Esporta (0) Stampa
Espandi tutto

Controllo dell'account utente

Aggiornamento: maggio 2008

Si applica a: Windows Server 2008, Windows Vista

Controllo dell'account utente è un nuovo componente di protezione dei sistemi operativi Windows Server® 2008 e Windows Vista®

Finalità di Controllo dell'account utente

Controllo dell'account utente consente a un amministratore di immettere credenziali durante una sessione di un utente non amministratore per eseguire attività amministrative occasionali senza la necessità di cambiare utente, disconnettersi oppure utilizzare il comando Esegui come.

Con Controllo dell'account utente è possibile richiedere agli amministratori di approvare specificatamente le applicazioni che apporteranno modifiche a livello di sistema prima che ne sia consentita l'esecuzione, anche nella sessione utente dell'amministratore.

Utenti interessati a questa funzionalità

Il funzionamento di Controllo dell'account utente è importante per i gruppi seguenti:

  • Amministratori

  • Professionisti della protezione IT

  • Sviluppatori che creano applicazioni per Windows Server 2008 o Microsoft Windows Vista

Note speciali

Inizialmente verranno visualizzate numerose richieste di Controllo dell'account utente poiché la configurazione iniziale del sistema operativo prevede numerose modifiche da apportare a livello di sistema. Nel tempo tuttavia la necessità di apportare questo tipo di modifiche diventa meno frequente.

Sebbene Controllo dell'account utente sia disponibile sia in Windows Server 2008 che in Microsoft Windows Vista, le configurazioni predefinite nei due sistemi differiscono relativamente a quanto segue:

  • Per impostazione predefinita, la modalità Approvazione amministratore non è attivata per l'account Administrator predefinito in Windows Server 2008 o Microsoft Windows Vista.

  • L'account Administrator predefinito è disattivato per impostazione predefinita in Microsoft Windows Vista e il primo account utente creato viene inserito nel gruppo Administrators locale. La modalità Approvazione amministratore non è attivata per tale account.

  • L'account Administrator predefinito è abilitato per impostazione predefinita in Windows Server 2008. La modalità Approvazione amministratore è disattivata per tale account.

Nuova funzionalità introdotta

Controllo dell'account utente include diverse funzionalità e miglioramenti della protezione.

Modalità Approvazione amministratore

La modalità Approvazione amministratore rappresenta una configurazione di Controllo dell'account utente nella quale viene creato un token di accesso utente separato per un amministratore. Quando un amministratore accede a un computer che esegue Windows Server 2008, gli vengono assegnati due token di accesso separati. In assenza della modalità Approvazione amministratore, all'account amministratore viene assegnato un solo token che concede l'accesso amministrativo alle risorse di Windows.

Perché questa funzionalità è importante

La modalità Approvazione amministratore consente di impedire che programmi dannosi vengano installati in modo invisibile all'utente senza che l'amministratore ne sia a conoscenza. Consente inoltre di proteggere il sistema da modifiche accidentali. È infine possibile utilizzarla per imporre un più elevato livello di conformità in base al quale sono necessari il consenso esplicito dell'amministratore o le credenziali appropriate per ogni processo amministrativo.

Che cosa è diverso

La differenza principale tra un utente standard (non amministratore) e un amministratore in Windows Server 2008 consiste nel livello di accesso alle aree fondamentali e protette del computer. Gli amministratori possono modificare lo stato del sistema, disattivare il firewall, configurare i criteri di protezione, installare un servizio, un driver o programmi software per tutti gli utenti del computer. Gli utenti standard non sono autorizzati a eseguire tali attività.

Se la modalità Approvazione amministratore è attivata, gli amministratori ricevono sia il token di accesso completo sia un secondo token di accesso, definito token di accesso filtrato. Durate la procedura di accesso, i componenti di autorizzazione controllo dell'accesso che identificano un amministratore sono rimossi o disattivati allo scopo di creare un token di accesso filtrato. Questo tipo di token viene quindi utilizzato per avviare Explorer.exe, il processo che crea e il desktop dell'utente e ne è proprietario. Poiché le applicazioni in genere ereditano i rispettivi token di accesso dal processo che le ha avviate, in questo caso Explorer.exe, esse verranno tutte eseguite con il token di accesso filtrato.

noteNota
Quando un utente standard effettua l'accesso, viene creato solo un token di accesso utente. I token di accesso completo degli utenti standard non prevedono privilegi di accesso superiori a quelli dei token di accesso filtrato degli amministratori.

