Esporta (0) Stampa
Espandi tutto

Informazioni e configurazione di Controllo account utente in Windows Vista

Si applica a: Windows Vista

Oggi le aziende si trovano ad affrontare il difficile compito di imporre la standardizzazione del desktop. Questa sfida è resa ancora più complessa dal fatto che la maggior parte degli utenti esegue l'accesso come amministratore locale sul proprio computer. Come amministratore locale, un utente può installare e disinstallare le applicazioni e configurare a proprio piacimento le impostazioni del sistema e di protezione. Spesso i reparti IT non sono pertanto in grado di valutare lo stato olistico e la protezione degli ambienti. Ogni applicazione avviata da tali utenti potrebbe inoltre utilizzare l'accesso a livello amministrativo degli account per scrivere sui file di sistema e sul Registro di sistema e modificare i dati a livello di sistema. In tale scenario, attività comuni come, ad esempio, la navigazione sul Web e il controllo della posta elettronica potrebbero essere poco sicure. Tutti questi fattori aumentano inoltre il costo totale di proprietà di un'organizzazione.

È necessario garantire ai reparti IT una soluzione che sia resiliente agli attacchi e allo stesso tempo sia in grado di proteggere la riservatezza, l'integrità e la disponibilità dei dati. Per tale motivo il team di sviluppo di Microsoft® Windows VistaTM ha scelto di riprogettare le modalità di interazione tra le applicazioni e l'infrastruttura principale di protezione di Windows. Il risultato di questo processo di riprogettazione è il controllo dell'account utente.

Perché utilizzare il controllo dell'account utente

Cronologia dell'account amministratore di Windows

Per impostazione predefinita, nel corso dell'installazione iniziale di Microsoft Windows® XP tutti gli account utente vengono creati come amministratori locali. Questo tipo di account consente agli utenti di installare, aggiornare ed eseguire software poiché un account amministratore gode dei diritti di accesso a livello di sistema. Quando un utente viene aggiunto al gruppo di amministratori locali, a tale utente viene automaticamente garantito ogni privilegio di Windows. Un privilegio è un attributo di autorizzazione che influenza i criteri a livello del computer. Ad esempio, SeBackupPrivilege consente a un utente di eseguire il backup dei file e delle directory. Tuttavia non bisognerebbe confondere i privilegi con le autorizzazioni, in quanto queste ultime si applicano agli oggetti mentre i privilegi si applicano solo agli account utente. Questi privilegi sono raccolti e conservati nel token di accesso di un utente. Nel token di accesso sono inoltre contenuti dati specifici dell'utente ai fini dell'autorizzazione. In Windows i token di accesso vengono utilizzati per tenere traccia delle risorse alle quali può accedere un utente. A ogni risorsa di Windows è associato un elenco di controllo di accesso, ovvero un elenco in cui vengono registrati gli utenti e i servizi autorizzati ad accedere alla risorsa e il livello di autorizzazione concesso. Il modello di autorizzazione di Windows utilizza i dati contenuti all'interno del token di accesso di un utente per determinare il tipo di accesso concesso oppure negato a un utente nell'elenco di controllo di accesso di una risorsa.

Agli utenti amministrativi vengono automaticamente concesse le autorizzazioni seguenti:

  • Autorizzazioni di lettura/scrittura/esecuzione su tutte le risorse

  • Tutti i privilegi Windows

noteNota
In Windows Vista i file e le cartelle %systemroot% sono protetti con autorizzazioni progettate per Protezione risorse di Windows a cui è possibile accedere solo dal servizio di sistema. Gli amministratori possono leggere i file e le cartelle di sistema ma non possono modificarli. Si noti che tale funzionalità si differenzia dalle precedenti versioni di Windows.

Anche se sembra chiaro che tutti gli utenti non dovrebbero essere in grado di leggere, modificare ed eliminare qualsiasi risorsa di Windows, l'unica possibilità per i reparti IT di molte aziende è rendere amministratori tutti gli utenti.

Di seguito sono riportati alcuni motivi per i quali nelle aziende si ricorre all'esecuzione come amministratore:

  • Installazione delle applicazioni (i membri del gruppo Users non possono installare o disinstallare le applicazioni): molte aziende non dispongono di un metodo centralizzato per la distribuzione delle applicazioni agli utenti, ad esempio Microsoft Systems Management Server® (SMS), Criteri di gruppo installazione software (GPSI) o altra tecnologia simile di distribuzione delle applicazioni. Le aziende che utilizzano tecnologie di distribuzione del software consentono agli utenti l'esecuzione come amministratore a causa delle installazioni di applicazioni ad hoc per applicazioni specifiche per reparti specifici, ad esempio un'applicazione di calcolo personalizzata per il reparto marketing.

  • Applicazioni Web personalizzate (controlli ActiveX): con la crescita della comunità di fornitori indipendenti di software (ISV, Independent Software Vendor) molte aziende scelgono di utilizzare applicazioni personalizzate progettate in base alle esigenze aziendali specifiche. Molte di queste applicazioni personalizzate includono un front-end del browser Web che richiede l'installazione di un controllo ActiveX. Poiché i controlli ActiveX sono file eseguibili e possono contenere malware, in Windows i membri del gruppo Users non possono installarli.

  • Percezione di un costo totale di proprietà inferiore (minor numero di chiamate al supporto tecnico rispetto a una superficie di attacco inferiore): molte aziende ritengono che consentire agli utenti l'installazione delle proprie applicazioni aiuta a limitare il numero e il costo delle chiamate al supporto tecnico. L'esecuzione delle workstation aziendali come amministratore rende purtroppo la rete vulnerabile al "malware", ovvero il termine utilizzato per indicare il software dannoso, compresi virus, trojan horse, spyware e alcuni adware. Il malware può sfruttare l'accesso a livello di sistema dell'account di un amministratore locale per danneggiare file, modificare le configurazioni di sistema e persino trasmettere dati riservati al di fuori della rete.

Il primo accorgimento da adottare per limitare l'impatto del malware è assicurarsi che tutti gli utenti vengano eseguiti come utenti standard. Un account utente standard è un account utente che dispone del minor numero di diritti e privilegi utenti richiesti per eseguire le attività di base sul desktop. Poiché, tuttavia, per impostazione predefinita in Windows XP non è disponibile un account utente standard, molte attività di routine, compresa la modifica del fuso orario in Windows e l'installazione di una stampante, richiedono i privilegi amministrativi. Molte applicazioni prevedono inoltre che gli utenti siano amministratori per impostazione predefinita in quanto prima dell'esecuzione viene verificata l'appartenenza al gruppo di amministratori. In Windows 95 e Windows 98 non è disponibile alcun modello di protezione. Di conseguenza, gli sviluppatori delle applicazioni hanno progettato le applicazioni presupponendo che sarebbero state installate ed eseguite come amministratore. Per Windows NT è stato creato un modello di protezione utente ma, per impostazione predefinita, tutti gli utenti venivano creati come amministratori. In un computer che esegue Windows XP un utente standard deve inoltre utilizzare il comando Esegui come oppure accedere con un account amministratore per poter installare applicazioni ed eseguire altre attività amministrative.

Fino allo sviluppo di Windows Vista non era disponibile alcun metodo incorporato all'interno del sistema operativo Windows a disposizione dell'utente per eseguire "elevazione" in flusso da un account utente standard a un account amministratore senza doversi disconnettere, passare da un utente all'altro oppure utilizzare il comando Esegui come. Per tale motivo, la maggior parte degli utenti continua a navigare sul Web e leggere i messaggi di posta elettronica come amministratore.

Riduzione del costo totale di proprietà

Poiché il controllo dell'account utente consente agli utenti la semplice esecuzione come utenti standard, i reparti IT sono più sicuri sull'integrità degli ambienti, compresi file di sistema, registri di controllo e impostazioni a livello di sistema. Gli amministratori non devono inoltre più dedicare molto tempo per autorizzare attività sui singoli computer. Ciò consente al personale IT di dedicare maggior tempo per la manutenzione generale del sistema, riducendo il costo totale di proprietà di un'organizzazione correlato alla piattaforma software aziendale. Gli amministratori acquisiscono anche un miglior controllo sulle licenze software in quanto possono assicurare che vengano installate solo le applicazioni autorizzate. In questo modo non dovranno più preoccuparsi di software dannoso o non concesso legalmente in licenza che mette in pericolo la rete, causando inattività del sistema e perdita dei dati o implicando responsabilità sulle licenze.

Funzionamento del controllo dell'account utente

In risposta alle difficoltà riscontrate dai clienti nel tentativo di effettuare l'esecuzione come utente standard, Microsoft ha iniziato a sviluppare soluzioni per semplificare tale procedura per tutti gli utenti.

Il team di sviluppo di Microsoft Windows Vista ha adottato un duplice approccio:

  1. Ha collaborato con gli sviluppatori del software Microsoft e con sviluppatori di software esterni per eliminare le richieste superflue di accesso eccessivo a livello amministrativo alle risorse Windows.

  2. Ha modificato radicalmente le modalità di interazione delle applicazioni eseguite dagli utenti standard con il sistema operativo abilitando il criterio di protezione per il controllo dell'accesso.

Il controllo dell'account utente rappresenta una funzionalità significativa di Windows Vista ed è un componente fondamentale della visione generale di protezione di Microsoft.

Ridefinizione delle modalità utente

In Windows Vista sono disponibili due tipi di account utente: account utente standard e account amministratore. Gli utenti standard sono l'equivalente dell'account utente standard nelle precedenti versioni di Windows. Dispongono di privilegi amministrativi e diritti utenti limitati: non possono installare o disinstallare applicazioni che si installano su %systemroot%, modificare le impostazioni di sistema o eseguire altre attività amministrative. Gli utenti standard possono tuttavia eseguire tali attività se sono in grado di fornire credenziali amministrative valide, quando richiesto. Se il controllo dell'account utente è abilitato, i membri del gruppo Administrators locale vengono eseguiti con lo stesso token di accesso degli utenti standard. Solo quando un membro del gruppo Administrators locale rilascia l'approvazione, un processo può utilizzare il token di accesso amministrativo completo. Questo processo rappresenta le basi del principio della modalità Approvazione amministratore.

Nella seguente tabella sono elencate alcune attività che un utente standard può eseguire e le attività che richiedono l'elevazione a un account amministratore.

 

Utenti standard Administrators

Stabilire una connessione LAN

Installare e disinstallare le applicazioni

Stabilire e configurare una connessione wireless

Installare un driver di un dispositivo, ad esempio il driver di una fotocamera digitale

Modificare le impostazioni dello schermo

Installare gli aggiornamenti di Windows

Gli utenti non possono deframmentare il disco rigido. Tale attività viene tuttavia eseguita da un servizio

Configurare il Controllo genitori

Riprodurre un supporto CD/DVD configurabile con Criteri di gruppo

Installare un controllo ActiveX

Masterizzare un supporto CD/DVD configurabile con Criteri di gruppo

Aprire il Pannello di controllo Windows Firewall

Modificare lo sfondo del desktop per l'utente corrente

Modificare il tipo di account di un utente

Aprire il Pannello di controllo Data e ora e modificare il fuso orario

Modificare le impostazioni del controllo dell'account utente nello snap-in dell'editor Criteri di protezione (secpol.msc)

Utilizzare Desktop remoto per connettersi a un altro computer

Configurare l'accesso di Desktop remoto

Modificare la password dell'account di un utente

Aggiungere o rimuovere un account utente

Configurare le opzioni di risparmio energia

Copiare o spostare file in Programmi o nella directory di Windows

Configurare le opzioni di Accesso facilitato

Pianificare le attività automatizzate

Ripristinare i file di backup dell'utente

Ripristinare i file di backup del sistema

Impostare la sincronizzazione del computer con un dispositivo mobile (smartphone, laptop o PDA)

Configurare gli aggiornamenti automatici

Collegare e configurare un dispositivo Bluetooth

Accedere alla directory di un altro utente

Migrazione dal gruppo Power Users

Il gruppo Power Users in Windows XP è stato progettato per consentire ai membri del gruppo di eseguire attività sul sistema, ad esempio l'installazione di applicazioni senza concedere le autorizzazioni di amministratore completo. Il gruppo Power Users gode inoltre dell'accesso in scrittura ad aree del file system e del Registro di sistema che sono in genere accessibili solo all'amministratore. Il gruppo Power Users consentiva un certo livello di compatibilità tra applicazioni ma, purtroppo, non risolveva un problema fondamentale: le applicazioni che richiedono privilegi e diritti utenti non necessari. Il controllo dell'account utente non utilizza il gruppo Power Users e in Windows Vista le autorizzazioni concesse a tale gruppo su Windows XP sono state rimosse. Mediante il controllo dell'account utente gli utenti standard sono in grado di eseguire tutte le attività di configurazione comuni. Il gruppo Power Users non è tuttavia ancora disponibile per la compatibilità con altre versioni precedenti di Windows. Per utilizzare il gruppo Power Users in Windows Vista, è necessario applicare un nuovo modello di protezione per modificare le autorizzazioni predefinite sulle cartelle di sistema e sul Registro di sistema in modo da concedere a tale gruppo autorizzazioni equivalenti a quelle di Windows XP.

Modalità Approvazione amministratore

L'attivazione della modalità Approvazione amministratore per un account amministratore facilita l'esecuzione delle attività amministrative da parte di un utente poiché viene fatta una distinzione tra l'attività di un utente standard e l'attività amministrativa. La modifica del Registro di sistema dovrebbe ad esempio essere sempre un'attività amministrativa, mentre la navigazione su Internet dovrebbe sempre essere un'attività utente standard. Il modello del token di accesso del controllo dell'account utente effettua tale distinzione in modo ancora più netto. L'applicazione o il componente che richiede l'autorizzazione per l'utilizzo del token di accesso amministrativo completo dell'utente richiede il consenso a un account amministratore nella modalità Approvazione amministratore.

Architettura del controllo dell'account utente

Mentre la procedura di accesso di Windows Vista a livello esterno sembra uguale a quella eseguita in Windows XP, i meccanismi interni hanno subito sostanziali modifiche. Nell'illustrazione seguente viene mostrato in dettaglio come la procedura di accesso per un amministratore si differenzia dalla procedura di accesso per un utente standard.

UAC logon process

Quando un amministratore esegue l'accesso, all'utente vengono concessi due token di accesso: un token di accesso amministrativo completo e un token di accesso utente standard "filtrato". Per impostazione predefinita, quando un membro del gruppo Administrators locale esegue l'accesso, i privilegi amministrativi di Windows sono disabilitati e i diritti utenti elevati vengono rimossi, restituendo il token di accesso utente standard che viene quindi utilizzato per avviare il desktop (Explorer.exe). Explorer.exe è il processo principale dal quale tutti gli altri processi avviati dall'utente ereditano il rispettivo token di accesso. Per impostazione predefinita tutte le applicazioni sono pertanto eseguite come utente standard, a meno che un utente fornisca il consenso o le credenziali per autorizzare un'applicazione a utilizzare un token di accesso amministrativo completo. Al contrario, quando un utente standard esegue l'accesso, viene creato solo un token di accesso per l'utente standard utilizzato successivamente per avviare il desktop.

