解析Windows Vista 5270的UAP功能

我们试用Vista有一段时间了，我想其中的一个功能：UAC (User Account Control，以前叫UAP-User Account Protection)大家或许不太喜欢吧？为什么呢？因为在默认的管理员账号下，运行程序或安装软件老是有个提示窗口弹出，一个字：烦！

　　的确，用惯了之前版本Windows的用户来说的确是烦，因为以前大家使用的都是对机器有绝对控制权的账号，操作自然不在话下。但是，我们自己方便了，对于敌人——恶意软件和病毒也和我们一样对机器可以无所欲为！

　　其实，我们在Vista安装后使用的管理员帐户只是“protected admin”——受保护的管理员模式，这是Vista的一个重要支柱！

　　如果没有这项技术，用户将失去Vista安全功能的绝大部分，保护模式的IE也将失去。很多管理员都不喜欢保护模式的管理，但是正是它保护着我们自己。 

漂亮的Vista很多东西都可以自由定制
　　应用程序的安装

　　要想不退出执行安装，一个最简单的途径就是提升命令行到全管理令牌，有几个方式：

　　1）进入Start | All Programs | Accessories，右击命令行，选择“Run Elevated”。如果你作为受保护管理员的话，它会提示你允许/否决执行；如果作为普通用户执行，它会出现索要完整运行凭证的窗口。注意：所需要的密码就是空的，那时系统内建的管理员帐户密码。

　　2）进入开始菜单，在开始搜索框中键入cmd.exe，就会加载cmd.exe窗口。运行命令： “Runas /u:[domain or machineuser] cmd.exe”，就会出现具有完全管理权限的第二个命令窗口。
　　这样就可以开始你的安装了，当然，如果以上都不管用，就使用administrator账号登陆吧，这个账号不会有UAP的限制。

　　一些程序设计很差，安装必须具有超级管理员权限，就需要使用“administrator”账号登陆才能继续，这个账号的登陆密码是空。

　　通常，提升经常重复运行程序的权限的一个最简单的方法是改变该程序的加载快捷方式。在属性的兼容标签下选中“Run as administrator”（使用系统管理员身份运行）。

　　对于管理员而言，控制面板是最常用到的管理场所，控制面板程序的使用率很高，提升它的运行权限是经常被用到的。

　　如果使用右键菜单的“Run Elevated” / “Run As” 方式运行程序，就将每次都被询问是否允许运行程序。

　　现在，部分控制面板的程序也支持右键单击，并使用替代凭证运行。

　　在windowssystem32目录下可以找到以下的“*.cpl”文件：

　　系统属性 – sysdm.cpl
　　Windows防火墙 – firewall.cpl
　　网络连接 – ncpa.cpl
　　添加硬件向导– hdwwiz.cpl
　　电源选项 – powercfg.cpl
　　安全中心 – wscui.cpl

　　要在命令行中使用这些CPL文件，只需输入文件名即可。

　　第二个常用的工具是MMC，可以在命令行下运行MMC.exe打开该程序，在这里可以通过菜单File | Add/ Remove Snap-in添加你所需要的内容。注意：初始状态是空的，需要自己添加。

　　下面我们看看微软官方有关UAC的文档对UAC的介绍：

　　UAC是Vista中的一套新的基础技术，帮助公司配置出一个更好管理的桌面和抵御恶意软件的攻击。UAC要求所有用户在标准账号模式下运行程序和任务，进行需要认证的处理时要受限制。

　　它也允许桌面锁定，阻止未认证的程序安装，并阻止标准用户进行不当的系统设置改变。

　　在Vista中，有两种用户级别：标准用户和系统管理员。标准用户使用user账号运行程序，它隶属于users用户组；而系统管理员用户使用administrator帐户，它隶属于本地administrators组。

　　当一个用户加载应用程序时，他们的访问令牌和相关的管理员权限被应用到应用程序。所以，管理员与标准用户组的用户运行程序时，他们的权限与其账号的权限是息息相关的。

　　在Vista中，大多数程序都被赋予管理员级或标准级令牌。如果一个程序不能被识别为管理员级，Vista就会默认当它是标准级程序加载。

　　在此之前，Vista会提示用户要提升权限运行程序，这个功能就叫做AAM（Admin Approval Mode，管理认证模式）。
　　默认情况下，这个同意的提示会显示出来，即使这个用户隶属于本地管理员组。因为他是在使用标准用户组的权限运行程序，直到一个程序或要求管理员认证的系统组件被允许运行为止。这个过程就叫做elevation（提升权限，这个不大好翻译）。

　　通过在运行程序或修改系统摄之前提示用户将会减小恶意软件的影响。当用户提供适当的凭证时，Vista会采取行动保护管理员级的程序免受标准程序和进程的攻击。因为管理员必须同意应用程序安装，而未认证的程序不能自动安装。另外，标准用户对全系统的设置是不被允许的。

　　这就是那个时常跳出来提示的窗口：
　　runas命令使用方法：
　　MMC程序：