{安全生产管理}使管理帐户更安全的最佳做法.docx

{安全生产管理}使管理帐户更安全的最佳做法 恶意用户以此帐户为攻击对象。他可能还试图引诱管理员执行某些将授予攻击者权限的恶意代码。 区分域管理员角色和企业管理员角色 由于企业管理员角色在目录林环境下具有最终权限，您必须执行以下两个操作之一，以确保很好地控制它的使用。您可以创建并选择一个受到完善保护的帐户作为EnterpriseAdmins的成员，或者选择不使用这些凭据设置帐户，而是仅在需要这些特权的授权任务要求创建此类帐户时才创建。在此帐户完成任务之后，您应该立即删除临时EnterpriseAdmins帐户。 区分用户帐户和管理员帐户 对于担任管理员角色的每个用户，您应该创建两个帐户：一个普通用户帐户，执行典型日常任务（例如电子邮件和其他程序）；一个管理帐户，仅执行管理任务。您不应使用管理帐户来发送电子邮件、运行标准程序或浏览Internet。每个帐户必须拥有唯一的密码。这些简单的防范措施大大地降低了帐户被攻击的风险，并缩短了管理帐户登录到计算机或域所需的时间。 使用SecondaryLogon服务 在MicrosoftWindows?2000,WindowsXPProfessional和WindowsServer2003中，您可以作为与当前登录的用户不同的用户运行程序。在Windows2000中，Runas服务提供此功能，在WindowsXP和WindowsServer2003中，它称为SecondaryLogon服务。Runas和SecondaryLogon服务是名称不同的相同服务。 SecondaryLogon允许管理员使用非管理帐户登录到计算机，无须注销，只需在管理环境中运行受信任的管理程序即可执行管理任务。 SecondaryLogon服务解决了运行可能易受恶意代码攻击的程序的管理员提出的安全风险问题；例如，使用管理权限登录、访问不受信任的网站的用户。 SecondaryLogon主要适用于系统管理员；但是，任何拥有多个帐户、需要在不同帐户环境中无需注销即可启动程序的用户也可以使用它。 SecondaryLogon服务设置为自动启动，使用运行方式工具作为其用户界面，使用作为其命令行界面。通过使用运行方式，您可以运行程序(*.exe)、保存的Microsoft管理控制台(MMC)控制台(*.msc)、程序快捷方式及“控制面板”中的项目。即使您使用没有管理权限的标准用户帐户登录，只要您在系统提示输入适当的管理用户帐户和密码凭据时输入它们，您就可以作为管理员运行这些程序。 如果您拥有其他域的管理帐户的凭据，运行方式允许您管理其他域或目录林中的服务器。 注：不能使用运行方式启动某些项目，例如桌面上的打印机文件夹、我的电脑和网上邻居。 使用运行方式 可以通过多种方法来使用运行方式： 使用运行方式来启动使用域管理员帐户凭据的命令解释器 1. 单击“开始”，然后单击“运行”。 2. 在“运行”对话框中，键入runas/user:domain_name\administratorcmd（其中domain_name是您的域名），然后单击“确定”。 3. 当系统提示输入domain_name\administrator帐户的密码时，键入管理员帐户的密码，然后按ENTER键。 4. 一个新控制台窗口打开，表示正在管理环境中运行。此控制台标题标识为作为domain_name\administrator运行。 使用运行方式来运行“控制面板”中的项目 1. 在WindowsXP或WindowsServer2003中，依次单击“开始”、“控制面板”。 2. 按住SHIFT键，同时右键单击您要在管理环境中运行的工具或程序（例如，“添加硬件”）。 3. 在快捷方式菜单上，单击“运行方式”。 4. 在“运行身份”对话框中，单击“下列用户”，然后键入相应的域名、管理员帐户名和密码；例如： CORPDOMAIN\Administrator 5. 单击“确定”。此程序在管理环境中运行。 使用运行方式来打开“开始”菜单中的程序（例如ActiveDirectory用户和计算机） 1. 在WindowsServer2003中，单击“开始”，指向“管理工具”，然后右键单击“ActiveDirectory用户和计算机”。 2. 在快捷方式菜单上，单击“运行方式”。 您还可以使用可执行命令行实用程序来运行程序，并从命令行启动管理控制台。 在本地计算机上作为管理员启动命令提示符实例 1. 单击“开始”，然后单击“运行”。 2. 在“运行”对话框中，键入runas/user:localputername\administratorcmd。 3. 单击“确定”。 4. 出现提示时，在命令提示符窗口中键入管理员密码，然后按ENTER键。 在corpdomain域中使用