Un utente membro del gruppo Administrators può ora eseguire l'accesso, navigare in Internet e leggere i messaggi di posta elettronica utilizzando un token di accesso utente standard. Quando l'amministratore deve eseguire un'attività che richiede il token di accesso amministratore, in Windows Vista viene automaticamente richiesta l'approvazione all'utente. Tale richiesta è detta richiesta di elevazione dei privilegi e il relativo comportamento può essere configurato nello snap-in dell'editor Criteri di protezione (secpol.msc) e con Criteri di gruppo. Per informazioni su come regolare le impostazioni di Criteri di gruppo per il controllo dell'account utente, vedere la sezione "Configurazione delle impostazioni del controllo dell'account utente" del documento.

noteNota
Il termine "elevare" viene utilizzato all'interno del documento per indicare il processo con cui Windows Vista richiede all'utente il consenso o le credenziali per poter utilizzare il token di accesso amministrativo completo di un utente.

Ogni applicazione che richiede il token di accesso dell'amministratore deve richiedere il consenso all'amministratore. L'unica eccezione è il rapporto che esiste tra processo principale e secondario. I processi secondari ereditano il token di accesso dell'utente dai rispettivi processi principali. Sia i processi principali sia quelli secondari devono tuttavia avere lo stesso livello di integrità.

In Windows Vista i processi sono protetti contrassegnandoli con livelli di integrità, ovvero misurazioni di attendibilità. Un'applicazione con livello di integrità "alto" esegue attività che modificano i dati del sistema, ad esempio un'applicazione di partizionamento del disco, mentre un'applicazione con livello di integrità "basso" esegue attività che potrebbero eventualmente compromettere il sistema operativo, ad esempio un browser Web. In Windows Vista le applicazioni con livelli di integrità bassi non possono modificare i dati contenuti in applicazioni con livelli di integrità alti.

Quando un utente standard cerca di eseguire un'applicazione che richiede un token di accesso amministrativo, il controllo dell'account utente richiede all'utente di fornire credenziali amministratore valide. Il processo viene illustrato in dettaglio nella sezione "Esperienza utente con il controllo dell'account utente" di questo documento.

Nel diagramma seguente viene mostrata in dettaglio l'architettura del controllo dell'account utente.

UAC architecture

Servizio Informazioni applicazioni

Il Servizio Informazioni applicazioni è un servizio di sistema che facilita l'avvio delle applicazioni che richiedono l'esecuzione di uno o più privilegi o diritti utente elevati, ad esempio le Attività amministrative, oltre alle applicazioni che richiedono livelli di integrità superiori. Il Servizio Informazioni applicazioni facilita l'avvio di tali applicazioni creando un nuovo processo per l'applicazione con un token di accesso di un utente amministratore quando è richiesta l'elevazione dei privilegi e, in base ai Criteri di gruppo, l'utente concede il consenso per l'esecuzione di tale operazione. Si tratta di un nuovo servizio di Windows Vista.

Virtualizzazione

Poiché per molto tempo nell'ambiente aziendale gli amministratori di sistema hanno cercato di bloccare i sistemi, molte applicazioni line-of-business sono progettate per non richiedere un token di accesso amministrativo completo. Gli amministratori IT non sono pertanto costretti a sostituire la maggior parte delle applicazioni precedenti a Windows Vista durante l'esecuzione di Windows Vista con il controllo dell'account utente abilitato.

In Windows Vista è inclusa una tecnologia di virtualizzazione dei file e del Registro di sistema per le applicazioni che non sono compatibili con il controllo dell'account utente e per le quali è stato sempre richiesto un token di accesso amministrativo per la corretta esecuzione. La virtualizzazione assicura che anche le applicazioni che non sono compatibili con il controllo dell'account utente siano compatibili con Windows Vista. Quando un'applicazione amministrativa non compatibile con il controllo dell'account utente cerca di scrivere su una directory protetta, ad esempio Programmi, il controllo dell'account utente fornisce all'applicazione la propria visualizzazione virtualizzata della risorsa che sta cercando di modificare, utilizzando una strategia copy-on-write. La copia virtualizzata viene mantenuta nel profilo dell'utente. Viene pertanto creata una copia separata del file virtualizzato per ogni utente che esegue l'applicazione non conforme.

La tecnologia di virtualizzazione assicura che l'esecuzione delle applicazioni non conformi non si interrompa in modo invisibile all'utente o abbia esito negativo in modo non deterministico. Il controllo dell'account utente garantisce inoltre la virtualizzazione dei file e del Registro di sistema e la registrazione per impostazione predefinita delle applicazioni precedenti a Windows Vista che eseguono la scrittura su aree protette.

noteNota
La virtualizzazione non si applica alle applicazioni che sono elevate ed eseguite con un token di accesso amministrativo completo.

La maggior parte delle attività applicative funziona correttamente utilizzando le funzionalità di virtualizzazione. Anche se la virtualizzazione consente l'esecuzione della maggior parte delle applicazioni precedenti a Windows Vista, si tratta di una correzione a breve termine e non di una soluzione a lungo termine. Gli sviluppatori delle applicazioni dovrebbero modificare prima possibile le applicazioni in modo da renderle conformi al programma Windows Vista Logo, anziché fare affidamento sulla virtualizzazione dei file, delle cartelle e del Registro di sistema.

Per informazioni su come i fornitori di software indipendente possono progettare le applicazioni in modo da essere conformi al controllo dell'account utente, vedere il documento Windows Vista Development Requirements for User Account Control Compatibility.

noteNota
La virtualizzazione non verrà supportata sulle applicazioni Windows native a 64 bit. Tali applicazioni devono riconoscere il controllo dell'account utente ed essere in grado di scrivere i dati nelle posizioni corrette.

noteNota
La virtualizzazione è disattivata su un'applicazione se un programma include un file manifesto dell'applicazione con un attributo relativo al livello di esecuzione richiesto.

Livelli di esecuzione richiesti

In Windows Vista, il file manifesto dell'applicazione, ovvero un file XML in cui sono descritti e identificati gli assembly affiancati condivisi e privati a cui un'applicazione deve effettuare il binding in fase di esecuzione, include ora voci relative alla compatibilità tra applicazioni del controllo dell'account utente. Le applicazioni amministrative che includono una voce nel file manifesto dell'applicazione richiederanno all'utente l'autorizzazione per accedere al token di accesso dell'utente. La maggior parte delle applicazioni amministrative precedenti a Windows Vista può tuttavia essere eseguita in modo lineare senza modifiche anche se nel file manifesto dell'applicazione non è inclusa una voce, grazie alle correzioni per la compatibilità tra applicazioni, ovvero voci del database che consentono alle applicazioni non compatibili con il controllo dell'account utente di funzionare correttamente in Windows Vista.

Al file manifesto di tutte le applicazioni conformi con il controllo dell'account utente dovrebbe essere aggiunto un livello di esecuzione richiesto. Se l'applicazione richiede l'accesso amministrativo al sistema, contrassegnando l'applicazione con un livello di esecuzione richiesto di tipo "richiedi amministratore", si assicura che il sistema identifichi il programma come applicazione amministrativa ed esegua i necessari passaggi di elevazione. I livelli di esecuzione richiesti consentono al sistema di conoscere i privilegi specifici richiesti per un'applicazione. Se un'applicazione esistente richiede l'accesso amministrativo per la corretta esecuzione su Windows Vista, vedere la sezione "Configurazione delle applicazioni precedenti a Windows Vista per la compatibilità con il controllo dell'account utente" del documento.

Tecnologia di rilevamento del programma di installazione

I programmi di installazione sono applicazioni progettate per implementare software, che per la maggior parte eseguono la scrittura nelle directory e nelle chiavi di Registro del sistema. In genere, la scrittura in tali posizioni protette del sistema può essere eseguita solo da un utente amministratore e gli utenti standard non dispongono pertanto di privilegi di accesso sufficienti per l'installazione dei programmi. In Windows Vista viene eseguito il rilevamento euristico dei programmi di installazione e vengono richieste le credenziali amministratore o l'approvazione dell'utente amministratore per l'esecuzione con i privilegi di accesso. In Windows Vista vengono inoltre rilevati euristicamente i programmi di aggiornamento e di disinstallazione. Si noti che uno degli obiettivi di progettazione del controllo dell'account utente è impedire l'esecuzione delle installazioni che eseguono la scrittura su aree protette del file system e del Registro di sistema a insaputa dell'utente e senza il suo consenso.

Il rilevamento dei programmi di installazione è applicabile solo ai componenti seguenti:

1. File eseguibili a 32 bit

2. Applicazioni senza un attributo requestedExecutionLevel

3. Processi interattivi eseguiti come utente standard con LUA abilitato

Prima della creazione di un processo a 32 bit, per determinare se si tratta di un programma di installazione vengono determinati i seguenti attributi:

  • Il nome file include parole chiave, ad esempio "install", "setup", "update" e così via.

  • Parole chiave nei seguenti campi della risorsa di versione: Fornitore, Società, Nome prodotto, Descrizione, Nome file originale, Nome interno e Nome esportazione.

  • Parole chiave nel file manifesto affiancato incorporato nel file eseguibile.

  • Parole chiave nelle voci StringTable specifiche collegate nel file eseguibile.

  • Attributi chiave nei dati RC collegati nel file eseguibile.

  • Sequenza di destinazione dei byte all'interno del file eseguibile.

noteNota
Le parole chiave e le sequenze di byte sono derivate da caratteristiche comuni rilevate da varie tecnologie dei programmi di installazione.

Si consiglia di leggere attentamente tutto il documento, compresa la sezione "Passaggio 5: creare e incorporare un file manifesto nell'applicazione".

noteNota
È necessario che l'impostazione Controllo account utente: rileva installazione applicazioni e richiedi elevazione sia attivata per consentire il rilevamento dei programmi di installazione. L'impostazione è attivata per impostazione predefinita e può essere configurata con lo snap-in della Gestione Criteri di protezione (secpol.msc) o con Criteri di gruppo (gpedit.msc).

Per informazioni di carattere generale e una panoramica sul programma di installazione di Microsoft Windows, vedere la documentazione disponibile in MSDN all'indirizzo http://go.microsoft.com/fwlink/?LinkId=30197 (informazioni in lingua inglese).

Principali modifiche apportate alle funzionalità

Di seguito sono descritti gli aggiornamenti che riflettono le principali modifiche apportate alle funzionalità di Windows Vista.

Per impostazione predefinita il controllo dell'account utente è attivato

È pertanto possibile che insorgano problemi di compatibilità tra applicazioni differenti che ancora non sono state aggiornate con il componente Controllo dell'account utente di Windows Vista. Se un'applicazione richiede un token di accesso amministrativo, ovvero viene restituito l'errore "accesso negato" quando si cerca di eseguire l'applicazione, è possibile eseguire il programma come amministratore utilizzando l'opzione Esegui come amministratore del menu di scelta rapida (facendo clic con il pulsante destro del mouse). La procedura per l'esecuzione di tale operazione viene illustrata più avanti nel documento nella sezione "Esecuzione di programmi come amministratore".

Tutti i successivi account utente vengono creati come utenti standard

Sia gli account utente standard sia gli account utente amministratore possono usufruire della protezione migliorata offerta dal controllo dell'account utente. Per impostazione predefinita, nelle nuove installazioni il primo account utente creato è un account amministratore locale nella modalità Approvazione amministratore (controllo dell'account utente attivato). Tutti i successivi account vengono quindi creati come utenti standard.

Per impostazione predefinita, l'account predefinito Administrator è disattivato nelle nuove installazioni

Per impostazione predefinita, l'account predefinito Administrator è disattivato in Windows Vista. Se durante l'esecuzione di un aggiornamento da Windows XP a Windows Vista viene determinato che l'unico account amministratore locale attivo è l'account predefinito Administrator, in Windows Vista l'account rimane abilitato e viene messo in modalità Approvazione amministratore. Per impostazione predefinita l'account predefinito Administrator non può accedere al computer in modalità provvisoria. Per ulteriori informazioni vedere le sezioni successive.

Non appartenente a un dominio

Quando è presente almeno un account amministratore locale abilitato, in modalità provvisoria non è consentito l'accesso con l'account predefinito Administrator disabilitato. Per eseguire l'accesso è possibile utilizzare l'account amministratore locale. Se si abbassa inavvertitamente il livello dell'ultimo account amministratore locale, lo si disabilita o elimina, in modalità provvisoria è possibile utilizzare l'account predefinito Administrator disabilitato per eseguire l'accesso ai fini del ripristino di emergenza.

Appartenente a un dominio

L'account predefinito Administrator disabilitato in nessun caso può eseguire l'accesso in modalità provvisoria. Se non esiste un amministratore locale, un account utente membro del gruppo Domain Admins può accedere al computer per crearlo.

ImportantImportante
Se ancora non è stato eseguito l'accesso con l'account amministratore di dominio, è necessario avviare il computer in modalità provvisoria con rete poiché non è stata eseguita la cache delle credenziali.

noteNota
Dopo aver separato il computer dal dominio, verrà ripristinato il comportamento non appartenente al dominio descritto sopra.

Per impostazione predefinita le richieste di elevazione dei privilegi sono visualizzate sul desktop protetto

Per impostazione predefinita, in Windows Vista le richieste di consenso e di credenziali sono visualizzate sul desktop protetto.

Nuove impostazioni di protezione del controllo dell'account utente e modifiche al nome delle impostazioni di protezione

I criteri di protezione del controllo dell'account utente vengono illustrati in dettaglio nella sezione "Configurazione delle impostazioni del controllo dell'account utente" del documento.

Standard User Analyzer

Per verificare la compatibilità tra applicazioni con il controllo dell'account utente, gli amministratori IT e gli sviluppatori delle applicazioni possono utilizzare Standard User Analyzer. Questo strumento restituisce un registro delle operazioni elevate di un'applicazione la cui esecuzione in genere non riesce se avviata come utente standard, fornendo una guida di orientamento per configurare tali attività e garantire la conformità con il controllo dell'account utente In Windows Vista è inoltre possibile utilizzare l'impostazione Controlla tracciato processo per determinare le applicazioni che non sono eseguite come utente standard nell'ambiente aziendale. Per assicurarsi che il controllo dell'account utente non influisca negativamente sull'esperienza utente di Windows, è consigliabile testare tutti i componenti e le applicazioni con questi strumenti. Per maggiori informazioni su questi strumenti, comprese informazioni e procedure per la configurazione, vedere la sezione "Configurazione delle applicazioni precedenti a Windows Vista per la compatibilità con il controllo dell'account utente" del documento.