Dopo che un amministratore ha effettuato l'accesso, il relativo token di accesso completo non viene utilizzato a meno che l'amministratore non tenti di eseguire un'attività amministrativa.

ImportantImportante
Poiché l'esperienza degli utenti è configurabile mediante Editor Criteri di gruppo locali (secpol.msc) e la console Gestione Criteri di gruppo (gpedit.msc), non esiste un unico tipo di esperienza relativa a Controllo dell'account utente.

Date le normali modalità d'uso di un server, ad eccezione dei Terminal Server, gli amministratori vi accedono molto meno frequentemente di quanto non facciano a una workstation client. Pertanto, la modalità Approvazione amministratore è disattivata per impostazione predefinita per l'account Administrator predefinito di Windows Server 2008. Per impostazione predefinita, la modalità Approvazione amministratore è attivata per gli altri account membri del gruppo Administrators locale.

Come risolvere i problemi

Se il sistema operativo non è in grado di identificare correttamente un'applicazione amministrativa, quest'ultima potrebbe non funzionare correttamente poiché non utilizza il token di accesso completo.

Per ulteriori informazioni su come configurare le applicazioni esistenti, vedere Risorse aggiuntive più avanti in questo argomento.

Come preparare il cambiamento

Per informazioni sulla pianificazione, vedere Come preparare la distribuzione di questa funzionalità più avanti in questo argomento.

Elevazione dei privilegi per gli utenti standard

La richiesta di elevazione dei privilegi viene visualizzata quando un utente standard tenta di eseguire un'attività che richiede privilegi non disponibili per questo tipo di utente. In questo caso, viene tuttavia richiesto di immettere credenziali amministrative.

Perché questa funzionalità è importante

Controllo dell'account utente consente a un amministratore di immettere credenziali durante una sessione di un utente standard per eseguire attività amministrative occasionali senza la necessità di cambiare utente, disconnettersi oppure utilizzare il comando Esegui come.

Che cosa è diverso

In assenza di Controllo dell'account utente, l'esecuzione delle applicazioni viene tentata, tuttavia ha esito negativo in caso di operazioni che richiedono privilegi di amministratore. Alcune applicazioni rilevano tale aspetto correttamente, altre no.

In alcuni casi, l'aspetto del messaggio relativo all'elevazione dei privilegi nel quale vengono richieste le credenziali potrebbe generare confusione o determinare ulteriori chiamate all'helpdesk. È pertanto consigliabile che tali messaggi non vengano visualizzati e che l'avvio delle applicazioni venga semplicemente impedito.

Come risolvere i problemi

Tale funzionamento dei messaggi di richiesta predefiniti per gli utenti standard è configurabile mediante Editor Criteri di gruppo locali (secpol.msc) e la console Gestione Criteri di gruppo (gpedit.msc).

Come preparare il cambiamento

Per informazioni sulla pianificazione, vedere Come preparare la distribuzione di questa funzionalità più avanti in questo argomento.

Icona Scudo di protezione

Le attività e i programmi di tipo amministrativo sono contrassegnati con una nuova icona "Scudo di protezione".

Perché questa funzionalità è importante

L'icona Scudo di protezione viene utilizzata in modo coerente in Windows Server 2008 per indicare che l'avvio di un determinato programma o attività richiedere privilegi amministrativi. Ciò consente di sapere quali operazioni richiedono l'elevazione dei privilegi in modo da informare utenti e amministratori e ridurre le chiamate all'helpdesk.

Virtualizzazione del Registro di sistema e dei file per Controllo dell'account utente

Windows Server 2008 include una tecnologia di virtualizzazione del Registro di sistema e dei file per le applicazioni non compatibili con Controllo dell'account utente le quali potrebbero richiedere un token di accesso amministrativo per funzionare correttamente.

Perché questa funzionalità è importante

La virtualizzazione di Controllo dell'account utente consente di garantire il funzionamento delle applicazioni non compatibili con tale funzionalità in Windows Server 2008.

