Cách tắt/ thay đổi User Account Control (UAC) bằng Group Policy

User Account Control (UAC) là thành phần quan trọng của bảo mật Windows. Khi bạn chạy bất kỳ ứng dụng hoặc tiến trình nào yêu cầu đặc quyền quản trị, cố gắng thay đổi cài đặt hệ thống, khóa registry được bảo vệ hoặc tệp hệ thống, thành phần UAC chuyển desktop sang chế độ bảo vệ (Secure Desktop) và yêu cầu quản trị viên xác nhận các hành động này. Như vậy, UAC giúp ngăn chặn việc chạy tiến trình và phần mềm độc hại có thể gây hại cho máy tính của bạn.

Ảnh chụp màn hình dưới đây cho thấy khi bạn cố gắng chạy Registry Editor (regedit.exe) trên Windows 10, cửa sổ xác nhận UAC xuất hiện:

User Account Control Do you want to allow this app to make changes to your device?

UAC không được bật cho tài khoản administrator tích hợp, tài khoản này bị vô hiệu hóa mặc định trong Windows 10.

Trong bài viết này, chúng ta sẽ xem cách quản lý cài đặt UAC trên một máy tính đơn lẻ hoặc nhiều máy tính trong miền bằng Group Policies.

Các mức thanh trượt User Account Control trên Windows 10

Trong Windows 7 (và mới hơn), cài đặt UAC trên máy tính được quản lý bằng một thanh trượt đặc biệt (được gọi qua bảng điều khiển hoặc tệp UserAccountControlSettings.exe). Sử dụng thanh trượt, bạn có thể chọn một trong bốn mức bảo vệ User Account Control được định nghĩa trước.

• Mức 4 — Luôn thông báo — mức bảo vệ UAC cao nhất;
• Mức 3 — Chỉ thông báo khi chương trình cố gắng thay đổi máy tính của tôi (mặc định) – mức bảo vệ mặc định;
• Mức 2 — Chỉ thông báo khi chương trình cố gắng thay đổi máy tính của tôi (không làm tối desktop) – gần giống mức trước, nhưng không chuyển sang Secure Desktop với khóa màn hình;
• Mức 1 — Không bao giờ thông báo – UAC bị tắt.

Mặc định trong Windows 10, mức bảo vệ UAC Mức 3 được sử dụng, chỉ hiển thị thông báo khi bạn cố gắng thay đổi tệp hoặc cài đặt hệ thống.

Cách tắt User Account Control trong Windows bằng GPO?

Trong hầu hết các trường hợp, không khuyến khích tắt hoàn toàn UAC. User Account Control là công cụ bảo mật Windows đơn giản nhưng hiệu quả. Trong thực tế, tôi không bao giờ tắt UAC trên máy tính người dùng nếu không chắc chắn UAC chặn một số chức năng. ngay cả trong những trường hợp này, cũng có giải pháp thay thế đơn giản để tắt UAC cho một ứng dụng cụ thể, hoặc chạy ứng dụng mà không cần quyền admin và ẩn lời nhắc UAC.

Bạn có thể tắt UAC bằng Group Policy. Trên máy tính độc lập, bạn có thể dùng Local Group Policy Editor gpedit.msc. Nếu cần triển khai chính sách cho máy tính miền, bạn cần dùng Group Policy Management Console – gpmc.msc (hãy xem xét tùy chọn này).

1. Trong bảng điều khiển quản lý GPO miền, nhấp vào OU chứa máy tính mà bạn muốn tắt UAC và tạo đối tượng chính sách mới;
2. Chỉnh sửa chính sách và vào phần Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Local Policies -> Security Options;
3. Phần này có một số tùy chọn kiểm soát cài đặt UAC. Tên các tham số này bắt đầu bằng User Account Control;
4. Để tắt hoàn toàn UAC, đặt các giá trị tham số sau:
   • User Account Control: Behavior of the elevation prompt for administrators in Admin Approval Mode = Elevate without prompting;
   • User Account Control: Detect application installations and prompt for elevation = Disabled;
   • User Account Control: Run all administrators in Admin Approval Mode = Disabled;
   • User Account Control: Only elevate UIAccess applications that are installed in secure locations = Disabled.
5. Bạn cần khởi động lại máy tính khách để cập nhật cài đặt Group Policy và tắt UAC. Sau khi khởi động lại, UAC sẽ chuyển sang chế độ “Never notify”.

Bạn cũng có thể tắt UAC chỉ cho một số người dùng/máy tính qua registry, và triển khai cài đặt thông qua Group Policy Preferences.