Esperienza utente con il controllo dell'account utente

Se il controllo dell'account utente è attivato, l'esperienza utente è differente per gli utenti standard e gli amministratori nella modalità Approvazione amministratore. Nelle sezioni seguenti sono illustrate in dettaglio tali differenze e viene descritta la progettazione dell'interfaccia utente del controllo dell'account utente.

Il metodo consigliato e più sicuro per l'esecuzione di Windows Vista è rendere l'account utente primario un account utente standard. L'esecuzione come utente standard è inoltre un requisito per sfruttare al massimo la protezione di un ambiente gestito. Grazie al componente incorporato di elevazione del controllo dell'account utente, gli utenti standard possono facilmente eseguire un'attività amministrativa immettendo le credenziali valide di un account amministratore locale. Il componente incorporato predefinito di elevazione del controllo dell'account utente per gli utenti standard viene indicato con il termine "richiesta di credenziali".

L'alternativa all'esecuzione come utente standard è l'esecuzione come amministratore in modalità Approvazione amministratore. Grazie al componente incorporato di elevazione del controllo dell'account utente i membri del gruppo Administrators locale possono facilmente eseguire un'attività amministrativa rilasciando l'approvazione. Il componente incorporato predefinito di elevazione del controllo dell'account utente di un account amministratore nella modalità Approvazione amministratore viene indicato con il termine "richiesta di consenso". Il comportamento della richiesta di elevazione del controllo dell'account utente può essere configurato con lo snap-in locale dell'editor Criteri di protezione (secpol.msc) e con Criteri di gruppo. Per informazioni dettagliate sulle impostazioni di protezione del controllo dell'account utente e sui relativi valori, vedere la sezione "Gestione del controllo dell'account utente con l'editor Criteri di protezione e Criteri di gruppo" del documento.

Richiesta di consenso e di credenziali

Se il controllo dell'account utente è attivato, prima di avviare un programma o un'attività che richiede un token di accesso amministrativo completo, Windows Vista richiede il consenso oppure le credenziali di un account amministratore valido. Tale richiesta assicura che non venga installata alcuna applicazione dannosa in modo invisibile.

Richiesta di consenso

La richiesta di consenso viene inviata quando un utente tenta di eseguire un'attività che richiede il token di accesso amministrativo di un utente. Di seguito viene mostrata una schermata della richiesta di consenso del controllo dell'account utente.

Consent prompt

Negli esempi seguenti viene descritto come rilasciare il consenso prima di eseguire un'operazione amministrativa.

Per visualizzare la richiesta di consenso
  1. Accedere a un computer che esegue Windows Vista con un account amministratore in modalità Approvazione amministratore.

  2. Fare clic sul pulsante Start, quindi fare clic con il pulsante destro del mouse su Computer locale e selezionare Gestione dal menu.

  3. Quando viene visualizzata la richiesta di consenso del controllo dell'account utente fare clic su Continua.

Richiesta di credenziali

La richiesta di credenziali viene inviata quando un utente standard tenta di eseguire un'attività che richiede il token di accesso amministrativo di un utente. Il comportamento della richiesta predefinita dell'utente standard può essere configurato con lo snap-in della Gestione Criteri di protezione (secpol.msc) e con Criteri di gruppo. Agli amministratori può inoltre essere richiesto di fornire le credenziali impostando il valore del campo Controllo account utente: comportamento della richiesta di elevazione dei privilegi per gli amministratori in modalità Approvazione amministratore su Richiedi credenziali.

Di seguito viene mostrata una schermata di esempio della richiesta di credenziali del controllo dell'account utente.

Credential prompt

Nell'esempio seguente viene illustrato in che modo vengono richieste le credenziali a un utente standard che tenta di eseguire un'attività amministrativa.

Per visualizzare la richiesta di credenziali
  1. Accedere a un computer che esegue Windows Vista con un account utente standard.

  2. Fare clic sul pulsante Start, quindi fare clic con il pulsante destro del mouse su Computer locale e selezionare Gestione dal menu.

  3. Quando viene visualizzata la richiesta di credenziali del controllo dell'account utente, fare clic sul nome utente dell'amministratore appropriato, immettere la password per l'account utente specifico, quindi fare clic su Invia.

Richieste di elevazione dei privilegi per il riconoscimento delle applicazioni

Le richieste di elevazione dei privilegi del controllo dell'account utente sono codificate a colori in modo da essere specifiche per ogni applicazione e consentire così l'immediata identificazione di un potenziale rischio di protezione di un'applicazione. Quando un'applicazione tenta l'esecuzione con un token di accesso amministrativo completo, in Windows Vista viene innanzitutto analizzato il file eseguibile per determinarne l'autore. Le applicazioni vengono prima di tutto suddivise in tre categorie in base all'autore del file eseguibile: Windows Vista, autore verificato (firmato) e autore non verificato (non firmato). Il diagramma seguente mostra in che modo Windows Vista determina la richiesta di elevazione del colore da presentare all'utente. Nell'illustrazione seguente viene mostrata in dettaglio la logica della richiesta di elevazione dei privilegi per i corrispondenti livelli di attendibilità.

Application aware elevation prompts

Di seguito viene illustrato in dettaglio il codice a colori della richiesta di elevazione dei privilegi:

  • Sfondo rosso e icona Scudo di protezione rossa: l'applicazione proviene da un autore bloccato oppure è bloccata dai Criteri di gruppo.

  • Sfondo blu/verde: l'applicazione è un'applicazione amministrativa di Windows Vista, ad esempio un pannello di controllo.

  • Sfondo grigio e icona Scudo di protezione dorata: l'applicazione contiene una firma Authenticode ed è considerata attendibile dal computer locale.

  • Sfondo giallo e icona Scudo di protezione rossa: l'applicazione non è firmata oppure è firmata ma non è ancora considerata attendibile dal computer locale.

Le richieste di elevazione dei privilegi del codice a colore sono allineate alle finestre di dialogo codificate a colori in Microsoft Internet Explorer.

Icona Scudo di protezione

Alcuni pannelli di controllo, ad esempio il pannello di controllo Proprietà data e ora, contengono una combinazione di operazioni amministratore e utente standard. Gli utenti standard possono visualizzare l'orologio e modificare il fuso orario. Per modificare l'ora del sistema locale è tuttavia richiesto un token di accesso amministrativo completo. Di seguito viene mostrata una schermata del pannello di controllo Proprietà data e ora.

Shield icon

Per modificare l'ora, è possibile fare clic sul pulsante con l'icona Scudo di protezione. Questa icona indica al sistema di avviare il processo con un token di accesso amministrativo completo, che richiede una richiesta di elevazione dei privilegi del controllo dell'account utente.

Protezione della richiesta di elevazione dei privilegi

Il processo di elevazione dei privilegi è ulteriormente protetto poiché la richiesta viene indirizzata al desktop protetto. Per impostazione predefinita, in Windows Vista le richieste di consenso e di credenziali sono visualizzate sul desktop protetto. Solo i processi Windows possono accedere al desktop protetto. In aggiunta alle raccomandazioni rivolte agli amministratori e agli utenti standard, è consigliabile mantenere attivata l'impostazione Controllo account utente: alla richiesta di elevazione passa al desktop protetto per i livelli superiori di protezione.

Quando un file eseguibile richiede l'elevazione dei privilegi, il desktop interattivo, chiamato anche desktop utente, passa al desktop protetto. Il desktop protetto esegue il rendering di una bitmap con alpha blending del desktop utente e viene visualizzata una richiesta di elevazione dei privilegi selezionata e la corrispondente finestra dell'applicazione che effettua la chiamata. Quando l'utente fa clic su Continua oppure Annulla, viene ripristinato il desktop utente.

È importante ricordare che il malware potrebbe sovrapporsi al desktop interattivo e presentare un'imitazione del desktop protetto. Tuttavia, se l'impostazione è configurata sulla richiesta di approvazione, l'elevazione del malware non viene concessa nel caso in cui l'utente dovesse essere tratto in inganno e fare clic su Continua sull'imitazione. Se l'impostazione è configurata sulla richiesta di credenziali, il malware che imita la richiesta di credenziali potrebbe essere in grado di raccogliere le credenziali dall'utente. Si noti che questo non consente l'elevazione dei privilegi del malware e che il sistema dispone di altri sistemi di protezione che impediscono al malware di accedere automaticamente all'interfaccia utente anche con una password raccolta.

ImportantImportante
Anche se il malware è in grado di presentare un'imitazione del desktop protetto, il problema non si verifica a meno che un utente non abbia precedentemente installato il malware nel computer. Poiché i processi che richiedono un token di accesso amministratore non possono essere installati in modo invisibile quando è attivato il controllo dell'account utente, l'utente deve fornire il consenso in modo esplicito facendo clic su Continua oppure fornendo le credenziali di amministratore. Il comportamento specifico della richiesta di elevazione dei privilegi del controllo dell'account utente dipende dai Criteri di gruppo.

L'impostazione è attivata per impostazione predefinita in Windows Vista e può essere configurata con lo snap-in dell'editor Criteri di protezione (secpol.msc) o a livello centrale con Criteri di gruppo. Per informazioni dettagliate sulle impostazioni e le configurazioni disponibili, vedere la sezione "Gestione del controllo dell'account utente con l'editor Criteri di protezione e Criteri di gruppo".

Gestione delle applicazioni precedenti a Windows Vista

Per una serie di motivi, alcune applicazioni non verranno tuttavia riprogettate. Il controllo dell'account utente prevede sistemi di protezione incorporati per le applicazioni precedenti a Windows Vista, compresi i livelli di esecuzione richiesti e la virtualizzazione dei file, delle cartelle e del Registro di sistema.

Sviluppo di applicazioni conformi al controllo dell'account utente di Windows Vista

Mentre il concetto di esecuzione delle applicazioni con la richiesta minima di privilegi e diritti utente è stato ampiamente accettato dalla comunità di sviluppo software, viene spesso sottovalutato dai fornitori di applicazioni che scelgono invece di concentrarsi sulla semplificazione dell'utilizzo del software o sul perfezionamento dell'interfaccia utente.

A molti sviluppatori di applicazioni verrà richiesto di modificare le applicazioni in modo da garantire un corretto funzionamento con il controllo dell'account utente. Sarà necessario riprogettare le applicazioni che richiedono diritti amministrativi non necessari per renderle conformi al controllo dell'account utente. Tale riprogettazione consentirà agli utenti standard di eseguire in Windows Vista molte delle applicazioni che non riescono a eseguire attualmente su Windows.

Per facilitare il processo di riprogettazione, Microsoft ha messo a disposizione degli sviluppatori delle applicazioni alcuni strumenti e informazioni. Per ulteriori informazioni, vedere la pagina Application Compatibility su MSDN all'indirizzo http://go.microsoft.com/fwlink/?LinkId=49973 (informazioni in lingua inglese).

Anche con tali modifiche, per l'esecuzione di alcune attività è comunque richiesto un token di accesso amministrativo completo, ad esempio la gestione degli account utente, l'installazione dei driver dei dispositivi e l'esecuzione di software di gestione aziendale. In Windows Vista gli sviluppatori delle applicazioni devono determinare quale dei due livelli di accesso (standard o amministrativo) è richiesto dalle applicazioni per l'esecuzione di attività specifiche. Se per l'esecuzione di un'attività non è richiesto un token di accesso amministrativo completo, l'applicazione dovrebbe essere scritta in modo da richiedere solo i controlli di accesso dell'utente standard. In un'applicazione conforme al controllo dell'account utente i file di dati dovrebbero ad esempio essere scritti sul profilo dell'utente anziché nell'albero della directory Programmi.

Windows Vista Logo Program

Windows Vista Logo Program è uno dei principali vantaggi per la creazione delle applicazioni conformi al controllo dell'account utente. Il programma impone rigide linee guida di certificazione, assicurando ai clienti che i prodotti certificati potranno essere correttamente integrati in Windows Vista.

La certificazione Windows Vista Logo rappresenta un elemento di differenziazione competitivo e di credibilità per i fornitori di software indipendenti (ISV, Independent Software Vendor). In questo modo i clienti avranno la certezza di acquistare applicazioni certificate completamente compatibili con Windows Vista e che il fornitore di software indipendente si impegna a preservare l'integrità e garantire la protezione dei dati personali. Microsoft sta attualmente realizzando strumenti beta per la gestione del flusso di lavoro derivante dalla generazione e sottoscrizione dei file manifesto da parte dei fornitori di software indipendenti. Il certificato Logo Certificate sarà riportato sulla confezione e attesterà la certificazione. Per ulteriori informazioni sul processo di certificazione Windows Vista Logo visitare la home page di Microsoft Windows Logo.

Distribuzione di applicazioni per gli utenti standard

Una delle attività più impegnative per le aziende è il controllo dell'installazione delle applicazioni. Gli strumenti di distribuzione, ad esempio Microsoft Systems Management Server (SMS), consentono ai reparti IT di centralizzare la distribuzione delle applicazioni e ridurre il costo totale di proprietà per l'azienda. Con l'introduzione del modello utente del controllo account utente in Windows Vista, SMS esercita un impatto persino maggiore sul costo totale di proprietà e sulla facilità di gestione.

Ottimizzazione della protezione della distribuzione dell'applicazione

I reparti IT possono utilizzare i tre livelli di protezione riportati di seguito per modellare lo scenario di distribuzione dell'applicazione:

  • Alto: tutte le applicazioni sono create e distribuite utilizzando la tecnologia SMS, GPSI o altra tecnologia di distribuzione analoga.

  • Medio: le applicazioni vengono installate caso per caso dal reparto IT.

  • Basso: gli utenti standard possono installare le applicazioni a loro piacimento.

Di seguito sono illustrati gli scenari relativi ai tre precedenti livelli di protezione.

Alto: tutte le applicazioni sono distribuite utilizzando la tecnologia SMS, GPSI o altra tecnologia di distribuzione analoga

In questo scenario, tutte le applicazioni, i sistemi operativi e le patch di protezione vengono installati mediante una tecnologia di distribuzione delle applicazioni. L'utilizzo di tecnologie come SMS e GPSI in questo scenario offre numerosi vantaggi, tra cui:

  • Amministrazione semplificata: amministrando le applicazioni a livello centrale, un reparto IT può facilmente mantenere un elenco delle applicazioni installate e impedire l'installazione di quelle indesiderate.

  • Riduzione dell'installazione di malware: poiché il malware è spesso "accompagnato" da software legittimo, non offrendo agli utenti la possibilità di installare tale software si previene l'installazione di malware.

  • Costo totale di proprietà ridotto: installazione di una quantità inferiore di malware e limitazione del malware alle posizioni dei singoli utenti.

I requisiti per questo livello di protezione includono:
  • Nel caso in cui si utilizzi SMS come tecnologia di distribuzione delle applicazioni è necessario che Microsoft SMS 4.0 sia installato su un server dedicato. In caso contrario, modificare questo requisito con la tecnologia utilizzata.

