顺德区容桂诚威机械厂:了解Windows7系统的用户账户控制

很久以来，Windows系统 的用户一直都在使用管理权限运行。因此，软件通常都开发为使用管理帐户运行，并且(通常无意间)依赖于管理权限。为了让更多软件能够使用标准用户权限运行，并且帮助开发人员编写能够使用标准用户权限正常运行的应用程序，Windows Vista 系统引入了用户帐户控制 (UAC)。UAC 集成了一系列技术，其中包括文件系统和注册表虚拟化、受保护的系统管理员 (PA) 帐户、UAC 提升权限提示，以及支持这些目标的 Windows 系统完整性级别。我在我的会议演示文稿和 TechNet 杂志UAC 内部信息一文中详细讨论了这些内容。
　　Windows 7系统沿用了 UAC 的目标，基础技术相对未做改变。但是，它引入了 UAC 的 PA 帐户可以运行的两种新模式，以及某些内置 Windows系统 组件的自动提升机制。在此文章中，我将论述推动 UAC 技术发展的因素、重新探讨 UAC 和安全性之间的关系、描述这两种新模式，并介绍自动提升的具体工作方式。请注意，此文章中的信息反映了 Windows 7系统预发布版本的行为，该行为在许多方面与 beta 版有所不同。
　　UAC 技术
　　UAC 技术的最基本元素和直接效益在于它能使标准用户更方便地使用Windows系统。演示示例展示了Windows XP系统和 Windows Vista系统上有关设置时区的权限要求的不同之处。在 Windows XP系统之家上，更改时区需要管理权限，实际上，即使是使用时间/日期控制面板小程序查看时区也需要管理权限。
　　这是因为 Windows XP系统下载安装后未将更改时间(安全敏感的系统操作)与更改时区(只是影响时间的显示方式)区分开来。在 Windows Vista(和 Windows 7)系统中，更改时区不是一项管理操作，并且时间/日期控制面板小程序也将管理操作与标准用户操作进行了分隔。仅仅这一项更改就让许多企业能够为出差的用户配置标准用户帐户，因为用户将能够调整时区来反映他们的当前位置。Windows 7系统进一步做出了改进，比如刷新系统的 IP 地址、使用Windows Update 来安装可选的更新和驱动程序、更改显示 DPI，以及查看标准用户可访问的当前防火墙设置。
　　设计 PA 帐户的目的是为了鼓励开发人员将应用程序编写为只需要标准用户权限，同时使尽可能多的在管理组件和标准用户组件之间共享状态的应用程序能够继续工作。默认情况下，Windows Vista系统或 Windows7系统上的第一个帐户(在 Windows 系统的早期版本上为完全权限管理员帐户)是 PA 帐户。PA 用户执行的任何程序都使用标准用户权限运行，除非用户明确提升了应用程序，即授予应用程序管理权限。诸如安装应用程序和更改深度系统设置等用户活动会触发提升权限提示。这些提升权限提示是最显著的 UAC 技术，表现形式为切换到一个包含允许/取消对话框的屏幕，背景为灰色的桌面快照。
　　提升权限提示的另一个优点是：它们能够在软件想要对系统进行更改时“通知”用户，并使用户有机会来阻止这种情况。例如，如果用户不信任或不想允许修改最新系统的软件包要求管理权限，则它们可以拒绝提示。
Windows 7系统中的不同之处
　　我在前面提过，Windows 7系统中的某些操作现在可由标准用户执行，但正如有关 UAC 的 E7 博客文章所述，我们还认识到，我们可以在不影响 UAC 的目标的情况下使 Windows系统体验更加流畅。许多用户抱怨说，当他们执行常见的新萝卜家园系统管理操作时，Windows Vista系统本身会频繁地请求管理权限。使 Windows 系统之家能够针对标准用户环境正常工作对我们最有利，因为这样将为我们的客户带来利益。但是，提升权限提示并没有告诫或鼓励我们这样做，而是会强制用户在绝大多数用户都不理解的对话框中再次单击。因此，Windows 7系统开始从默认 Windows系统体验中最大程度地减少这些提示，并使以管理员身份运行的用户能够控制其提示体验。
　　为此，我们进一步重构了系统，这样当最新系统下载安装后，拥有标准用户权限的用户将能执行更多任务，并且，我们减少了若干多提示方案(例如，在 IE 中安装 ActiveX 控件)中的提示数量。Windows 7系统还引入了两种新的 UAC 操作模式，可以在新的 UAC 配置对话框中选择这些模式。通过转到控制面板，单击“用户帐户”，单击“用户帐户”，然后单击“更改用户帐户控制设置”，您可以打开该对话框。(您也可以通过单击提升权限提示上的“显示这些通知时进行更改”链接或通过访问“操作中心”来进入该对话框。)
       与位于滑块顶部并相当于 Windows Vista系统中的默认模式的“始终通知”不同，只有当非 Windows系统可执行文件请求提升时，Windows 7系统才会默认提示用户;针对非 Windows系统提升的行为与 Windows Vista系统 相同。
　　最后，如果选择最底部的滑块位置，将会完全禁用 UAC 技术，这样，所有采用 PA 帐户运行的软件都将使用完全管理权限运行、文件系统和注册表虚拟化将被禁用，并且保护模式 IE 将被禁用。尽管采用此设置时将没有提示，但保护模式 IE 的损失是此模式的一个很大的弊端。