Trong bài viết này, chúng ta sẽ xem cách quản lý quyền của người dùng không phải admin để khởi động lại hoặc tắt máy tính hoặc máy chủ Windows. Theo mặc định, người dùng không có đặc quyền có thể khởi động lại hoặc tắt chỉ các phiên bản Windows desktop, và không thể khởi động lại Windows Server (nút shutdown và restart không có sẵn trong menu Start). Có thể cho phép người dùng không có đặc quyền quản trị viên cục bộ khởi động lại Windows Server không? Cũng có nhiệm vụ ngược lại — làm thế nào để ngăn người dùng khởi động lại máy tính Windows 10 được dùng làm kiosk thông tin, bảng điều khiển điều độ, v.v.
Cho Phép/Ngăn Chặn Tùy Chọn Shutdown và Reboot cho Người Dùng Windows qua GPO
Bạn có thể thiết lập quyền để khởi động lại hoặc tắt Windows bằng tham số Shut down the system trong phần GPO Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → User Rights Assignment.
Xin lưu ý rằng quyền khởi động lại/tắt mặc định cho Windows 10 desktop và các phiên bản Windows Server là khác nhau.
Mở Local Group Policy Editor (gpedit.msc) và đi đến phần được chỉ định ở trên. Như bạn thấy, các thành viên của nhóm cục bộ Administrators, Users và Backup Operators có quyền tắt/khởi động lại máy tính chạy Windows 10.
Trên Windows Server 2016/2012 R2 chỉ Administrators hoặc Backup Operators mới có thể tắt hoặc khởi động lại máy chủ. Điều này hợp lý và đúng đắn, vì trong hầu hết các trường hợp người dùng không phải admin không được có đặc quyền tắt máy chủ từ xa (ngay cả nếu nó xảy ra đôi khi). Chỉ tưởng tượng một máy chủ RDSH thường bị tắt vì người dùng vô tình nhấp vào nút “Shutdown” trong menu Start…
Tuy nhiên, không có quy tắc nào không có ngoại lệ. Vì vậy nếu bạn muốn cho phép người dùng không có đặc quyền khởi động lại Windows Server của bạn, chỉ cần thêm tài khoản của họ vào chính sách này.
Bạn cũng có thể cấp quyền bắt đầu/dừng/khởi động lại dịch vụ cho người dùng không phải admin.
Hoặc ngược lại, bạn muốn ngăn người dùng các phiên bản Windows 10 desktop khởi động lại máy tính thực hiện một số chức năng máy chủ. Trong trường hợp này, chỉ cần xóa nhóm Users khỏi chính sách cục bộ Shut down the system.
Cùng cách đó, bạn có thể ngăn (hoặc cho phép) tắt/khởi động lại cho tất cả máy tính trong OU cụ thể của miền Active Directory của bạn bằng chính sách miền.
Trong trình soạn thảo Group Policy miền (gpmc.msc), tạo một chính sách mới Prevent_Shutdown, cấu hình tham số chính sách “Shut down the system” theo yêu cầu của bạn và gán nó cho OU chứa máy tính hoặc máy chủ.
Cho Phép Remote Shutdown/Restart Không Cần Quyền Admin
Bạn cũng có thể cho phép một số người dùng khởi động lại Windows Server của bạn từ xa bằng lệnh shutdown mà không cần cấp cho họ đặc quyền quản trị viên cục bộ hoặc quyền đăng nhập vào máy chủ của bạn bằng RDP.
Để làm điều đó, thêm tài khoản người dùng vào chính sách Force shutdown from a remote system trong cùng phần GPO (User Rights Assignment).
Theo mặc định, chỉ quản trị viên mới có thể tắt máy chủ từ xa. Thêm tài khoản người dùng vào chính sách.
Sau đó, người dùng sẽ nhận được đặc quyền SeRemoteShutdown và có thể khởi động lại máy chủ từ xa bằng lệnh này:
shutdown -m \\hamb-rds01 -r -f -t 0
Cách Xóa Tùy Chọn Shutdown/Restart trong Windows 10?
Cũng có một chính sách đặc biệt cho phép xóa các tùy chọn Shutdown, Restart và Hibernate khỏi màn hình Start hoặc menu Start. Chính sách này có tên Remove and Prevent Access to the Shut Down, Restart, Sleep, and Hibernate commands và nằm trong phần GPO sau: User Configuration → Administrative Templates → Start Menu and Taskbar.
Sau khi bạn bật chính sách này, người dùng sẽ chỉ có thể ngắt kết nối phiên hiện tại. Các nút Shutdown, Sleep và Restart sẽ trở nên không khả dụng.
Cách Biết Ai Đã Khởi Động Lại/Tắt Windows Server?
Sau khi bạn đã cấp cho người dùng đặc quyền khởi động lại máy chủ của bạn, bạn có thể muốn biết ai đã khởi động lại máy chủ: một người dùng hay một trong các quản trị viên.
Để làm điều đó, sử dụng Event Viewer (eventvwr.msc) log. Đi đến Windows Logs → System và lọc log theo Event ID 1074.
Trong bài viết Cách Phân Tích Nhật Ký Kết Nối RDP? chúng ta đã xem xét cách sử dụng Event Viewer để lấy thông tin về nhật ký truy cập RDP.
Như bạn thấy, có các sự kiện khởi động lại máy chủ trong log theo thứ tự thời gian. Mô tả sự kiện hiển thị thời gian khởi động lại, lý do và tài khoản đã khởi động lại máy chủ.
Log Name:System Source: User32 EventID: 1074 The process C:\Windows\system32\shutdown.exe (BE-BAK01) has initiated the restart of computer BE-BAK01 on behalf of user corp\jsmith for the following reason: No title for this reason could be found Reason Code: 0x800000ff Shutdown Type: restart Comment:
Cùng cách đó, bạn có thể lấy thông tin về các sự kiện tắt Windows gần đây. Để làm điều đó, lọc log theo Event ID 1076.