  • Tutti gli utenti devono disporre di account utente standard e accedere ai computer con tale account.

  • Gli amministratori di dominio devono disporre di due account: un account utente standard e un account amministratore di dominio con il controllo dell'account utente abilitato.

  • È necessario che l'impostazione Controllo account utente: esegui tutti gli amministratori in modalità Approvazione amministratore sia attivata e gestita a livello centrale tramite Criteri di gruppo.

  • È necessario che l'impostazione Controllo account utente: alla richiesta di elevazione passa al desktop protetto sia attivata e gestita a livello centrale tramite Criteri di gruppo.

  • È necessario che l'impostazione Controllo account utente: comportamento della richiesta di elevazione dei privilegi per gli utenti standard sia configurata come Richiedi credenziali e gestita a livello centrale tramite Criteri di gruppo.

Vantaggi: l'implementazione del controllo account utente in questo modo offre numerosi vantaggi. La gestione delle impostazioni del controllo dell'account utente a livello centrale con Criteri di gruppo consente al reparto IT di accertare che i criteri dei computer locali non possano essere modificati per aggirare i criteri del reparto. Poiché gli utenti accedono ai computer come utenti standard e non conoscono il nome utente o la password di un account amministratore locale, non possono modificare le impostazioni del sistema, installare software e malware e alterare deliberatamente o inavvertitamente il computer. Anche se tutti gli utenti sono utenti standard, possono tuttavia installare e aggiornare le applicazioni con SMS. I vantaggi specifici offerti dalla distribuzione del software tramite SMS sono stati illustrati più indietro in questa sezione.

Medio: le applicazioni vengono installate caso per caso dal reparto IT

Anche se il livello di protezione è "medio", è il livello più difficile da gestire. In questo scenario, ogni volta che gli utenti desiderano installare un'applicazione, devono inviare una richiesta al supporto tecnico, il cui personale dovrà quindi utilizzare Desktop remoto per installare l'applicazione o immettere fisicamente le credenziali sul computer dell'utente. Anche se, in teoria, il reparto IT dovrebbe sapere quali applicazioni sono installate sui computer, la procedura di aggiornamento può essere particolarmente onerosa e difficile da gestire. Inoltre, se le credenziali di un account amministratore locale vengono divulgate anche solo una volta a un utente standard, si presuppone che tale criterio di protezione sia compromesso.

Basso: gli utenti possono installare le applicazioni a loro piacimento

In questo scenario, sono possibili tre configurazioni. Le configurazioni seguenti sono presentate in ordine decrescente rispetto al livello di protezione, dove la prima configurazione è la più sicura:

  1. Gli utenti sono utenti standard ma conoscono il nome utente e la password di un amministratore locale.

    1. L'impostazione Controllo account utente: esegui tutti gli amministratori in modalità Approvazione amministratore è attivata.

    2. Gli utenti accedono con i propri account utente standard e forniscono le credenziali di un account amministratore locale alla richiesta di credenziali del controllo dell'account utente quando desiderano eseguire attività amministrative.

    3. Impatto: non esiste un modo efficace per il reparto IT per tenere traccia delle installazioni delle applicazioni o dell'indice di integrità di un computer. Gli utenti possono inoltre installare inavvertitamente malware fornendo le credenziali a una richiesta di credenziali del controllo dell'account utente per un file eseguibile che non sono in grado di identificare.

  2. Gli utenti sono amministratori locali.

    1. L'impostazione Controllo account utente: esegui tutti gli amministratori in modalità Approvazione amministratore è attivata.

    2. Gli utenti accedono con i propri account amministratore e forniscono il consenso alla richiesta di consenso del controllo dell'account utente quando desiderano eseguire attività amministrative.

    3. Impatto: anche se il controllo dell'account utente è abilitato, poiché tutti gli utenti accedono come amministratori, qualsiasi utente può facilmente installare software, modificare le impostazioni del sistema e aggirare i criteri di protezione del computer. Non esiste inoltre un sistema efficace per il reparto IT per tenere traccia delle installazioni delle applicazioni o dell'indice di integrità di un computer.

  3. Il controllo dell'account utente è disabilitato e gli utenti sono amministratori locali.

    1. L'impostazione Controllo account utente: esegui tutti gli amministratori in modalità Approvazione amministratore è disattivata.

    2. Gli utenti accedono con gli account amministratore ed eseguono attività amministrative.

    3. Impatto: se il controllo dell'account utente è disabilitato, gli utenti non vengono informati del tentativo delle applicazioni amministrative di utilizzare il token di accesso amministrativo. Di conseguenza, non esiste un sistema efficace per il reparto IT per tenere traccia delle installazioni delle applicazioni o dell'indice di integrità di un computer. Il malware può inoltre installarsi in modo invisibile poiché agli utenti non vengono richiesti né il consenso né le credenziali prima dell'esecuzione di un file eseguibile amministrativo.

Verifica delle applicazioni per gli utenti standard

Per garantire a un maggior numero di applicazioni una migliore compatibilità con gli utenti standard, è necessario che gli sviluppatori si accertino di testare le applicazioni come utenti standard. Per indicazioni sulla verifica della conformità delle applicazioni con Windows Vista, vedere il documento Windows Vista Development Requirements for User Account Control Compatibility (informazioni in lingua inglese).

Ricreazione dei pacchetti delle applicazioni

Windows Installer 4.0 è stato progettato per essere perfettamente compatibile e in grado di riconoscere il controllo dell'account utente. Gli amministratori di sistema che hanno la necessità di personalizzare le applicazioni e ricreare i relativi pacchetti per i propri ambienti IT possono utilizzare FLEXnet AdminStudio 7 SMS Edition per ricreare il pacchetto software con Windows Installer per la distribuzione SMS. FLEXnet AdminStudio 7 SMS Edition consente alle aziende di preparare, pubblicare e distribuire pacchetti software utilizzando SMS 2003 senza intervenire minimamente sulla console del server SMS, migliorando sensibilmente l'efficacia delle attività di gestione delle applicazioni.

In FLEXnet AdminStudio 7 SMS Edition è disponibile un componente di ricreazione dei pacchetti basato su una procedura guidata che facilita la conversione di qualsiasi installazione, comprese le installazioni InstallScript Windows Installer difficili da ricreare, in pacchetti completi di Windows Installer. Il componente include i seguenti componenti secondari: InstallMonitor per ricreare il pacchetto dell'applicazione senza schermate, SmartScan per estrapolare il maggior numero di informazioni dalle installazioni InstallScript durante la conversione a Windows Installer, Setup Intent per assicurare che file importanti non vadano persi e Packaging Process Assistant per indicare il corretto processo di ricreazione del pacchetto.

FLEXnet AdminStudio 7 SMS Edition è disponibile per il download gratuito sul sito SMS all'indirizzo http://go.microsoft.com/fwlink/?LinkId=71355 (informazioni in lingua inglese).

Nelle seguenti risorse è possibile reperire ulteriori informazioni sul processo di ricreazione del pacchetto software.

Scenario di distribuzione del controllo dell'account utente

In questa sezione viene descritto uno scenario di distribuzione del controllo dell'account utente in un'azienda di medie dimensioni, Litware, Inc. Lo scopo è quello di aiutare i reparti IT a risolvere eventuali problemi che potrebbero emergere dall'esecuzione in un ambiente Windows Vista con il controllo dell'account utente abilitato.

Litware, Inc (media impresa)

Dopo aver installato Windows Vista su un computer presso la sede centrale di Litware, Inc, un utente esegue l'accesso come amministratore in modalità Approvazione amministratore e accede a una cartella condivisa in cui sono archiviate le applicazioni line-of-business specifiche del reparto. Nella condivisione è inclusa una cartella per ogni applicazione e il software utilizza differenti tecnologie per l'installazione delle applicazioni, compresi Windows Installer, bootstrapper.exe e un programma di installazione di tipo xcopy.

Litware, Inc dispone di 2.500 desktop con Windows XP e ha deciso di eseguire l'aggiornamento a Windows Vista per usufruire del controllo dell'account utente. Il reparto IT deve trovare un modo per installare le varie applicazioni line-of-business dell'azienda come standard ma sono emersi i seguenti problemi:

  • Nessuno nel reparto IT ha esperienza con Criteri di gruppo Installazione software (GPSI) o Microsoft Systems Management Server (SMS). La società dovrà pertanto investire nella formazione di una persona all'interno del team.

  • La conversione delle applicazioni line-of-business per l'installazione con Windows Installer potrebbe risultare onerosa in quanto non sono disponibili strumenti a supporto della procedura. Ad esempio, è possibile ricreare i pacchetti di tutte le applicazioni ma non è facile definire le impostazioni di installazione.

  • Il reparto IT ha sviluppato alcuni script di accesso per eseguire le installazioni delle applicazioni e desidera pertanto sfruttare il tempo, le risorse e l'impegno investiti nella relativa creazione.

Soluzioni con amministratore in modalità Approvazione amministratore

Questo problema non interessa esclusivamente Windows Vista. Da diverso tempo le aziende stanno cercando di installare le applicazioni come utenti standard, con risultati più o meno soddisfacenti. Le soluzioni elencate di seguito sono presentate in ordine crescente di preferenza: soluzione buona, migliore e ottimale.

Buona

Consente agli utenti di eseguire l'installazione dalla condivisione esistente e di affidarsi al rilevamento del programma di installazione euristico per identificare le applicazioni line-of-business come programmi di installazione e invocare quindi il livello di esecuzione richiesto elevato. Poiché l'elevazione invisibile all'utente è disattivata, non verrà inviata agli utenti una richiesta di consenso o di credenziali e verrà invece eseguito l'accesso con il token di accesso amministrativo completo quando le applicazioni vengono eseguite da tali condivisioni.

Per ulteriori informazioni sul rilevamento dei programmi di installazione euristici in Windows Vista, vedere la sezione "Tecnologia di rilevamento dei programmi di installazione" del documento.

Questo approccio presenta purtroppo alcune limitazioni. In diversi casi il rilevamento del programma di installazione di Windows Vista identifica un'applicazione come programma di installazione ed eleva automaticamente i privilegi dell'applicazione. Nel caso in cui l'applicazione non sia progettata per l'installazione in Windows Vista, sorgono inoltre alcuni problemi di compatibilità tra applicazioni.

Migliore

Quando una società investe maggiormente nel blocco dell'ambiente aziendale, uno dei primi interventi del reparto IT è la catalogazione di tutte le applicazioni eseguite sui computer degli utenti. In questo scenario, un membro del reparto IT ha già consolidato tali applicazioni in una singola posizione, ovvero una condivisione di rete. A seguito del consolidamento di queste applicazioni, è possibile superare facilmente la limitazione descritta nella precedente sezione contrassegnando in modo esplicito i programmi di installazione con un livello di esecuzione richiesto per l'esecuzione come amministratore. Se si contrassegnano le applicazioni con i livelli di esecuzione richiesti è necessario aggiungere voci al database compatibilità applicazioni per le applicazioni in esame. Le applicazioni possono anche essere contrassegnate per l'esecuzione con un livello di esecuzione inferiore nel caso in cui fossero erroneamente identificate come programmi di installazione.

Potrebbe inoltre essere creato uno script per visitare la condivisione e contrassegnare tutte le applicazioni con i livelli del database compatibilità applicazioni RunAsAdmin. Per ulteriori informazioni su come contrassegnare le applicazioni con i livelli di esecuzione richiesti, vedere la sezione "Contrassegno delle applicazioni con i livelli di esecuzione richiesti per la compatibilità tra applicazioni" del documento.

I contrassegni del database applicazioni sono associati a un oggetto Criteri di gruppo che viene quindi distribuito all'interno dell'azienda con Criteri di gruppo. Dopo la distribuzione dei criteri, a ogni utente all'interno dell'azienda viene garantito che le applicazioni sono contrassegnate in modo coerente per essere eseguite con il livello di esecuzione richiesto specificato in modo esplicito.

Ottimale

Dopo che il personale IT ha compreso le varie applicazioni installate dagli utenti, il reparto può iniziare a controllarne l'installazione e impedire l'installazione di altre applicazioni. È innanzitutto necessario disattivare il rilevamento del programma di installazione e creare espliciti contrassegni dei livelli di esecuzione richiesti per ogni applicazione che esegue l'installazione di un prodotto all'interno dell'azienda. Il rilevamento del programma di installazione non è più necessario poiché una volta che il reparto IT ha individuato tutte le applicazioni che verranno installate dagli utenti, ciascuna di esse appare contrassegnata con un livello di esecuzione richiesto.

Poiché ora l'installazione delle applicazioni è un processo più controllato, gli utenti non devono più eseguire le installazioni da CD o altri supporti esterni in quanto è tutto disponibile sulla rete. Per impedire agli utenti di installare le applicazioni che utilizzano un programma di installazione di Windows da un supporto rimovibile esterno, è possibile eseguire la seguente procedura per impostare il valore del campo Impedisci installazione origine supporto rimovibile nel file del modello amministrativo di Windows Installer:

Per impedire le installazioni delle origini supporto rimovibile
  1. Fare clic sul pulsante Start, scegliere Pannello di controllo, fare doppio clic su Strumenti di amministrazione e quindi su Utenti e computer di Active Directory.

  2. Nel riquadro della console, espandere Configurazione utente, Modelli amministrativi, Componenti di Windows e selezionare Windows Installer.

  3. Nel riquadro Dettagli fare clic con il pulsante destro del mouse su Impedisci installazione origine supporto rimovibile e scegliere Proprietà.

  4. In Proprietà selezionare Attiva e quindi fare clic su OK.

noteNota
Se l'impostazione Impedisci installazione origine supporto rimovibile è attivata, quando un utente tenta di installare un programma da un supporto rimovibile, ad esempio CD, disco floppy e DVD, viene visualizzato un messaggio per segnalare che non è stato possibile trovare la funzionalità.

noteNota
L'impostazione Impedisci installazione origine supporto rimovibile si applica anche quando l'installazione è in esecuzione nel contesto di protezione dell'utente.

ImportantImportante
Come anticipato, quando l'utente finale è eseguito come amministratore, non vi è alcuna garanzia che le impostazioni distribuite dal reparto IT siano effettivamente attive sul computer in uso. Con il tempo, la determinazione e l'esperienza, gli utenti amministrativi riescono ad aggirare le varie impostazioni in molti modi.

Un altro vantaggio del consolidamento delle applicazioni su una singola condivisione di rete è la possibilità di firmare tutti i file binari. Dopo aver completato la firma dei file binari, è possibile garantire un ulteriore livello di protezione dell'azienda abilitando l'impostazione Controllo account utente: eleva solo file eseguibili firmati e convalidati.

Per impedire l'esecuzione dei file eseguibili non autorizzati è inoltre possibile aggiungere i Criteri restrizione software.

