес, що змінює пріоритет, повинен мати доступ на запис для процесу, пріоритет якого змінюється.
Дозволяє користувачу змінювати пріоритет процесів через Диспетчер завдань (Task Manager).
На робочих станціях, рядових серверах і контролерах домену цей привілей за замовчуванням встановлюється для групи Адміністратори (Administrators).
|
| Завантаження і вивантаження драйверів пристроїв (Загрузка и выгрузка драйверов устройств або Load And Unload Device Drivers)
| Дозволяє встановлювати і видаляти драйвера пристроїв Plug and Play. На пристрої, несумісні з Plug and Play, даний привілей ніяк не впливає.
Будьте обережні, призначаючи цей привілей. Драйвери пристроїв виконуються як довірені програми, тому варто встановлювати драйвери тільки з коректним цифровим підписом.
На робочих станціях, рядових серверах і контролерах домену цей привілей за замовчуванням встановлюється для групи Адміністратори (Administrators)
|
| Закріплення сторінок у пам'яті
(Закрепление страниц в памяти або Lock Pages In Memory)
| Дозволяє процесу закріплювати дані у фізичній пам'яті, що забороняє Windows ХР Professional переміщувати ці дані у віртуальну пам'ять (файл підкачування) на диску.
За замовчуванням привілей нікому не призначений. Його мають деякі системні процеси
|
| Керування аудитом і журналом безпеки (Управление аудитом и журналом безопасности або Manage Auditing And Security Log)
| Дозволяє користувачу задавати параметри аудита для окремих об'єктів, таких, як файли, об'єкти Active Directory і розділи реєстру.
Користувачі з цим привілеєм також можуть переглядати й чистити журнал безпеки, використовуючи утиліту Перегляд подій (Event Viewer).
На робочих станціях, рядових серверах і контролерах домену цей привілей за замовчуванням встановлюється для групи Адміністратори (Administrators)
|
| Зміна параметрів середовища устаткування (Изменение параметров среды оборудования Modify Firmware Enviroment Values)
| Дозволяє використовувати програму Властивості системи(System Properties) для зміни системних змінних середовища.
Дозволяє процесу, що використовує відповідний API, змінювати системні змінні середовища.
|
| Запуск операцій з обслуговування тому (Запуск операций по обслуживанию тома або Perform Volume Maintenance Tasks)
| Дозволяє користувачу запускати інструментальні засоби обслуговування дисків, такі, як Очищення диску (Disk Cleanup) або Дефрагментація диску (Disk Defragmenter).
На робочих станціях, рядових серверах і контролерах домену цей привілей за замовчуванням встановлюється для групи Адміністратори (Administrators).
|
| Профілювання одного процесу (Профилирование одного процесса або Profile A Single Process)
| Дозволяє користувачу застосовувати інструментальні засоби профілювання продуктивності для контролю роботи несистемних процесів.
На робочих станціях і рядових серверах цей привілей за замовчуванням встановлюється для груп Адміністратори (Administrators) і Досвідчені користувачі (Power Users). На контролерах домену тільки адміністратори мають цей привілей.
|
| Профілювання завантаженості системи (Профилирование загруженности системы або Profile System Performance)
| Дозволяє користувачу застосовувати інструментальні засоби профілювання продуктивності для контролю продуктивності системних процесів. На робочих станціях, рядових серверах і контролерах домену цей привілей за замовчуванням встановлюється для групи Адміністратори (Administrators).
|
| Витягання комп'ютера зі стикувального вузла (Извлечение компьютера из стыковочного узла або Remove Computer From Docking Station)
| Дозволяє відключати переносний комп'ютер від стикувальної станції. На робочих станціях і рядових серверах і контролерах домену цей привілей за замовчуванням встановлюється для груп Адміністратори (Administrators), Досвідчені користувачі (Power Users) і Користувачі (Users).
|
| Заміна маркера рівня процесу (Замена маркера уровня процесса або Replace A Process-Level Token)
| Дозволяє батьківському процесу замінити маркер доступу, що асоційований з дочірнім процесом.
|
| Відновлення файлів і каталогів (Восстановление файлов и каталогов або Restore Files And Directories)
| Дозволяє відновлювати файли і каталоги, поміщені в архів, не призначаючи користувачу дозволу для цих файлів і каталогів і дозволяючи даному користувачу діяти як власнику об'єктів.
На робочих станціях, рядових серверах і контролерах домену цей привілей за замовчуванням встановлюється для груп Адміністратори (Administrators) і Оператори архіву (backup Operators). На контролерах домену цей привілей також призначається групі Оператори сервера (Server Operators).
|
| Завершення роботи системи
(Завершение работы системы або Shut Down The System)
| Дозволяє користувачу виключати локальний комп'ютер.
На робочих станціях цей привілей за замовчуванням встановлюється для груп Адміністратори (Administrators), Оператори архіву (Backup operators), Досвідчені користувачі (Power Users) і Користувачі (Users).
На рядових серверах цей привілей за замовчуванням встановлюється для груп Адміністратори (Administrators), Оператори архіву (Backup operators), Досвідчені користувачі (Power Users).
На контролерах домену цей привілей за замовчуванням встановлюється для груп Адміністратори (Administrators), Оператори облікових записів (Account Operators), Оператори архіву (Backup operators), Оператори друку (Print operators) і Оператори сервера (Server Operators).
|
| Синхронізація даних служби каталогів (Синхронизация данных службы каталогов або Synchronize Directory Service Data)
| Дозволяє процесу робити синхронізацію служби каталогів. Привілей використовується тільки на контролерах домену.
|
| Оволодіння файлами чи іншими об'єктами (Овладение файлами или иными объектами або Take Ownership Of Files Or Other Objects)
| Дозволяє користувачу ставати власником системних об'єктів, у тому числі об'єктів Active Directory, файлів і папок принтерів, розділів реєстру, процесів і потоків.
На робочих станціях, рядових серверах і контролерах домену цей привілей за замовчуванням встановлюється для групи Адміністратори (Administrators).
|
Права користувача