Che cosa è diverso

Quando un'applicazione amministrativa non compatibile con Controllo dell'account utente tenta di scrivere in una directory protetta, ad esempio Programmi, le viene fornita una visualizzazione virtualizzata della risorsa da modificare adottando una strategia di copia durante la scrittura. La copia virtualizzata viene mantenuta nel profilo dell'utente. Di conseguenza, viene creata una copia separata del file virtualizzato per ogni utente che esegue l'applicazione non compatibile.

La tecnologia di virtualizzazione consente di accertarsi che l'esecuzione di applicazioni non compatibili non abbia esito negativo in modo invisibile all'utente e che non determini condizioni di incoerenza difficili da risolvere.

noteNota
La virtualizzazione non si applica alle applicazioni che richiedono un token di accesso completo.

Come risolvere i problemi

La maggior parte delle applicazioni viene eseguita correttamente mediante le funzionalità di virtualizzazione. La virtualizzazione di Controllo dell'account utente rappresenta tuttavia una soluzione esclusivamente a breve termine. Gli sviluppatori delle applicazioni dovranno modificare i prodotti affinché siano compatibili con Controllo dell'account utente il prima possibile, piuttosto che fare affidamento sulla virtualizzazione di file, cartelle e Registro di sistema.

Per istruzioni su come progettare applicazioni compatibili con Controllo dell'account utente, vedere Risorse aggiuntive.

noteNota
La virtualizzazione non è supportata nelle applicazioni Windows a 64 bit native, le quali devono essere in grado di funzionare con Controllo dell'account utente e di scrivere i dati nei percorsi corretti.

noteNota
La virtualizzazione è disattivata per le applicazioni che includono un manifesto con un attributo del livello di esecuzione richiesto.

Come preparare il cambiamento

Per informazioni sulla pianificazione, vedere Come preparare la distribuzione di questa funzionalità più avanti in questo argomento.

Impostazioni aggiunte o modificate

Il funzionamento di Controllo dell'account utente in Windows Server 2008 viene configurato mediante le impostazioni di sistema indicate di seguito. È possibile configurare tali impostazioni mediante Editor Criteri di gruppo locali (secpol.msc) o la console Gestione Criteri di gruppo (gpedit.msc).

Le impostazioni seguenti sono disponibili nel nodo Opzioni di protezione di Criteri locali in Impostazioni protezione.

 

Impostazione Descrizione Valore predefinito

Controllo account utente: modalità Approvazione amministratore per l'account amministratore predefinito.

Due valori possibili:

  • Attivato: l'account Administrator predefinito viene eseguito come amministratore in modalità Approvazione amministratore.

  • Disattivato: l'amministratore utilizza sempre un token di accesso completo.

Disattivato

Controllo account utente: comportamento della richiesta di elevazione dei privilegi per gli amministratori in modalità Approvazione amministratore

Tre valori possibili:

  • Nessuna richiesta: l'elevazione dei privilegi viene eseguita in modo automatico e invisibile all'utente. Questa opzione consente a un amministratore in modalità Approvazione amministratore di eseguire operazioni che richiedono l'elevazione di privilegi senza consenso o credenziali.

    noteNota
    È opportuno utilizzare questo scenario esclusivamente negli ambienti soggetti a particolari vincoli in quanto NON è consigliato.

  • Richiedi consenso: per le operazioni che richiedono un token di accesso completo viene richiesto all'amministratore in modalità Approvazione amministratore di scegliere Continua o Annulla. Se l'amministratore fa clic su Continua l'operazione proseguirà con il privilegio più elevato disponibile.

  • Richiedi credenziali: per le operazioni che richiedono un token di accesso completo viene richiesto all'amministratore in modalità Approvazione amministratore di immettere una combinazione adeguata di nome utente e password. Se l'utente immette credenziali valide, l'operazione continua con i privilegi applicabili.

Richiedi consenso

Controllo account utente: comportamento della richiesta di elevazione dei privilegi per gli utenti standard

Due valori possibili:

  • Nessuna richiesta: non viene visualizzata alcuna richiesta di elevazione dei privilegi e l'utente non potrà eseguire attività amministrative senza utilizzare Esegui come amministratore o accedere con un account amministratore. Nella maggior parte delle organizzazioni in cui i computer desktop sono utilizzati da utenti standard è consigliabile configurare il criterio "Nessuna richiesta" per ridurre il numero di chiamate all'helpdesk.