Soluzioni per gli utenti standard

Le soluzioni elencate di seguito sono presentate in ordine decrescente di preferenza: soluzione buona, migliore e ottimale.

Migliore

Il reparto IT dovrebbe presupporre che gli utenti standard non sono generalmente in grado di installare applicazioni e che dispongono di una serie minima di diritti utenti aggiunti al rispettivo token di accesso. Gli utenti non potranno più effettuare l'esecuzione come amministratore e avranno invece bisogno di un servizio eseguito come amministratore per modificare lo stato del sistema. A tale scopo Windows mette a disposizione un servizio di installazione: il server Windows Installer. È inoltre disponibile l'estensione dell'installazione software basata su Criteri di gruppo che consente la distribuzione delle applicazioni sul computer di un utente senza che durante la procedura di installazione sia richiesto alcun intervento da parte dell'utente.

Per ulteriori informazioni, vedere la documentazione Group Policy Software Installation Extension all'indirizzo http://go.microsoft.com/fwlink/?LinkId=71356 (informazioni in lingua inglese).

Un'altra soluzione consiste nel distribuire l'applicazione tramite una tecnologia, ad esempio SMS. L'idea di base è la stessa: un utente standard necessita di un servizio back-end per l'esecuzione di attività per le quali non dispone di privilegi o diritti utenti.

Per informazioni sulla distribuzione delle applicazioni con SMS, vedere l'articolo TechNet all'indirizzo http://go.microsoft.com/fwlink/?LinkId=71357 (informazioni in lingua inglese).

Una delle difficoltà derivanti dall'utilizzo dell'estensione GPSI è correlata al fatto che le applicazioni devono essere distribuite nei programmi di installazione di Windows. Per convertire i file binari del programma di installazione di un'applicazione in un programma di installazione di Windows è necessario eseguire una procedura denominata "ricreazione dei pacchetti delle applicazioni", che comprende la determinazione delle impostazioni specifiche per l'applicazione e l'adozione del corretto ordine di esecuzione dei vari eventi. Sono disponibili strumenti che agevolano tale procedura, ad esempio DevStudio di InstallShield.

La ricreazione dei pacchetti delle applicazioni è spesso un compito difficile e in molte aziende sono presenti team dedicati solo a tale attività. Per ulteriori informazioni sul tale argomento, vedere la sezione "Ricreazione dei pacchetti delle applicazioni" del documento.

Ottimale

In questo scenario vengono valutate le numerose considerazioni inerenti la distribuzione del software. In genere ogni utente all'interno di un'azienda necessita di una serie fondamentale di applicazioni line-of-business sul proprio computer. Si tratta di un gruppo di prodotti di alto livello da distribuire a tutta l'azienda tramite pubblicazione GPSI oppure annuncio. In un'azienda in cui vengono distribuiti molti computer, è probabile che abbia senso creare una raccolta immagini con queste applicazioni già installate.

La soluzione Utilità preparazione sistema (sysprep.exe), distribuita con Windows, consente di produrre un'immagine per la distribuzione di massa. Utilizzando questa utilità, creare un'immagine contenente tutte le applicazioni fondamentali richieste e distribuirla quindi a tutti i computer dell'ambiente. Questo tipo di distribuzione aggira gli impatti delle risorse derivanti dalla presenza di più installazioni di grandi dimensioni sulla rete. Utilizzare infine le unità organizzative per ogni divisione per pubblicizzare i pacchetti aggiuntivi agli utenti che dispongono di GPSI.

Configurazione delle impostazioni del controllo dell'account utente

Dopo aver illustrato il funzionamento del controllo dell'account utente ed eventuali problemi che potrebbero insorgere durante la distribuzione di Windows Vista nell'ambiente, viene ora spiegato come configurare il controllo dell'account utente per ottimizzare la protezione e la facilità di utilizzo.

In questa sezione vengono descritti in dettaglio i due metodi principali di configurazione del controllo dell'account utente:

Amministrazione del controllo dell'account utente con l'editor Criteri di protezione locale e Criteri di gruppo

Prima di Windows Vista, gli utenti standard che lavoravano su computer privati o in ambienti di rete avevano spesso la possibilità di installare applicazioni. Allora la differenza principale era che, nonostante potessero creare impostazioni di Criteri di gruppo per limitare le installazioni delle applicazioni, gli amministratori non avevano accesso alla limitazione delle installazioni delle applicazioni per gli utenti standard come impostazione predefinita. Ciò è invece possibile in un ambiente con il controllo dell'account utente dove gli amministratori possono ancora utilizzare Criteri di gruppo per definire un elenco approvato di dispositivi e distribuzione.

Per il controllo dell'account utente è possibile configurare nove oggetti Criteri di gruppo. Nelle sezioni seguenti sono descritte in dettaglio le diverse impostazioni degli oggetti Criteri di gruppo del controllo account utente e vengono fornite raccomandazioni.

Controllo account utente: modalità Approvazione amministratore per l'account amministratore predefinito

Questa impostazione determina se il controllo dell'account utente è applicato all'account predefinito Administrator.

noteNota
Per impostazione predefinita, l'account predefinito Administrator è disattivato per le installazioni e gli aggiornamenti sui computer appartenenti a un dominio.

Opzioni di configurazione:

  • Attivato: l'account predefinito Administrator verrà eseguito come amministratore nella modalità Approvazione amministratore.

  • Disattivato: l'amministratore esegue l'accesso con un token di accesso amministrativo completo.

Valore predefinito:

  • Disattivato per le nuove installazioni e per gli aggiornamenti dove l'amministratore predefinito NON è l'amministratore attivo locale sul computer.

  • Attivato per gli aggiornamenti dove in Microsoft Windows Vista viene rilevato che l'account predefinito Administrator è l'unico amministratore attivo locale sul computer. In questo caso, l'account predefinito Administrator viene inoltre mantenuto attivato in Microsoft Windows Vista dopo l'aggiornamento.

Raccomandazione: in un ambiente aziendale è consigliabile configurare questa impostazione su Disattivato in modo da consentire agli amministratori di dominio di accedere al computer.

Controllo account utente: comportamento della richiesta di elevazione dei privilegi per gli amministratori in modalità Approvazione amministratore

Questa impostazione definisce in che modo il controllo dell'account utente invia la richiesta di elevazione dei privilegi agli amministratori.

Opzioni di configurazione:

  • Nessuna richiesta: l'elevazione dei privilegi avviene in modo automatico e invisibile. Questa opzione consente a un amministratore in modalità Approvazione amministratore di eseguire un'operazione che richiede l'elevazione dei privilegi senza la richiesta di consenso o di credenziali. Nota: questo scenario dovrebbe essere utilizzato solo negli ambienti più vincolati e NON è consigliato.

  • Richiedi consenso: per l'esecuzione di un'operazione che richiede un token di accesso amministrativo completo all'amministratore in modalità Approvazione amministratore verrà richiesto di selezionare Continua o Annulla. Se l'amministratore fa clic su Continua, l'operazione continuerà con il privilegio più alto possibile.

  • Richiedi credenziali: per l'esecuzione di un'operazione che richiede un token di accesso amministrativo completo a un amministratore in modalità Approvazione amministratore verrà richiesto di immettere un nome utente e una password amministratore. Se le credenziali immesse dall'utente sono valide, l'operazione continuerà con il privilegio applicabile.

Valore predefinito: Richiedi consenso

Raccomandazione: è consigliabile impostare questo valore su Richiedi consenso poiché l'autore di un attacco potrebbe imitare (eseguire lo spoofing) la richiesta di elevazione dei privilegi. Se viene eseguito lo spoofing della richiesta di elevazione dei privilegi e l'amministratore fornisce il consenso facendo clic su Continua, l'autore dell'attacco sarebbe solo in grado di elevare i privilegi del singolo processo. Se viene tuttavia eseguito lo spoofing della richiesta di elevazione dei privilegi quando l'impostazione è configurata su Richiedi credenziali, l'autore dell'attacco potrebbe ottenere l'accesso al nome utente e alla password dell'amministratore.

Controllo account utente: comportamento della richiesta di elevazione dei privilegi per gli utenti standard

Questa impostazione definisce in che modo il controllo dell'account utente invia la richiesta di elevazione dei privilegi agli utenti standard e se tale richiesta viene inviata o meno.

Opzioni di configurazione:

  • Nessuna richiesta: non viene inviata alcuna richiesta di elevazione dei privilegi e l'utente non può eseguire le attività amministrative senza utilizzare il comando Esegui come amministratore oppure eseguendo l'accesso con un account amministratore.

  • Richiedi credenziali: per l'esecuzione di un'operazione che richiede un token di accesso amministrativo completo all'utente verrà richiesto di immettere un nome utente e una password amministratore. Se le credenziali immesse dall'utente sono valide, l'operazione continuerà con il privilegio applicabile.

Valore predefinito: Richiedi credenziali

Raccomandazione: alle aziende che utilizzano attualmente i desktop utente standard, si consiglia di configurare questa impostazione su Nessuna richiesta. L'utilizzo di questa impostazione aiuta a ridurre le chiamate per assistenza al supporto tecnico.

Controllo account utente: rileva installazione applicazioni e richiedi elevazione

Questa impostazione consente di controllare se in Microsoft Windows Vista viene fatto uso dell'euristica per identificare le applicazioni di installazione. Quando un utente esegue un programma di installazione, in Windows il programma viene identificato come applicazione di installazione e all'utente viene inviata una richiesta di elevazione dei privilegi.

Opzioni di configurazione:

  • Attivato: se in Microsoft Windows Vista viene rilevato un programma di installazione, all'utente viene richiesto il consenso o le credenziali.

  • Disattivato: l'esecuzione delle installazioni delle applicazioni non riesce e all'utente non viene segnalato il problema oppure viene visualizzato un messaggio di errore poco chiaro o non utile all'utente per determinare la causa all'origine dell'installazione non riuscita.

Valore predefinito: Attivato

Raccomandazione: alle aziende che eseguono desktop utente standard e che hanno implementato tecnologie di installazione delegate, ad esempio GPSI o SMS, si consiglia di configurare questa impostazione su Disattivato. Se nell'organizzazione non è stata implementata una tecnologia di installazione delegata, si consiglia di configurare questa impostazione su Attivato in modo da ridurre le richieste di assistenza al supporto tecnico. In alternativa, è possibile configurare questa impostazione su Disattivato e ricordare agli utenti di fare clic con il pulsante destro del mouse sui file di installazione e di scegliere quindi Esegui come amministratore per elevare il processo.

Controllo account utente: eleva solo file eseguibili firmati e convalidati

Questa impostazione consente di determinare se in Microsoft Windows Vista è necessario verificare che un programma sia firmato prima di poterlo elevare. Questo controllo viene eseguito dopo che il processo viene avviato in modo interattivo, ad esempio quando un utente fa doppio clic su un file di installazione sul desktop. Se l'applicazione non è firmata, [MESSAGGIO DI ERRORE]. Se l'applicazione è firmata ma la firma non è valida, [MESSAGGIO DI ERRORE].

Opzioni di configurazione:

  • Attivato: verranno eseguiti solo i file eseguibili firmati. Questo criterio impone controlli di firma PKI su qualsiasi applicazione interattiva che richiede l'elevazione dei privilegi

    noteNota
    Gli amministratori dell'organizzazione possono controllare l'elenco delle applicazioni consentite mediante la compilazione di certificati nell'archivio autori attendibili dei computer locali.

  • Disattivato: verranno eseguite sia le applicazioni con firma sia le applicazioni senza firma.

Valore predefinito: Disattivato

Raccomandazione: [NECESSARIO]

Controllo account utente: solo applicazioni con accesso all'interfaccia utente e con privilegi elevati installate in percorsi protetti

Questa impostazione consente di controllare se un'applicazione con privilegi inferiori può comunicare con applicazioni eseguite con un livello di privilegi superiore. uiAccess è un attributo nel file manifesto di un'applicazione che lo sviluppatore inserisce nell'applicazione.

Opzioni di configurazione:

  • Attivato: in Windows le applicazioni che sono eseguite dalle directory Programmi o di Windows non possono accedere ai processi con privilegi elevati a meno che nei file manifesto dell'applicazione l'attributo uiAccess sia definito come True. Per impostazione predefinita, gli elenchi di controllo di accesso nelle directory Programmi e di Windows sono configurati per impedire agli utenti standard di modificare il contenuto delle directory. Se nel file manifesto viene definita la denominazione di applicazione uiAccess ma l'applicazione non è presente nelle directory Programmi o di Windows, in Windows l'applicazione non viene eseguita con il privilegio aggiuntivo per accedere al processo con privilegi superiori (anche se ad esempio l'applicazione è stata sviluppata in modo da richiedere uiAccess, è stata installata in una posizione non sicura che potrebbe essere modificata dagli utenti standard).

  • Disattivato: in Windows non viene verificato se il programma è installato nelle directory Programmi o di Windows e l'applicazione verrà avviata con il token di accesso utente completo a seguito della relativa approvazione.

Valore predefinito: Attivato

Raccomandazione: è consigliabile configurare questa impostazione su Attivato. Se l'impostazione è attivata, in Windows le applicazioni con privilegi inferiori installate in posizioni non sicure non possono accedere ad applicazioni con privilegi superiori.

Controllo account utente: esegui tutti gli amministratori in modalità Approvazione amministratore

Questa impostazione consente di definire se in Windows vengono creati due token di accesso per gli amministratori (utente standard e amministratore) e se gli utenti standard hanno la possibilità di elevare un'applicazione a livello di amministratore.

Nota   se si modifica il valore è necessario riavviare il computer.

Opzioni di configurazione:

  • Attivato: sia gli amministratori sia gli utenti standard verranno informati quando un'applicazione tenta l'esecuzione come amministratore. L'impostazione Controllo account utente: comportamento della richiesta di elevazione dei privilegi per gli amministratori in modalità Approvazione amministratore determina la modalità di visualizzazione della richiesta all'utente.

  • Disattivato: l'utente non viene informato quando un'applicazione tenta l'esecuzione come amministratore e l'applicazione viene eseguita automaticamente con il token di accesso amministratore completo dell'utente. Il controllo dell'account utente è pertanto disattivato e l'avvio automatico del Servizio Informazioni applicazioni è disabilitato. Il Centro sicurezza PC Windows informerà inoltre l'utente che ha eseguito l'accesso che la protezione generale del sistema operativo è stata ridotta e consentirà all'utente di attivare il controllo dell'account utente.

Valore predefinito: Attivato

Raccomandazione: è consigliabile configurare questa impostazione su Attivato. Se l'impostazione è disattivata, gli amministratori non vengono informati quando un'applicazione viene eseguita come amministratore (anche in caso di software dannoso) e gli utenti standard non potranno eseguire le applicazioni come amministratore.

Controllo account utente: alla richiesta di elevazione passa al desktop protetto

Questa impostazione consente di specificare se visualizzare la richiesta di elevazione dei privilegi sul desktop utente o sul desktop protetto.

