W systemie Windows, zainstalowanym w wersji obsługującej przydziały dyskowe, użytkownik o nazwie Gość
A. może należeć tylko do grupy globalnej
B. może należeć tylko do grupy o nazwie Goście
C. nie może należeć do żadnej grupy
D. może należeć do grup lokalnych i do grup globalnych
Pytanie z egzaminu CKE, październik 2013 (arkusz E.12-X-13.10).
W systemie Windows konto użytkownika o nazwie Gość może należeć do grup lokalnych i do grup globalnych, jeżeli środowisko oraz wersja systemu obsługują taki model kont i grup, np. w domenie Active Directory. Sama informacja o przydziałach dyskowych nie zmienia zasad członkostwa w grupach. Przydziały dyskowe na woluminach NTFS służą do kontrolowania ilości miejsca zajmowanego przez użytkownika, zwykle na podstawie identyfikatora SID właściciela plików, a nie do ograniczania tego, do jakich grup konto może należeć. W praktyce konto Gość domyślnie jest zwykle członkiem grupy Goście i często bywa wyłączone ze względów bezpieczeństwa, ale administrator może zarządzać jego członkostwem zgodnie z polityką firmy. Grupy lokalne stosuje się do nadawania uprawnień na konkretnym komputerze, na przykład do folderu, drukarki albo usługi. Grupy globalne są typowe dla domeny i służą do organizowania użytkowników według roli, działu czy funkcji. Dobra praktyka, moim zdaniem bardzo sensowna, to nadawanie uprawnień przez grupy, a nie pojedynczym użytkownikom. Dzięki temu administracja jest prostsza, bardziej przewidywalna i łatwiej ją audytować.
W tym pytaniu łatwo pomylić konto Gość z nazwą grupy Goście i z zasadami bezpieczeństwa stosowanymi w Windows. To, że konto nazywa się Gość, nie oznacza, że technicznie może istnieć całkiem poza mechanizmem grup. Windows opiera kontrolę dostępu na kontach, grupach, identyfikatorach SID oraz listach ACL, więc użytkownik bez żadnej przynależności grupowej byłby bardzo trudny do sensownego zarządzania. W praktyce nawet konta o ograniczonych uprawnieniach są przypisywane do odpowiednich grup, choćby po to, aby system mógł nadać im minimalny zestaw praw. Nie jest też poprawne założenie, że konto Gość może należeć wyłącznie do grupy globalnej. Grupy globalne mają znaczenie głównie w środowisku domenowym i służą do porządkowania użytkowników, ale nie zastępują grup lokalnych używanych do przydzielania uprawnień na konkretnym komputerze. Równie mylące jest stwierdzenie, że Gość może należeć tylko do grupy Goście. To jest domyślna i typowa konfiguracja, szczególnie w systemach klienckich, ale domyślne ustawienie nie jest tym samym co sztywne ograniczenie techniczne. Z mojego doświadczenia taki błąd bierze się z uczenia się na pamięć nazw wbudowanych kont, bez zrozumienia modelu zabezpieczeń Windows. Przydziały dyskowe NTFS kontrolują zużycie miejsca przez użytkowników, natomiast nie definiują same z siebie, czy konto może należeć do grup lokalnych albo globalnych.