Członkowie której z grup wbudowanych w systemie Windows Server mają pełną kontrolę nad serwerem?
A. Użytkownicy.
B. Administratorzy.
C. Goście.
D. Operatorzy kont.
Grupa Administratorzy w Windows Server to wbudowana grupa o najwyższym poziomie uprawnień administracyjnych w systemie lokalnym, a w środowisku domenowym jej odpowiednikiem dla kontrolerów domeny jest m.in. grupa Administratorzy domeny. Członkowie tej grupy mogą praktycznie wszystko: instalować i usuwać oprogramowanie, zmieniać konfigurację usług, zarządzać kontami użytkowników i grupami, modyfikować uprawnienia NTFS, przejmować własność plików, konfigurować zasady zabezpieczeń, zaporę, role serwera czy ustawienia sieciowe. W praktyce oznacza to pełną kontrolę nad serwerem, więc ta odpowiedź jest właściwa. Z mojego doświadczenia warto pamiętać, że konto z takimi uprawnieniami nie powinno być używane do codziennej pracy, np. przeglądania internetu albo poczty. Dobrą praktyką branżową jest zasada najmniejszych uprawnień, czyli przydzielanie tylko takich praw, jakie są faktycznie potrzebne do wykonania zadania. Administrator powinien mieć osobne konto administracyjne, silne hasło, najlepiej MFA tam gdzie się da, oraz rejestrowanie działań w dziennikach zdarzeń. W firmach często stosuje się też delegowanie uprawnień, żeby nie każdy technik od razu miał pełny dostęp do całego serwera. To jest po prostu bezpieczniejsze i łatwiej potem ustalić, kto co zmienił.
W Windows Server nie każda grupa wbudowana oznacza dostęp administracyjny do całego systemu. Łatwo się tutaj pomylić, bo nazwy niektórych grup brzmią dość technicznie i sugerują większe możliwości, niż faktycznie mają. Pełną kontrolę nad serwerem mają członkowie grupy Administratorzy, natomiast pozostałe grupy mają zakres uprawnień ograniczony do konkretnych zadań albo wręcz bardzo podstawowy dostęp.
Operatorzy kont mogą wykonywać wybrane czynności związane z kontami użytkowników i grupami, ale nie są pełnymi administratorami serwera. W typowym środowisku domenowym taka grupa może służyć do delegowania prostych zadań, na przykład tworzenia kont lub resetowania haseł, jednak nie powinna mieć prawa do zmiany całej konfiguracji systemu, instalowania ról serwera czy modyfikowania kluczowych ustawień bezpieczeństwa. Częsty błąd myślowy polega na tym, że skoro ktoś zarządza kontami, to pewnie zarządza całym serwerem. No właśnie nie do końca.
Użytkownicy to grupa przeznaczona do normalnej pracy w systemie. Jej członkowie mogą uruchamiać aplikacje, korzystać z zasobów, logować się zgodnie z nadanymi prawami, ale nie powinni zmieniać konfiguracji systemowej ani przejmować kontroli nad usługami. Goście mają jeszcze mniejsze uprawnienia i historycznie służyli do bardzo ograniczonego, tymczasowego dostępu. Z punktu widzenia bezpieczeństwa konta gościnne zwykle są wyłączane, bo są ryzykowne i mało potrzebne w profesjonalnej administracji.
Dobra praktyka jest taka, aby nie dodawać użytkowników do Administratorów bez konkretnego powodu. Stosuje się zasadę najmniejszych uprawnień, audytowanie logowań oraz kontrolę członkostwa w grupach uprzywilejowanych. Dzięki temu serwer jest mniej narażony na przypadkowe uszkodzenie konfiguracji albo przejęcie po kradzieży hasła zwykłego pracownika.
Operatorzy kont mogą wykonywać wybrane czynności związane z kontami użytkowników i grupami, ale nie są pełnymi administratorami serwera. W typowym środowisku domenowym taka grupa może służyć do delegowania prostych zadań, na przykład tworzenia kont lub resetowania haseł, jednak nie powinna mieć prawa do zmiany całej konfiguracji systemu, instalowania ról serwera czy modyfikowania kluczowych ustawień bezpieczeństwa. Częsty błąd myślowy polega na tym, że skoro ktoś zarządza kontami, to pewnie zarządza całym serwerem. No właśnie nie do końca.
Użytkownicy to grupa przeznaczona do normalnej pracy w systemie. Jej członkowie mogą uruchamiać aplikacje, korzystać z zasobów, logować się zgodnie z nadanymi prawami, ale nie powinni zmieniać konfiguracji systemowej ani przejmować kontroli nad usługami. Goście mają jeszcze mniejsze uprawnienia i historycznie służyli do bardzo ograniczonego, tymczasowego dostępu. Z punktu widzenia bezpieczeństwa konta gościnne zwykle są wyłączane, bo są ryzykowne i mało potrzebne w profesjonalnej administracji.
Dobra praktyka jest taka, aby nie dodawać użytkowników do Administratorów bez konkretnego powodu. Stosuje się zasadę najmniejszych uprawnień, audytowanie logowań oraz kontrolę członkostwa w grupach uprzywilejowanych. Dzięki temu serwer jest mniej narażony na przypadkowe uszkodzenie konfiguracji albo przejęcie po kradzieży hasła zwykłego pracownika.