Opzioni di configurazione:

  • Attivato: la richiesta di elevazione dei privilegi del controllo dell'account utente viene visualizzata sul desktop protetto, ovvero un'area in grado di ricevere i messaggi solo dai processi Windows. Se l'impostazione è attivata e un'applicazione invia una richiesta di elevazione dei diritti a livello di amministratore, lo sfondo del desktop viene ombreggiato e viene visualizzata la richiesta di elevazione. L'utente non può interagire con altri elementi del desktop fino a quando approva o nega l'elevazione dei privilegi facendo clic su Continua oppure su Annulla in caso di richiesta di consenso oppure fornendo credenziali amministratore valide o facendo clic su Annulla in caso di richiesta di credenziali.

  • Disattivato: la richiesta di elevazione del controllo dell'account utente viene visualizzata sul desktop (utente) interattivo.

Valore predefinito: Attivato

Raccomandazione: è consigliabile configurare questa impostazione su Attivato. Se la richiesta di elevazione dei privilegi non è visualizzata sul desktop protetto, l'autore di un attacco potrebbe eventualmente imitarla per elevare i privilegi del software dannoso. È inoltre consigliabile utilizzare questa impostazione insieme all'impostazione Controllo account utente: comportamento della richiesta di elevazione dei privilegi per gli amministratori in modalità Approvazione amministratore configurata su Richiedi consenso. Questa configurazione impedisce all'autore di un attacco di raccogliere le credenziali di un amministratore visualizzando una richiesta di credenziali imitata.

Controllo account utente: virtualizza errori di scrittura su file e nel Registro di sistema in percorsi distinti per ogni utente

Questa impostazione definisce le impostazioni di virtualizzazione delle applicazioni a 32 bit. La virtualizzazione non è applicabile alle applicazioni a 64 bit.

Opzioni di configurazione:

  • Attivato: se un'applicazione a 32 bit senza file manifesto tenta di eseguire la scrittura su una posizione protetta, ad esempio la directory Programmi, la virtualizzazione reindirizza tali operazioni a una posizione del file system e del Registro di sistema a cui hanno accesso tutti gli utenti. Questa impostazione consente agli utenti standard di eseguire le applicazioni precedenti a Microsoft Windows Vista per le quali è sempre stato necessario essere un amministratore per eseguire il programma.

  • Disattivato: se un'applicazione a 32 bit senza file manifesto tenta di eseguire la scrittura su una posizione protetta, ad esempio la directory Programmi, l'operazione e l'esecuzione in modalità invisibile dell'applicazione non riescono.

Valore predefinito: Attivato

Raccomandazione: mantenere attivata questa impostazione negli ambienti in cui è necessario eseguire software che non sia completamente compatibile con il controllo dell'account utente. Eventuali applicazioni non amministrative a 32 bit senza file manifesto o voce del database applicazione non sono conformi al controllo dell'account utente. Nella maggior parte delle aziende è necessario eseguire il software precedente a Microsoft Windows Vista e, pertanto, è necessario configurare questa impostazione su Attivato.

Configurazione delle impostazioni Criteri di gruppo del controllo dell'account utente

Per configurare le impostazioni di Criteri di gruppo del controllo dell'account utente, eseguire la procedura seguente. Per eseguire questa procedura, è necessario accedere come membro del gruppo di amministratori locali. È inoltre possibile eseguire la procedura come utente standard nel caso in cui sia possibile fornire credenziali valide di un account amministratore alla richiesta di credenziali del controllo dell'account utente.

Per configurare le impostazioni Criteri di gruppo del controllo dell'account utente:
  1. Fare clic sul pulsante Start, digitare secpol.msc nella casella Inizia ricerca e quindi premere INVIO.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata a scegliere Continua.

  3. In Impostazioni protezione, espandere Criteri locali e quindi selezionare Opzioni di protezione.

  4. Nel riquadro dei dettagli (riquadro di destra), fare clic con il pulsante destro del mouse sull'apposita impostazione del controllo dell'account utente e quindi scegliere Proprietà.

  5. Scegliere il valore appropriato per l'impostazione dall'elenco a discesa.

noteNota
Se si modifica l'impostazione Controllo account utente: esegui tutti gli amministratori in modalità Approvazione amministratore sarà necessario riavviare il computer prima di rendere effettiva l'impostazione. Tutte le altre impostazioni di Criteri di gruppo del controllo dell'account utente sono dinamiche e non è pertanto necessario riavviare il computer.

Controllo delle elevazioni dei privilegi delle applicazioni e creazione di processi

L'impostazione relativa al controllo del tracciato del processo consente di monitorare in tempo reale le elevazioni dei privilegi del processo. Il reparto IT può ad esempio abilitare il controllo del tracciato del processo con Criteri di gruppo e rilevare ogni operazione eseguita da un amministratore in modalità Approvazione amministratore o da un utente standard per elevare un processo a processo amministrativo completo.

Per eseguire il controllo del tracciato del processo
  1. Fare clic sul pulsante Start, digitare secpol.msc nella casella Inizia ricerca e quindi premere INVIO.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata a scegliere Continua.

  3. Nel riquadro della console espandere Criteri locali e quindi selezionare Criteri controllo.

  4. Nel riquadro Dettagli fare clic con il pulsante destro del mouse su Controlla tracciato processo e scegliere Proprietà.

  5. In Proprietà - Controlla tracciato processo, selezionare Operazioni riuscite.

L'impostazione Controlla uso dei privilegi consente di monitorare in tempo reale le creazioni del processo elevato.

Per eseguire il controllo dell'uso dei privilegi
  1. Fare clic sul pulsante Start, digitare secpol.msc nella casella Inizia ricerca e quindi premere INVIO.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata a scegliere Continua.

  3. Nel riquadro della console espandere Criteri locali e quindi selezionare Criteri controllo.

  4. Nel riquadro Dettagli fare clic con il pulsante destro del mouse su Controlla uso dei privilegi e scegliere Proprietà.

  5. In Proprietà - Controllo uso privilegi selezionare Operazioni riuscite e quindi fare clic su OK.

Servizi del controllo dell'account utente

Il seguente servizio è associato al controllo dell'account utente.

 

Servizio Descrizione

Servizio Informazioni applicazioni

Facilita l'esecuzione delle applicazioni interattive con un token di accesso amministratore completo in Windows Vista.

Se il servizio viene arrestato, gli utenti non potranno avviare applicazioni con i privilegi amministrativi aggiuntivi necessari per l'esecuzione delle attività utente desiderate. Le applicazioni che richiedono un token di accesso amministrativo completo potrebbero pertanto non funzionare correttamente se il Servizio Informazioni applicazioni non è in esecuzione.

Considerazioni sulla protezione del controllo dell'account utente

Ogni reparto IT dovrebbe valutare con cura le considerazioni sulla protezione del controllo dell'account utente. Quando le impostazioni Criteri di gruppo del controllo dell'account utente consentono ai reparti IT di scegliere le modalità di configurazione del controllo dell'account utente, prima di creare i nuovi criteri di protezione è importante tenere presenti alcune considerazioni.

Imitazione della richiesta di elevazione dei privilegi

In Windows Vista è inclusa una nuova impostazione di protezione per impedire l'imitazione della richiesta di elevazione dei privilegi. Questa nuova impostazione, ovvero Controllo account utente: alla richiesta di elevazione passa al desktop protetto, consente di passare dal desktop utente attivo al desktop protetto quando un processo richiede l'elevazione dei privilegi. Solo i processi Windows principali hanno accesso al desktop protetto e il malware non può comunicare con esso. Tutte le richieste di elevazione dei privilegi sul desktop protetto non possono pertanto essere controllate dalle applicazioni sul desktop utente. Per impostazione predefinita, in Windows Vista tutte le elevazioni dei privilegi vengono eseguite sul desktop protetto.

Impostazione di una password per l'account predefinito Administrator

Di seguito viene descritto in dettaglio lo stato dell'account predefinito Administrator in Windows Vista:

  • Disattivato per le nuove installazioni e per gli aggiornamenti dove l'amministratore predefinito NON è l'amministratore attivo locale sul computer. Per impostazione predefinita, l'account predefinito Administrator è disattivato per le installazioni e gli aggiornamenti sui computer appartenenti a un dominio.

  • Attivato per gli aggiornamenti quando in Windows Vista viene rilevato che l'account predefinito Administrator è l'unico amministratore attivo locale sul computer. In questo caso, l'account predefinito Administrator viene inoltre mantenuto attivato dopo l'aggiornamento. Per impostazione predefinita, l'account predefinito Administrator è disattivato per le installazioni e gli aggiornamenti sui computer appartenenti a un dominio.

Se l'account predefinito Administrator è disattivato, è consigliabile impostare una password per l'account in modo da disattivare gli attacchi non in linea.

Disattivazione del controllo dell'account utente

Se si disattiva l'impostazione Controllo account utente: esegui tutti gli amministratori in modalità Approvazione amministratore si disattiva anche il controllo dell'account utente. I file e le cartelle non vengono più virtualizzati sui percorsi distinti per ogni utente per le applicazioni non conformi al controllo dell'account utente e tutti gli amministratori locali eseguono automaticamente l'accesso con un token di accesso amministrativo completo. Quando si disattiva questa impostazione, fondamentalmente si ripristina Windows Vista sul modello utente di Windows XP. Anche se per alcune applicazioni non conformi al controllo dell'account utente è consigliabile disattivare il controllo dell'account utente, tale operazione non è necessaria poiché per impostazione predefinita in Windows Vista è inclusa la virtualizzazione delle cartelle e del Registro di sistema per le applicazioni precedenti a Windows Vista o non conformi al controllo dell'account utente. La disattivazione del controllo dell'account utente espone il computer all'installazione di malware a livello di sistema. Se si modifica tale impostazione sarà necessario riavviare il computer per rendere effettiva la modifica.

Disattivazione delle impostazioni Criteri di gruppo del controllo dell'account utente non utilizzate

Quando disabilitare la virtualizzazione:

La virtualizzazione è intesa come tecnologia ponte per consentire il corretto funzionamento delle applicazioni non compatibili con il controllo dell'account utente in Windows Vista. Se il reparto IT sa che nell'azienda verranno eseguite solo le applicazioni compatibili con il controllo dell'account utente, l'impostazione Controllo account utente: virtualizza errori di scrittura su file e nel Registro di sistema in percorsi distinti per ogni utente diventa estranea.

Quando disabilitare il rilevamento dei programmi di installazione:

Poiché i programmi di installazione eseguono la scrittura su aree protette, ad esempio la directory Programmi, il modello Win32 prevede che i programmi di installazione siano eseguiti in un contesto amministrativo. L'impostazione Controllo account utente: rileva installazione applicazioni e richiedi elevazione invoca una richiesta di elevazione dei privilegi quando viene rilevato un programma di installazione. Nelle aziende con desktop bloccati, dove tutte le applicazioni disponibili sono distribuite con la tecnologia SMS o altra tecnologia simile, l'elevazione dei privilegi sulle installazioni non è necessaria poiché verrà effettuata automaticamente dal servizio del programma di installazione, eseguito come servizio di sistema.

Attività amministrative sui computer remoti

Un utente membro del gruppo Domain Admins, o altro gruppo di rete privilegiata analogo, dovrebbe utilizzare l'account amministratore abilitato quando esegue attività amministrative. Questo aspetto viene approfondito nello scenario seguente:

Carol Philips, operatrice del supporto tecnico per Litware, Inc. ha due account utente di dominio: un account amministratore di dominio e un account utente di dominio standard. L'account amministratore di dominio è un membro del gruppo amministratori locale della sua workstation. I supervisori hanno informato Carol di utilizzare il proprio account amministratore di dominio solo per eseguire attività che richiedono un token di accesso amministrativo completo. Carol accede pertanto alla workstation con il proprio account utente standard e utilizza il comando Esegui come oppure i Servizi terminal per eseguire attività amministrative. Un giorno si accorge che da diverso tempo non viene eseguito il backup del disco rigido del suo computer. Utilizza Esegui come per aprire un prompt dei comandi, immette le credenziali del proprio account amministratore, digita secedit al prompt dei comandi e preme INVIO. Contemporaneamente naviga in Internet come utente standard e scarica involontariamente malware dal Web. Il malware non riesce tuttavia a infettare altri computer sulla rete poiché Carol navigava in Internet con un account utente standard.

Configurazione delle applicazioni precedenti a Windows Vista per la compatibilità con il controllo dell'account utente

Il passaggio finale, ma più importante, nella configurazione del controllo dell'account utente è assicurare che il software sia stato progettato per essere conforme al controllo dell'account utente oppure sia stato configurato dal reparto IT per il corretto funzionamento in Windows Vista.

Per le nuove applicazioni che sono conformi a Windows Vista Logo, è necessario che l'applicazione sia eseguita con un account utente standard oppure, se si tratta di un'applicazione amministrativa, che sia contrassegnata con una voce del file manifesto dell'applicazione. Quando un utente tenta di avviare un'applicazione con una voce del file manifesto dell'applicazione, in Windows Vista viene visualizzato un messaggio per indicare che sta tentando di avviare un'applicazione amministrativa e che è necessaria l'approvazione. Per ulteriori informazioni sul programma Logo di Microsoft, visitare la home page di Microsoft Windows Logo all'indirizzo http://go.microsoft.com/fwlink/?LinkId=71358 (informazioni in lingua inglese).

È probabile che durante la distribuzione di Windows Vista i reparti IT rilevino che le attuali applicazioni line-of-business non funzionino più correttamente. Il problema potrebbe dipendere dall'incompatibilità delle applicazioni con i miglioramenti incorporati in Windows Vista. I reparti IT possono utilizzare l'Application Compatibility Toolkit per identificare i problemi di compatibilità e creare le relative correzioni, ovvero piccole quantità di codice utilizzate per correggere i problemi di compatibilità tra applicazioni.

È probabile che venga determinato che alcuni programmi devono essere in grado di eseguire operazioni amministrative per funzionare correttamente in Windows Vista. A tale scopo, il programma deve essere contrassegnato in modo che agli utenti venga richiesta l'approvazione prima che l'applicazione possa essere eseguita con un token di accesso amministratore completo. La procedura per contrassegnare le applicazioni in questo modo viene indicata come meccanismo per contrassegnare un'applicazione con un livello di esecuzione richiesto. Nell'Application Compatibility Toolkit 5.0 sono inclusi gli strumenti per creare e installare le voci del database compatibilità applicazioni che facilitano il meccanismo per contrassegnare il livello di esecuzione richiesto.

Per ulteriori informazioni sulla compatibilità e sull'Application Compatibility Toolkit 5.0, visitare la pagina TechNet all'indirizzo http://go.microsoft.com/fwlink/?LinkId=23302 (informazioni in lingua inglese).

