Która z grup w systemie Windows Server posiada najmniejsze uprawnienia?
A. Operatorzy kont.
B. Wszyscy.
C. Administratorzy.
D. Użytkownicy.
Pytanie z egzaminu CKE, styczeń 2014 (arkusz E.13-X-14.01).
Grupa Wszyscy w Windows Server oznacza bardzo ogólną tożsamość zabezpieczeń, czyli praktycznie wszystkich użytkowników, którzy mogą być brani pod uwagę przy sprawdzaniu dostępu. Sama w sobie nie daje specjalnych uprawnień administracyjnych ani operatorskich. Dlatego w porównaniu z grupami takimi jak Użytkownicy, Administratorzy czy Operatorzy kont ma najmniejsze znaczenie uprzywilejowane. W praktyce wpis Wszyscy pojawia się często na listach ACL, czyli listach kontroli dostępu do folderów, udziałów sieciowych, drukarek albo obiektów systemowych. Jeżeli administrator nada tej grupie prawo odczytu do udziału, to dostęp będzie bardzo szeroki, ale nadal ograniczony do tego konkretnego zasobu i konkretnego uprawnienia. To nie jest grupa do zarządzania systemem. Moim zdaniem warto zapamiętać prostą zasadę: im bardziej ogólna grupa, tym ostrożniej nadaje się jej prawa. Dobra praktyka administracyjna mówi, żeby nie nadawać grupie Wszyscy uprawnień typu Pełna kontrola, szczególnie na serwerach plików. Lepiej używać grup domenowych, np. dział_księgowość_odczyt albo dział_IT_modyfikacja, bo wtedy łatwiej audytować dostęp i utrzymać zasadę najmniejszych uprawnień.
W tym pytaniu łatwo pomylić pojęcie zwykłego użytkownika z bardzo ogólną tożsamością zabezpieczeń. Grupa Użytkownicy faktycznie ma ograniczone prawa w systemie Windows Server, ale nadal reprezentuje konta, które mogą normalnie logować się do systemu i wykonywać podstawowe operacje, na przykład uruchamiać aplikacje, korzystać z profilu użytkownika czy odczytywać typowe zasoby systemowe. To więcej niż sama idea grupy Wszyscy, która jest szerokim wpisem używanym głównie w mechanizmach kontroli dostępu. Administratorzy to oczywiście grupa o najwyższych uprawnieniach lokalnych lub domenowych, więc traktowanie jej jako najmniej uprzywilejowanej byłoby kompletnym odwróceniem modelu zabezpieczeń. Członkowie tej grupy mogą instalować oprogramowanie, zmieniać konfigurację usług, zarządzać kontami i często przejmować własność plików. Operatorzy kont też nie są grupą minimalną, bo w środowisku domenowym mogą wykonywać zadania związane z zarządzaniem kontami użytkowników i grupami, choć nie mają pełnej władzy administratora domeny. Typowy błąd myślowy polega na tym, że nazwa Wszyscy brzmi jak coś bardzo szerokiego, więc ktoś zakłada, że musi mieć duże prawa. W Windows jest odwrotnie: szeroki zakres członkostwa nie oznacza automatycznie dużych uprawnień. O realnym dostępie decydują wpisy ACL, polityki zabezpieczeń, dziedziczenie uprawnień oraz członkostwo w konkretnych grupach. Z mojego doświadczenia, właśnie przez takie mylenie nazw administratorzy początkujący potrafią dać za szerokie prawa do udziału sieciowego i potem jest kłopot z bezpieczeństwem danych.