Windows Vista UAC之我见

最近研究了点UAC的知识，拿出来和大家一起分享。

 

UAC的全称是User Account Control（用户账户控制），它是Windows Vista提供的一个安全特性。它会在用户使用计算机进行更改系统设置或者安装软件等会影响到系统安全性、稳定性的操作时弹出一个对话框，友善的提示用户他们要进行的操作。

 

在我第一次使用Windows Vista时，每当我安装软件，更改设置，甚至我只想打开计算机管理这样的操作，Windows Vista都会弹出一个对话框警告我。我只有同意了才能进行下面的操作。我感觉非常的麻烦，我想别的人也会感觉非常的麻烦。因为我们在使用Windows XP时，只要我们以管理员登录就什么都可以做了。那么Windows Vista中的UAC除了带给我们麻烦，就没有别的了吗，刚开始我也是这么觉得。其实不然，下面就简单的介绍一下UAC的设计初衷以及它的使用。

 

当用户使用Windows Vista时，默认是启用UAC的。无论用户以什么身份登录Windows Vista计算机，即使他以管理员的身份登录计算机，都只具有普通用户的权限。当用户执行一些安装操作或者设置操作时，Vista系统会弹出一个对话框，提示用户他们要进行的操作。在这个过程中，如果您使用的是管理员的账号登录Windows Vista，那么只需要点击“Continue”或者“Allow”就可以继续进行操作了。点击的时候，UAC进行了一次权限的提升，这时管理员才是真正具有了管理员的权限。如果是以普通用户登录计算机，当他们执行这样的操作时，Windows Vista会弹出一个对话框，让这个普通用户输入一个管理员的账号和密码。而在以前的Xp系统中，如果我们是普通用户，我们就不可能进行这样的操作，但是在Vista中它也提供了这样的操作，只是你必须知道管理员的账号和密码。

 

那么UAC的价值到底在哪里呢？当我们使用计算机的时候，我们都只具有普通用户的权限，普通用户的权力是有限的。如果病毒或者恶意的软件代码要在我的系统中进行安装破坏时，那么它只会调用我的这个普通用户的权限进行安装，因为普通用户的权限是不能安装软件的。这样系统就会进行权限的提升，弹出对话框告诉用户是不是要安装软件或者进行设置的更改，只有你同意了才能继续进行，并且系统的后台会关闭，你只能选择同意或者拒绝，也就是说病毒此时不会绕过你的许可破坏其他的应用。而且这个对话框会显示出详细的信息供你参考。在Windows XP的系统中，如果你是以管理员的权限登录的话，病毒或者恶意软件就会使用你登录帐号的这个管理员权限进行破坏。这样Windows Vista中的UAC就真正的是保护了系统的安全。

 

另外，UAC还有一个功能。如果你以普通用户的身份登录Windows Vista，当你进行系统设置或者软件安装时，UAC不会拒绝你进行操作，但是必须输入一个管理员账号和密码，进行一次权限的提升。这样普通用户也可以安装软件了。您就不必注销在使用管理员的帐号登录系统进行安装了。

 

其实，用户是可以对UAC进行设置的。在组策略中进行设置。点击“Start”，在搜索中输入secpol.msc，然后回车，打开了本地安全策略。展开“Local Policies”，“Security Options”。在右面页面中的底部会有六个关于UAC的选项。

• User Account Control: Admin Approval Mode for the Built-in Administrator account. 在Windows Vista中内置了一个名为administrator的用户，它是管理员。这个用户在使用计算机进行操作的时候是不需要进行权限提升的。也就是说不会弹出对话框来警告这个用户。如果你想在使用这个帐号登录的时候也能够像其他的管理员那样受到UAC的保护，将这个选项设置位Enable。Admin Approval Mode是管理赞同模式，它就是弹出一个对话框进行权限提升那种操作。
• User Account Control: Behavior of the elevation prompt for administrators in Admin Approval Mode. 当管理员用户进行那种需要权限提升的操作时，UAC进行的操作是：

ü       No prompt. 没有提示对话框出现。这样的话管理员用户就可以进行任何操作了。

ü       Prompt for consent。提升权限。弹出一个对话框，用户选择“Allow”或者“Continue”继续执行。

ü       Prompt for credentials。输入凭据。即使你是以管理员身份登录的，你也需要输入管理员帐号和密码。

·         User Account Control: Behavior of the elevation prompt for standard users. 如果你是以普通用户的身份登录的计算机，在你执行一些需要一定权限的操作时，UAC所进行的操作是：

ü       No Prompt: 没有提示，不能进行权限的提升。

ü       Prompt for credentials: 提示用户输入一个具有管理员权限的账户和密码，进行权限提升。

·         User Account Control: Detect application installations and prompt for elevation. 这个选项的意思是在安装软件时UAC会检测这个软件，然后对权限进行提升。

ü       Enable: 对软件进行检测，然后弹出对话框提升权限。

ü       Disable: 不对软件进行检测，直接安装。

·         User Account Control: Only elevate executables that are signed and validated. 不太清楚这个是什么意思，做实验也没什么区别。

·         User Account Control: Run all administrators in Admin Approval Mode. 它的意思是对所有的管理员使用UAC的管理赞同模式。

ü       Enable: 开启UAC功能。

ü       Disable: 关闭UAC功能。

·         User Account Control: Switch to the secure desktop when prompting for elevation. 在提升权限的时候，关闭后台，锁定桌面。

ü       Enable: 开启。

ü       Disable: 关闭。

·         User Account Control: Virtualize file and registry write failures to per-user location.不理解什么意思。