Contrassegno delle applicazioni con i livelli di esecuzione richiesti per la compatibilità tra applicazioni

Il livello di esecuzione richiesto selezionato per un'applicazione dipende dalle operazioni a livello di sistema eseguite dall'applicazione. Di seguito sono indicati i tre differenti livelli di esecuzione richiesti a disposizione.

RunAsInvoker: l'applicazione viene eseguita con gli stessi privilegi e diritti utente di Windows del processo principale. Questa impostazione equivale a non disporre di un database compatibilità applicazioni per l'applicazione. L'applicazione viene avviata con gli stessi privilegi del processo principale che ne esegue l'avvio, riducendo in tal modo l'esposizione di protezione dell'applicazione, poiché per la maggior parte delle applicazioni, il processo principale è Explorer.exe, eseguito come applicazione utente standard. Le applicazioni RunAsInvoker avviate da una shell cmd.exe in esecuzione come amministratore completo sarebbero "eseguite come invoker" con un token di accesso amministratore completo.

RunAsHighest:

  • L'applicazione viene eseguita con i privilegi e diritti utente di Windows più elevati che l'utente corrente è in grado di ottenere, ma l'applicazione non richiede necessariamente che l'utente sia un amministratore. Questo contrassegno viene utilizzato per due classi di applicazioni.

  • L'applicazione può essere eseguita sia dagli amministratori sia dagli utenti standard e adatta il proprio comportamento in base ai privilegi e diritti utente dell'utente.

  • L'applicazione richiede privilegi e diritti utente superiori rispetto a quelli richiesti per un utente standard ma l'utente non deve necessariamente essere un membro del gruppo Administrators locale. Un esempio è un utente membro del gruppo Backup Operators. Questa classe di utenti non può eseguire applicazioni che richiedono un token di accesso amministrativo completo ma può eseguire le applicazioni di backup. In questo caso, l'applicazione di backup precedente a Windows Vista dovrebbe essere contrassegnata come RunAsHighest.

RunAsAdmin: L'applicazione dovrebbe essere eseguita solo per gli amministratori, essere avviata con un token di accesso amministratore completo e non funzionerà correttamente in un contesto con utente standard. Questo contrassegno del livello di esecuzione richiesto è riservato alle applicazioni precedenti a Windows Vista che prevedono che l'utente sia un membro del gruppo Administrators locale. Una differenza tra Windows Vista e le versioni precedenti di Windows, ad esempio Windows XP, consiste nel fatto che il sistema operativo verifica che l'applicazione venga eseguita con un token di accesso amministratore completo se contrassegnata come RunAsAdmin nel database compatibilità applicazioni. Nel caso in cui Windows Vista non ottenga un token di accesso amministratore, l'applicazione non viene mai avviata.

Contrassegno di virtualizzazione

I reparti IT possono utilizzare la seguente impostazione per controllare la virtualizzazione dei file e delle cartelle.

NoVirtualization: l'applicazione viene eseguita senza virtualizzazione dei file e delle applicazioni. L'impostazione NoVirtualization dovrebbe essere eseguita per le seguenti motivazioni:

  1. Riduce la superficie di attacco: le applicazioni che consentono la virtualizzazione possono essere attaccate da altre applicazioni eseguite come utente standard. In Windows Vista non è disponibile alcun meccanismo per differenziare le applicazioni in grado di eseguire la scrittura su specifiche posizioni virtuali. Se si disattiva la virtualizzazione per le applicazioni eseguite correttamente come utente standard, si riduce sensibilmente il rischio di attacco all'applicazione da parte di malware (eseguito come utente standard).

  2. Riduce i tempi e i costi di debug dei dati virtualizzati per il supporto tecnico. Se è noto che l'applicazione funziona correttamente come applicazione utente standard, la disattivazione della virtualizzazione aiuta il personale del supporto tecnico a eseguire il debug dell'applicazione poiché non sarà necessario eseguire una ricerca nei percorsi reali e virtualizzati per esaminare i dati di configurazione dell'applicazione.

Contrassegno del database compatibilità applicazioni e comportamento di avvio delle applicazioni

Il fatto che un'applicazione possa essere eseguita e ottenere un token di accesso amministratore completo in fase di esecuzione dipende sia da livello di esecuzione richiesto dell'applicazione nel database compatibilità applicazioni, sia dai privilegi e dai diritti utente a disposizione dell'account utente che ha avviato l'applicazione. Nelle tabelle seguenti viene illustrato l'eventuale comportamento in fase di esecuzione sulla base delle combinazioni possibili.

Un amministratore in modalità Approvazione amministratore

 

Token di accesso processo principale Criterio del consenso Nessuno o RunAsInvoker RunAsHighest RunAsAdmin

Utente standard

Nessuna richiesta

Avvio dell'applicazione come utente standard

Avvio dell'applicazione con un token di accesso amministratore completo; nessuna richiesta

Avvio dell'applicazione con un token di accesso amministratore completo; nessuna richiesta

Utente standard

Richiesta consenso

Avvio dell'applicazione come utente standard

Avvio dell'applicazione con un token di accesso amministratore completo; richiesta di consenso

Avvio dell'applicazione con un token di accesso amministratore completo; richiesta di consenso

Utente standard

Richiesta credenziali

Avvio dell'applicazione come utente standard

Avvio dell'applicazione con un token di accesso amministratore completo; richiesta di credenziali

Avvio dell'applicazione con un token di accesso amministratore completo; richiesta di credenziali

Amministratore (controllo dell'account utente disattivato)

ND

Avvio dell'applicazione con un token di accesso amministratore completo; nessuna richiesta

Avvio dell'applicazione con un token di accesso amministratore completo; nessuna richiesta

Avvio dell'applicazione con un token di accesso amministratore completo; nessuna richiesta

Un account utente standard

 

Token di accesso processo principale Criterio del consenso RunAsInvoker RunAsHighest RunAsAdmin

Utente standard

Nessuna richiesta

Avvio dell'applicazione come utente standard

Avvio dell'applicazione come utente standard

Avvio dell'applicazione non riuscito

Utente standard

Richiesta credenziali

Avvio dell'applicazione come utente standard

Avvio dell'applicazione come utente standard

Richiesta credenziali amministratore prima dell'esecuzione dell'applicazione

Utente standard (controllo dell'account utente disattivato)

ND

Avvio dell'applicazione come utente standard

Avvio dell'applicazione come utente standard

Avvio dell'applicazione non riuscito

Un utente standard con privilegi aggiuntivi (ad esempio Backup Operator)

 

Token di accesso processo principale Criterio del consenso RunAsInvoker RunAsHighest RunAsAdmin

Utente standard

Nessuna richiesta

Avvio dell'applicazione come utente standard

Avvio dell'applicazione come utente standard

Avvio dell'applicazione non riuscito

Utente standard

Richiesta credenziali

Avvio dell'applicazione come utente standard

Avvio dell'applicazione come utente standard

Richiesta credenziali amministratore prima dell'esecuzione dell'applicazione

Utente standard (controllo dell'account utente disattivato)

ND

Avvio dell'applicazione come utente standard

Avvio dell'applicazione come utente standard

Avvio dell'applicazione non riuscito

Utilizzo di Application Compatibility Toolkit 5.0 per la creazione di correzioni dell'applicazione

L'Application Compatibility Toolkit 5.0 è una suite di applicazioni gratuite Microsoft che i reparti IT possono utilizzare per creare correzioni per la compatibilità tra applicazioni. L'Application Compatibility Toolkit è stato migliorato in Microsoft Windows Vista con la possibilità di creare voci del database correzioni compatibilità tra applicazioni utilizzate per contrassegnare le applicazioni con un livello di esecuzione richiesto.

Le procedure descritte in questa sezione utilizzano i seguenti due strumenti, inclusi nel download dell'Application Compatibility Toolkit 5.0:

  • Compatibility Administrator: un'interfaccia grafica utente che aiuta gli amministratori delle aziende a creare correzioni per la compatibilità tra programmi per le applicazioni precedenti a Microsoft Windows Vista.

  • Sdbinst.exe: uno strumento della riga di comando che aiuta gli amministratori a installare le correzioni per la compatibilità tra programmi per le applicazioni precedenti a Microsoft Windows Vista.

  • Standard User Analyzer: un'interfaccia grafica utente che aiuta gli amministratori delle aziende a identificare le applicazioni con problemi di compatibilità.

Utilizzare il seguente flusso di lavoro per identificare le dipendenze amministrative nelle applicazioni e contrassegnare le applicazioni con i livelli di esecuzione richiesti:

noteNota
Per ulteriori informazioni sul corretto contrassegno da applicare alle applicazioni, vedere la sezione "Contrassegno delle applicazioni con i livelli di esecuzione richiesti per la compatibilità tra applicazioni" in questo documento.

Passaggio 1: installare Application Verifier.

Application Verifier può essere scaricato gratuitamente dal sito Web Microsoft all'indirizzo http://go.microsoft.com/fwlink/?LinkId=41326 (informazioni in lingua inglese). Application Verifier è un prerequisito per l'installazione di Microsoft Standard User Analyzer, ovvero uno dei componenti dell'Application Compatibility Toolkit.

Passaggio 2: installare l'Application Compatibility Toolkit 5.0.

Application Compatibility Toolkit 5.0 può essere scaricato gratuitamente dal sito Web Microsoft all'indirizzo http://go.microsoft.com/fwlink/?LinkId=23302 (informazioni in lingua inglese).

Passaggio 3: utilizzare lo Standard User Analyzer per identificare le applicazioni amministrative precedenti a Windows Vista che non funzionano correttamente in Windows Vista.

Nella procedura seguente è descritto come identificare le applicazioni amministrative che non funzionano correttamente in Windows Vista utilizzando Standard User Analyzer.

Per identificare i problemi di compatibilità tra le applicazioni precedenti a Windows Vista
  1. Accedere a un computer che esegue Microsoft Windows Vista come un utente standard.

  2. Fare clic sul pulsante Start, scegliere Tutti i programmi, Microsoft Application Compatibility Toolkit 5.0, Developer and Tester Tools, quindi fare clic su Standard User Analyzer.

  3. In Standard User Analyzer, alla voce Target Application, specificare il percorso completo della directory di un'applicazione da verificare oppure fare clic sul pulsante Sfoglia per individuare il file eseguibile del programma con Esplora risorse.

  4. Fare clic su Avvio e immettere le credenziali amministratore alla richiesta di credenziali Controllo account utente.

  5. Dopo aver verificato gli avvii dell'applicazione, eseguire le attività amministrative standard nell'applicazione e al termine chiudere l'applicazione.

  6. In Standard User Analyzer, esaminare l'output in ogni scheda. Utilizzare questi dati per identificare gli eventuali problemi di compatibilità del programma.

I test di Application Verifier posso anche essere eseguiti come amministratore nel caso di grave errore dei privilegi. Se, ad esempio, nell'applicazione eseguita come non amministratore viene rilevata una violazione di accesso che causa l'arresto dell'applicazione, i percorsi dei codici verranno verificati solo fino alla violazione dell'accesso. Se si esegue la stessa applicazione come amministratore, in alcuni casi è possibile superare la violazione di accesso e verificare i rimanenti percorsi del codice. Nei registri verranno comunque indicate le operazioni che non sarebbero normalmente riuscite come utente standard.

Passaggio 4: determinare il livello di esecuzione richiesto per ogni applicazione amministrativa.

Utilizzare i dati raccolti nel passaggio 3 per determinare il livello corretto di esecuzione richiesta per l'applicazione.

noteNota
Per determinare il livello di esecuzione richiesto appropriato per l'applicazione, vedere la sezione relativa al contrassegno di un'applicazione con un livello di esecuzione richiesto.

ImportantImportante
Specificare solo un livello di esecuzione richiesto che consenta la corretta esecuzione dell'applicazione in Windows Vista ed evitare di richiedere accesso amministratore superfluo con un livello di esecuzione richiesto superiore.

Dopo aver identificato i problemi di compatibilità di un'applicazione con Application Verifier, utilizzare la procedura seguente per contrassegnare l'applicazione con un livello di esecuzione richiesto.

Passaggio 5: eseguire il programma Compatibility Administrator per creare un database di correzioni per la compatibilità tra applicazioni.

Questa procedura è eseguita con l'impostazione Controllo account utente: comportamento della richiesta di elevazione dei privilegi per gli amministratori in modalità Approvazione amministratore configurata su Richiedi consenso.

Per contrassegnare un'applicazione amministrativa con Compatibility Administrator
  1. Accedere a un computer che esegue Windows Vista come amministratore nella modalità Approvazione amministratore.

  2. Fare clic sul pulsante Start, scegliere Tutti i programmi e Accessori, fare clic con il pulsante destro del mouse su Prompt dei comandi e scegliere Esegui come amministratore, quindi fare clic su Continua alla richiesta di elevazione dei privilegi del controllo dell'account utente.

  3. Al Prompt dei comandi, digitare "C:\Programmi\Microsoft Application Compatibility Toolkit\Compatibility Administrator\Compatadmin.exe" e premere INVIO.

  4. In Compatibility Administrator, fare clic sull'icona Fix.

  5. Nella pagina Create new Application Fix, in Program information, immettere il nome del programma nel campo Name of the program to be fixed, immettere il nome del fornitore nel campo Name of the vendor for this program, immettere il percorso del file del programma nel campo Program file location, quindi fare clic su Next.

  6. In Compatibility Modes, selezionare None, quindi fare clic su Next.

  7. Nel campo Compatibility Fixes selezionare il livello di esecuzione richiesto desiderato e fare clic su Next.

  8. In Matching Information, selezionare le informazioni corrispondenti per l'applicazione e fare clic su Finish.

  9. Scegliere Save dal menu File.

  10. Immettere un nome per il database compatibilità applicazioni e fare clic su OK.

  11. In Save databaseName, selezionare un nome per il file del database e fare clic su Save.

noteNota
Se si seleziona SIZE e PE_CHECKSUM nella pagina Matching Information della creazione guidata Create New Application Fix si assicura che la correzione dell'applicazione non sia involontariamente applicata ad altre applicazioni con lo stesso nome dell'applicazione di destinazione.

noteNota
Scegliere un nome descrittivo per aiutare a identificare la correzione per la compatibilità tra applicazioni. Il nome immesso verrà visualizzato in Programmi e funzionalità del Panello di controllo dopo aver installato la correzione per la compatibilità tra applicazioni con lo strumento della riga di comando sdbinst.exe.

noteNota
Ogni database compatibilità applicazioni creato può contenere una o più correzioni per la compatibilità tra applicazioni per le applicazioni di destinazione.

Passaggio 6: installare la correzione per la compatibilità tra applicazioni in un computer di prova con il comando sdbinst.exe.

Per installare la correzione per la compatibilità tra applicazioni
  1. Fare clic sul pulsante Start, scegliere Tutti i programmi e Accessori, fare clic con il pulsante destro del mouse su Prompt dei comandi e scegliere Esegui come amministratore, quindi fare clic su Continua alla richiesta di consenso del Controllo account utente.