  • Richiedi credenziali: per le operazioni che richiedono un token di accesso completo verrà richiesto all'utente di immettere una combinazione di nome utente e password di amministratore. Se l'utente immette credenziali valide, l'operazione continua con i privilegi applicabili.

Richiedi credenziali

Controllo account utente: rileva installazione applicazioni e richiedi elevazione

Due valori possibili:

  • Attivato: quando viene rilevato un programma di installazione, viene richiesto all'utente di confermare o di immettere le credenziali appropriate.

  • Disattivato: viene consentita l'esecuzione dei programmi di installazione delle applicazioni, ai quali tuttavia viene negato l'accesso alla risorse a livello di sistema. Ciò può determinare errori difficili da risolvere. In ambienti aziendali con desktop di utenti standard o tecnologie di installazione gestite, ad esempio System Management Server (SMS), il rilevamento dei programmi di installazione non è necessario ed è possibile disattivare questa impostazione.

Attivato

Controllo account utente: eleva solo file eseguibili firmati e convalidati

Due valori possibili:

  • Attivato: vengono eseguiti solo file eseguibili firmati. Questo criterio consente di imporre le verifiche delle firme basate sull'infrastruttura a chiave pubblica per qualsiasi applicazione interattiva che richiede l'elevazione dei privilegi. Gli amministratori delle organizzazioni possono controllare l'elenco delle applicazioni amministrative consentite tramite la compilazione di certificati nell'archivio degli autori attendibili dei computer locali.

  • Disattivato: verrà eseguito sia il codice firmato che quello non firmato.

Disattivato

Controllo account utente: solo applicazioni con accesso all'interfaccia utente e con privilegi elevati installate in percorsi protetti

Due valori possibili:

  • Il sistema concederà privilegi di accesso all'interfaccia utente e diritti utente per gli eseguibili avviati da %ProgramFiles% o %windir%. Gli elenchi di controllo di accesso in tali directory garantiscono che il file eseguibile non sia modificabile dall'utente (il che altrimenti consentirebbe l'elevazione dei privilegi). I file eseguibili con accesso all'interfaccia utente avviati da altri percorsi verranno eseguiti senza ulteriori privilegi, ovvero verranno eseguiti come "asInvoker".

  • Disattivato: le verifiche dei percorsi non vengono effettuate, pertanto tutte le applicazioni con accesso all'interfaccia utente vengono avviate con il token di accesso completo dell'utente dopo l'approvazione di quest'ultimo.

Attivato

Controllo account utente: consenti alle applicazioni con accesso all'interfaccia utente di richiedere l'elevazione dei privilegi senza utilizzare il desktop protetto

Due valori possibili:

  • Attivato: i programmi con accesso all'interfaccia utente, incluso Assistenza remota Windows, possono disattivare automaticamente il desktop protetto per le richieste di elevazione dei privilegi. Ciò consente maggiori funzionalità in determinati scenari di accesso all'interfaccia utente, ad esempio per fornire assistenza remota a un utente standard.

  • Disattivato: il desktop protetto può essere disattivato solo da un amministratore del computer o mediante Criteri di gruppo.

Disattivato

Controllo account utente: esegui tutti gli amministratori in modalità Approvazione amministratore

Due valori possibili:

  • Attivato: vengono visualizzate richieste di conferma sia agli amministratori che agli utenti standard che tentano di eseguire operazioni amministrative. Lo stile della richiesta dipende dai criteri.

  • Disattivato: Controllo dell'account utente è in pratica "disattivato" così come l'avvio automatico del Servizio Informazioni applicazioni. Centro sicurezza PC Windows visualizza inoltre notifiche all'utente connesso indicanti che la protezione complessiva del sistema operativo è ridotta. Da tali notifiche è possibile attivare manualmente Controllo dell'account utente.

    noteNota
    Se si modifica questa impostazione, sarà necessario riavviare il sistema.

Attivato

Controllo account utente: alla richiesta di elevazione passa al desktop protetto

Due valori possibili:

  • Attivato: visualizza la richiesta di elevazione dei privilegi di Controllo dell'account utente nel desktop protetto. Il desktop protetto è in grado di ricevere messaggi solo dai processi di Windows, in modo da eliminare il rischio di messaggi provenienti da malware.

  • Disattivato: la richiesta di elevazione dei privilegi di Controllo dell'account utente viene visualizzata nel desktop interattivo (utente).

