W systemach operacyjnych Windows konto użytkownika, o największych uprawnieniach domyślnych, należy do grupy
A. operatorzy kopii zapasowych.
B. użytkownicy zaawansowani.
C. goście.
D. administratorzy.
Pytanie z egzaminu CKE, czerwiec 2014 (arkusz E.13-X-14.05).
Konto o największych uprawnieniach domyślnych w systemach Windows należy do grupy Administratorzy. Ta grupa ma prawo do wykonywania operacji administracyjnych: instalowania i usuwania programów, zmiany konfiguracji systemu, zarządzania kontami lokalnymi, modyfikacji uprawnień NTFS, obsługi usług, sterowników i ustawień zabezpieczeń. W praktyce oznacza to, że użytkownik z tej grupy może zrobić prawie wszystko na danym komputerze, choć w nowszych Windows działa jeszcze mechanizm UAC, który wymaga potwierdzenia podniesienia uprawnień. Moim zdaniem to ważny szczegół, bo samo bycie administratorem nie oznacza, że każda aplikacja od razu działa z pełnymi prawami. Dobra praktyka branżowa jest taka, żeby na co dzień pracować na zwykłym koncie użytkownika, a konto administratora używać tylko do zadań serwisowych. Zmniejsza to ryzyko infekcji malware, przypadkowej zmiany konfiguracji albo usunięcia ważnych plików systemowych. W firmach często stosuje się też zasadę najmniejszych uprawnień, czyli użytkownik dostaje tylko takie prawa, jakie są mu naprawdę potrzebne.
W Windows nie każda grupa użytkowników ma podobny poziom uprawnień, choć nazwy niektórych grup mogą trochę mylić. Grupa Goście jest przeznaczona dla kont tymczasowych i bardzo ograniczonych. Taki użytkownik zwykle nie powinien zmieniać konfiguracji systemu, instalować aplikacji ani zarządzać innymi kontami. To raczej dostęp awaryjny albo bardzo kontrolowany, a nie konto do administracji. Operatorzy kopii zapasowych mają specjalne uprawnienia związane z wykonywaniem i odtwarzaniem kopii zapasowych. Mogą mieć dostęp do plików w celu backupu, nawet jeśli normalne uprawnienia NTFS by na to nie pozwalały, ale nie oznacza to pełnej kontroli nad systemem. To częsty błąd myślowy: ktoś widzi, że dana grupa ma mocne, specjalne uprawnienie, więc zakłada, że jest najwyższa w hierarchii. Użytkownicy zaawansowani to z kolei grupa kojarzona głównie ze starszymi wersjami Windows. Miała dawać więcej możliwości niż zwykły użytkownik, ale mniej niż administrator. W nowoczesnym podejściu do bezpieczeństwa taka rola jest mocno ograniczana albo praktycznie nieużywana, bo łatwo było przez nią naruszyć zasadę najmniejszych uprawnień. Najwyższy poziom domyślnych praw administracyjnych na komputerze lokalnym ma grupa Administratorzy. To ona pozwala zarządzać systemem, usługami, kontami, sterownikami i ustawieniami bezpieczeństwa. Z mojego doświadczenia wynika, że warto odróżniać uprawnienia specjalistyczne od pełnej administracji, bo w testach i w prawdziwej pracy serwisowej to często robi różnicę.