  2. Nel Prompt dei comandi, digitare "cd %windir%" e fare clic su INVIO.

  3. Nel Prompt dei comandi, digitare "sdbinst.exe databaseName.sdb" e fare clic su INVIO.

Rimozione di una correzione del database compatibilità applicazioni

Un amministratore può rimuovere le voci del database compatibilità applicazioni precedentemente installate tramite l'opzione Programmi e funzionalità del Pannello di controllo. La disinstallazione delle voci del database compatibilità applicazioni risulta utile quando un'applicazione non viene più utilizzata nell'ambiente ma la correzione è ancora presente o nel caso in cui la correzione stessa debba essere modificata.

Per rimuovere una correzione per la compatibilità tra applicazioni
  1. Accedere a un computer che esegue Windows Vista come amministratore in modalità Approvazione amministratore.

  2. In Pagina iniziale Pannello di controllo, Programmi, selezionare Disinstalla un programma, quindi fare clic su Continua alla richiesta di consenso del Controllo account utente.

  3. Fare clic con il pulsante destro del mouse sulla correzione per la compatibilità tra applicazioni e selezionare Rimuovi.

Distribuzione di correzioni per la compatibilità tra applicazioni con Criteri di gruppo

In questa sezione viene descritto come distribuire le correzioni per il database compatibilità applicazioni create nella sezione Esecuzione di compatAdmin.exe utilizzando Criteri di gruppo. Il reparto IT può eseguire i seguenti passaggi:

  1. Creare uno script Microsoft Visual Basic (VBScript) per il programma di installazione personalizzato.

  2. Creare un pacchetto di Windows Installer per ogni database SDB.

  3. Apporre la firma Authenticode al pacchetto di Windows Installer.

  4. Verificare il pacchetto di Windows Installer.

  5. Distribuire il pacchetto di Windows Installer con Criteri di gruppo.

Creare uno script Microsoft Visual Basic (VBScript) per il programma di installazione personalizzato

Prima di creare il pacchetto di Windows Installer è necessario creare uno VBScript che eseguirà l'installazione personalizzata. Questo processo deve essere eseguito solo una volta e lo stesso file di script può essere utilizzato per tutti gli altri pacchetti di Windows Installer.

Di seguito viene riportato uno script di esempio:

'-------------------------------------------------------------------------------------- '  Nomefile         : setsdb.vbs '  Descrizione      : Installa voce SDB in un database appcompat '  Versione          : 1.0 '-------------------------------------------------------------------------------------- ' Cronologia: '   07-19-2005:  Versione creata 1.0

dim Ws myCmdArgs = Session.Property("CustomActionData") setDir = "%ComSpec% /C sdbinst.exe -q " & chr(34) & myCmdArgs & chr(34) set Ws = CreateObject("WScript.Shell") retval = Ws.Run( setDir, 2, true )

Creare un pacchetto di Windows Installer per ogni database SDB con Visual Studio 2005

Nell'esempio seguente viene illustrato come creare un pacchetto di Windows Installer per la distribuzione delle correzioni per la compatibilità tra applicazioni utilizzando Microsoft Visual Studio 2005.

Per creare il pacchetto di Windows Installer
  1. Fare clic sul pulsante Start, scegliere Tutti i programmi e fare doppio clic su Visual Studio 2005.

  2. In Visual Studio, fare clic su File, quindi scegliere Nuovo progetto.

  3. Nella pagina Nuovo progetto, espandere Altri progetti, quindi selezionare Progetto di installazione e distribuzione nel riquadro a sinistra. Selezionare Progetto di installazione nel riquadro a destra, immettere un nome per la distribuzione della correzione per la compatibilità tra applicazioni e fare clic su OK.

  4. In Esplora soluzioni, nel riquadro di destra, fare clic con il pulsante destro del mouse sul nome del progetto di distribuzione, scegliere Aggiungi quindi fare clic su File….

  5. In Aggiungi file, individuare il percorso del file del database SDB e fare clic su Apri.

  6. Ripetere i passaggi 4 e 5 e aggiungere il nome dello VBScript con le azioni personalizzate creato precedentemente.

  7. In Esplora soluzioni, nel riquadro di destra, fare clic con il pulsante destro del mouse sul nome del progetto di distribuzione, scegliere Visualizza e fare clic su Azioni personalizzate.

  8. Nella scheda Azioni personalizzate fare clic con il pulsante destro del mouse sulla cartella Esegui commit, quindi fare clic su Aggiungi azione personalizzata.

  9. In Seleziona elemento nel progetto, fare doppio clic sulla cartella Applicazione, selezionare il file VBScript e fare clic su OK.

  10. Fare clic con il pulsante destro del mouse sull'azione Esegui commit denominata setsdb.vbs nel riquadro a sinistra, quindi fare clic sulla finestra Proprietà.

  11. Aggiungere la seguente riga alla proprietà CustomActionData: [CartellaProgrammi][Produttore]\[NomeProdotto]\[NOMEFILE].sdb.

    noteNota
    Tra [CartellaProgrammi] e [Produttore] non è inserita la barra rovesciata (\).

  12. Nel menu File fare clic su Genera, quindi scegliere BuildSolution. Al termine della generazione, il pacchetto di Windows Installer verrà aggiunto alla cartella di debug.

Apporre la firma Authenticode al pacchetto di Windows Installer

Dopo che il reparto IT ha creato il pacchetto di Windows Installer, è consigliabile che sia firmato per Authenticode prima di essere distribuito tramite Criteri di gruppo. Questo documento è scritto presupponendo che il reparto IT abbia già creato per l'azienda una chiave di firma con cui firmare i pacchetti di Windows Installer di distribuzione. Gli strumenti per la firma e la verifica utilizzati nei seguenti esempi sono inclusi in SDK Microsoft .NET Framework SDK, disponibile all'indirizzo http://go.microsoft.com/fwlink/?LinkId=32131 (informazioni in lingua inglese).

Di seguito viene illustrato un esempio di come firmare il pacchetto di Windows Installer con la chiave di firma delle aziende:

signcode –v <percorso>yourkey.pvk –spc <percorso>yourkey.spc (pacchetto di distribuzione).msi

Per includere un timestamp nella firma, includere il parametro seguente nella riga di comando:

–t http://timestamp.verisign.com/scripts/timstamp.dll 

Il reparto IT può verificare la firma con il seguente comando:

ckhtrust (pacchetto di distribuzione).msi

Se il file esegue la convalida e il certificato della firma è concatenato a un certificato di un autore attendibile nell'ambiente, chktrust.exe verrà restituito semplicemente con un codice restituito valido.

Per ulteriori informazioni sulla tecnologia Microsoft Authenticode visitare il sito MSDN all'indirizzo http://go.microsoft.com/fwlink/?LinkId=71361 (informazioni in lingua inglese).

Testare il pacchetto di Windows Installer

Dopo che il reparto IT ha creato il pacchetto di Windows Installer, può testarlo copiando il file di Windows Installer in un computer di destinazione e facendo doppio clic su di esso per aprire l'installazione guidata di Microsoft Windows. Nella procedura seguente viene illustrato un esempio di come testare un pacchetto di Windows Installer.

Per testare il pacchetto di Windows Installer
  1. Individuare il file di Windows Installer (MSI) e fare doppio clic su di esso per avviare l'installazione.

  2. Nella pagina Selezione cartella di installazione [NomeDelPacchettoDiWindowsInstaller], selezionare la cartella di installazione e fare clic su Avanti.

  3. Nella pagina Conferma installazione fare clic su Avanti.

  4. Nella pagina Installazione completata, fare clic su Chiudi.

  5. Fare clic sul pulsante Start, su Pannello di controllo e quindi fare doppio clic su Programmi e funzionalità.

  6. Nel pannello di controllo Programmi e funzionalità, verificare che siano presenti il programma di installazione delle correzioni per la compatibilità tra applicazioni e le voci delle correzioni per la compatibilità tra applicazioni.

Distribuire il pacchetto di Windows Installer con Criteri di gruppo

Utilizzando Criteri di gruppo, il reparto IT è in grado di assicurare che le correzioni per la compatibilità tra applicazioni create possano essere distribuite automaticamente a tutti i computer client. In questa sezione sono descritti i passaggi di base che il reparto IT può eseguire per impostare tale distribuzione. Per ulteriori informazioni sulla suddivisione delle fasi relative alle distribuzioni con Criteri di gruppo, visitare il sito Web TechNet all'indirizzo http://go.microsoft.com/fwlink/?LinkId=71349 (informazioni in lingua inglese).

È innanzitutto necessario posizionare il pacchetto di distribuzione di Windows Installer in una condivisione di file che sia disponibile a tutti i computer nei quali verrà applicata la correzione. Può essere l'intero dominio oppure solo alcune unità organizzative. È consigliabile che il reparto IT garantisca che nel pacchetto di Windows Installer sia inclusa la corretta voce dell'elenco di controllo accesso sulla condivisione dei file per consentire l'accesso solo ai computer appropriati.

Eseguire la procedura seguente solo dopo aver posizionato il file di Windows Installer. Per eseguire la procedura è necessario accedere come amministratore di dominio.

Aggiungere Criteri di gruppo ad Active Directory
  1. Fare clic sul pulsante Start, scegliere Tutti i programmi, Strumenti di amministrazione e quindi Utenti e computer di Active Directory.

  2. Fare clic con il pulsante destro del mouse sul nome di dominio nel riquadro della console (a sinistra) e quindi scegliere Proprietà.

  3. Nella pagina Proprietà, fare clic sulla scheda Criteri di gruppo.

  4. Nella scheda Criteri di gruppo, fare clic su Nuovo, quindi immettere un nome per il nuovo oggetto Criteri di gruppo.

  5. Evidenziare l'oggetto Criteri di gruppo appena creato e fare clic su Proprietà.

  6. Poiché le correzioni per la compatibilità tra applicazioni vengono applicate ai computer nel dominio e non agli utenti, selezionare la casella di controllo Disattiva impostazioni configurazione utente. Se viene visualizzata una finestra di dialogo di conferma, fare clic su .

  7. Fare clic sulla scheda Protezione e aggiungere i necessari elenchi di controllo accesso per consentire l'accesso ai computer di dominio. Accertarsi che siano selezionate le opzioni Lettura e Applica Criteri di gruppo e quindi fare clic su OK.

  8. Fare clic su Modifica nella pagina Proprietà.

  9. Nell'Editor oggetti Criteri di gruppo, nel riquadro Console, espandere Configurazione computer quindi Impostazioni del software.

  10. Nel riquadro Dettagli fare clic con il pulsante destro del mouse su Installazione software, fare clic su Nuovo e quindi su Pacchetto.

  11. Selezionare il pacchetto da distribuire nella finestra di dialogo Apri e fare clic su Apri.

  12. In Distribuisci applicazione selezionare Assegnata e quindi fare clic su OK.

  13. Chiudere l'Editor oggetti Criteri di gruppo.

  14. Chiudere la pagina Proprietà.

  15. Uscire da Utenti e computer di Active Directory.

noteNota
Il passaggio 12 della precedente procedura consente l'installazione del pacchetto nei computer di destinazione senza che sia necessario alcun intervento da parte dell'utente. Il pacchetto di Windows Installer selezionato verrà quindi visualizzato nell'Editor oggetti Criteri di gruppo.

Test e verifica della distribuzione di Windows Installer

Per testare la distribuzione di Windows Installer, eseguire la procedura seguente.

Per testare la distribuzione di Windows Installer
  1. Riavviare un computer appartenente a un dominio.

  2. Prima che venga visualizzata la schermata di accesso utente, Criteri di gruppo installa automaticamente il pacchetto di Windows Installer nel computer.

Per verificare la distribuzione di Windows Installer, eseguire la procedura seguente.

Per verificare la distribuzione di Windows Installer
  1. Accedere allo stesso computer della procedura precedente come amministratore in modalità Approvazione amministratore.

  2. Fare clic sul pulsante Start e scegliere Pannello di controllo.

  3. In Pagina iniziale Pannello di controllo, fare clic su Programmi, quindi su Programmi installati.

  4. In Cambia o rimuovi programma, verificare che il pacchetto di Windows Installer e la voce del database compatibilità applicazioni siano installati.

Riepilogo

Il controllo dell'account utente rappresenta un nuovo approccio per migliorare la protezione del computer modificando fondamentalmente il modo in cui le applicazioni interagiscono con un sistema operativo e i rispettivi file. Microsoft sta collaborando con gli sviluppatori per continuare a fornire innovazioni e creare tecnologie in grado di ridurre al minimo l'impatto di malware. Con il controllo dell'account utente e utilizzando Windows come utenti standard, le organizzazioni e gli utenti finali sono decisamente meno esposti alle vulnerabilità della protezione che compromettono il sistema. Con il rilascio di Windows Vista, Microsoft ha sviluppato un meccanismo per l'esecuzione delle applicazioni in modalità utente standard e per l'esecuzione delle abituali attività di configurazione del sistema operativo che richiederebbero generalmente un token di accesso amministratore completo.

Commenti e suggerimenti

Inviare eventuali commenti e suggerimenti su questo documento o altri documenti relativi al controllo dell'account utente a User Account Control Documentation Feedback list. Il team del controllo account utente esaminerà i commenti e suggerimenti forniti.

Ulteriori informazioni sul controllo dell'account utente

  • Per ulteriori informazioni su come progettare al meglio le applicazioni affinché funzionino con il controllo dell'account utente, gli sviluppatori possono leggere il documento Windows Vista Development Requirements for User Account Control Compatibility sul sito MSDN all'indirizzo http://go.microsoft.com/fwlink/?LinkId=66021 (informazioni in lingua inglese).

  • Per informazioni sul controllo dell'account utente rivolte ai responsabili informazioni e comunicazione e ai responsabili del processo decisionale IT, oltre a informazioni sulle verifiche di laboratorio, vedere la guida introduttiva sulla funzionalità Controllo dell'account utente di Windows Vista sul sito TechNet all'indirizzo http://go.microsoft.com/fwlink/?LinkID=66021 (informazioni in lingua inglese).

  • Nel blog del team del controllo dell'account utente all'indirizzo http://go.microsoft.com/fwlink/?LinkID=62676 sono disponibili informazioni in lingua inglese per i fornitori di software indipendenti, i professionisti IT e tutti gli utenti che desiderano maggiori informazioni sul controllo dell'account utente. Eventuali commenti e domande sono ben accetti.

Il documento è risultato utile?
(1500 caratteri rimanenti)
Grazie per i commenti inviati.

Aggiunte alla community

AGGIUNGI
Microsoft sta conducendo un sondaggio in linea per comprendere l'opinione degli utenti in merito al sito Web di MSDN. Se si sceglie di partecipare, quando si lascia il sito Web di MSDN verrà visualizzato il sondaggio in linea.

Si desidera partecipare?
Mostra:
© 2014 Microsoft