Attivato

Controllo account utente: virtualizza errori di scrittura su file e nel Registro di sistema in percorsi distinti per ogni utente

Due valori possibili:

  • Attivato: questo criterio consente di reindirzzare gli errori di scrittura di applicazioni precedenti a Microsoft Windows Vista a percorsi definiti nel Registro di sistema e nel file system. Questa funzionalità consente di ridurre i rischi correlati alle applicazioni che in genere vengono eseguite come amministratore e scrivono dati di runtime in %ProgramFiles%; %Windir%; %Windir%\system32 o HKLM\Software. È consigliabile attivare questa impostazione in ambienti che utilizzano software non compatibile con Controllo dell'account utente. Le applicazioni non presenti nel database compatibilità applicazioni o che non dispongono di un contrassegno del livello di esecuzione richiesto nel relativo manifesto non sono compatibili con Controllo dell'account utente.

  • Disattivato: la virtualizzazione agevola l'esecuzione di applicazioni precedenti a Windows Vista in genere non eseguibili come utente standard. Negli ambienti in cui vengono eseguite solo applicazioni compatibili con Microsoft Windows Vista gli amministratori possono disattivare tale funzionalità in quanto non necessaria. Se questa impostazione è disattivata, l'esecuzione delle applicazioni non compatibili con Controllo dell'account utente che tentano di scrivere in %ProgramFiles%; %Windir%; %Windir%\system32 o HKLM\Software ha esito negativo in modo invisibile all'utente.

Attivato

Necessità di modificare il codice

Le nuove applicazioni devono essere scritte in modo da risultare compatibili con Controllo dell'account utente e devono includere un manifesto incorporato.

Per ulteriori informazioni sulla creazione di nuovi programmi per Windows Server 2008 e Microsoft Windows Vista, vedere Risorse aggiuntive.

Come preparare la distribuzione di questa funzionalità

Controllo dell'account utente riduce notevolmente il rischio di esposizione al malware e consente alle applicazioni meno recenti di essere eseguite con credenziali di utente standard. Per sfruttare al meglio le funzionalità di Controllo dell'account utente, vedere le informazioni disponibili in Risorse aggiuntive.

Questa funzionalità è disponibile in tutte le edizioni di Windows Server 2008?

Controllo dell'account utente è un componente integrato nel sistema operativo in tutte le edizioni di Windows Server 2008. Controllo dell'account utente è inoltre parte del sistema operativo Microsoft Windows Vista.

Risorse aggiuntive

Per ulteriori informazioni su Controllo dell'account utente, vedere le risorse seguenti:

  • Controllo dell'account utente (pagina di informazioni sulle funzionalità) (http://go.microsoft.com/fwlink/?LinkID=82373)

  • Panoramica di Controllo dell'account utente (http://go.microsoft.com/fwlink/?LinkId=89652)

    Con Controllo dell'account utente nel nuovo sistema operativo Windows Vista, è possibile ridurre il rischio di esposizione limitando l'accesso a livello amministratore ai processi autorizzati.

  • Informazioni e configurazione di Controllo dell'account utente in Windows Vista (http://go.microsoft.com/fwlink/?LinkID=79026)

    Contiene informazioni utili per conoscere il funzionamento di Controllo dell'account utente, gli scenari di distribuzione e le misure da adottare per rendere compatibili le applicazioni legacy.

  • Guida dettagliata a Controllo dell'account utente di Windows Vista (http://go.microsoft.com/fwlink/?LinkID=53781)

    Questa guida dettagliata contiene le istruzioni necessarie per utilizzare Controllo dell'account utente in un ambiente di lavoro di prova.

  • Esplorazione del nuovo ambiente di lavoro virtuale di Controllo dell'account utente in Windows Vista (http://go.microsoft.com/fwlink/?LinkId=89653)

    È possibile far pratica con Controllo dell'account utente di Windows Vista senza doverlo installare in un PC.

  • Requisiti per lo sviluppo di applicazioni Windows Vista per Controllo dell'account utente (http://go.microsoft.com/fwlink/?LinkId=89654)

    Contiene informazioni su come sviluppare applicazioni che funzionino con Controllo dell'account utente.

Il documento è risultato utile?
(1500 caratteri rimanenti)
Grazie per i commenti inviati.

Aggiunte alla community

AGGIUNGI
Mostra:
© 2014 Microsoft