Tạo tham số registry mới trong phần GPO Computer Configuration -> Preferences -> Windows Settings -> Registry với cài đặt sau:

• Action: Replace
• Hive: HKEY_LOCAL_MACHINE
• Key Path: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
• Value name: EnableLUA
• Value type: REG_DWORD
• Value data: 0

Sau đó chuyển đến tab Common và bật các tùy chọn:

• Remove this item when it is no longer applied
• Item-Level targeting

Nhấn nút Targeting và chỉ định máy tính hoặc nhóm bảo mật miền mà bạn muốn áp dụng chính sách tắt UAC.

Ngay cả khi UAC bị tắt, một số ứng dụng vẫn có thể bị chặn khởi chạy với thông báo This app has been blocked for your protection.

Cài đặt khóa Registry UAC

Bạn có thể quản lý cài đặt UAC thông qua registry. Các tham số chịu trách nhiệm về hành vi của User Account Control nằm dưới khóa registry HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System.

Khi bạn thay đổi giá trị thanh trượt UAC trong Control Panel, Windows thay đổi giá trị các cài đặt registry từ khóa này như sau (dưới đây là các tệp REG sẵn cho các mức khác nhau của thanh trượt User Account Control):

Mức UAC 4 (Luôn thông báo):

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"ConsentPromptBehaviorAdmin"=dword:00000002
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableVirtualization"=dword:00000001
"PromptOnSecureDesktop"=dword:00000001
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000

Mức UAC 3 (Chỉ thông báo khi chương trình cố gắng thay đổi máy tính của tôi):

"ConsentPromptBehaviorAdmin"=dword:00000005
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableVirtualization"=dword:00000001
"PromptOnSecureDesktop"=dword:00000001
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000

Mức UAC 2:

"ConsentPromptBehaviorAdmin"=dword:00000005
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableVirtualization"=dword:00000001
"PromptOnSecureDesktop"=dword:00000000
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000

Mức UAC 1 (Không bao giờ thông báo — tắt hoàn toàn UAC):

"ConsentPromptBehaviorAdmin"=dword:00000000
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableVirtualization"=dword:00000001
"PromptOnSecureDesktop"=dword:00000000
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000

Bạn có thể thay đổi giá trị bất kỳ tham số nào bằng GUI Registry Editor hoặc từ dấu nhắc lệnh. Ví dụ, để tắt UAC trên máy tính (yêu cầu khởi động lại), bạn có thể chạy lệnh:

reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f.

Hoặc lệnh PowerShell tương tự:

New-ItemProperty -Path HKLM:Software\Microsoft\Windows\CurrentVersion\policies\system -Name EnableLUA -PropertyType DWord -Value 0 -Force

Có một tham số registry khác trong chuỗi này, LocalAccountTokenFilterPolicy, thường được gọi là Remote UAC. Tham số này hạn chế kết nối từ xa đến chia sẻ quản trị mặc định dưới tài khoản người dùng cục bộ có đặc quyền quản trị.

User Account Control trên Windows Server

User Account Control trong Windows Server hoạt động và được quản lý theo cách giống như trên các phiên bản Windows desktop.

Chấp nhận được việc tắt hoàn toàn UAC trong Windows Server 2016/2019 nếu các điều kiện sau đúng:

• Chỉ quản trị viên mới có quyền truy cập từ xa đến desktop máy chủ (truy cập RDP vào máy chủ cho người dùng không phải admin phải bị tắt). Trên máy chủ RDS, giữ UAC bật;
• Quản trị viên chỉ nên dùng Windows Server cho các tác vụ quản trị. Quản trị viên nên làm việc với tài liệu văn phòng, trình nhắn tin, trình duyệt web chỉ trên trạm làm việc dưới tài khoản người dùng không đặc quyền với UAC bật, không phải trên máy chủ (xem bài viết về các phương pháp hay nhất bảo mật tài khoản quản trị viên).

UAC luôn bị tắt trong các phiên bản Windows Server Core.

Khi UAC được bật, Windows Server không cho phép kết nối từ xa dưới tài khoản máy tính cục bộ (qua net use, winrm, Powershell Remoting). Token của người dùng sẽ bị lọc bởi tham số UAC LocalAccountTokenFilterPolicy đã bật (được thảo luận ở phần trước).

Thanh trượt UAC và cài đặt Group Policy

Bạn có thể quản lý cài đặt UAC cả bằng thanh trượt và GPO. Nhưng không có tham số Group Policy đơn nào cho phép chọn một trong bốn mức bảo vệ UAC (tương ứng với vị trí thanh trượt UAC). Khuyến nghị quản lý cài đặt UAC bằng 10 tham số GPO khác nhau. Các chính sách này nằm trong phần sau của trình chỉnh sửa GPO: Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Local Policies -> Security Options. Các tham số GPO liên quan đến UAC bắt đầu bằng User Account Control.

Bảng sau hiển thị danh sách tham số UAC Group Policy và khóa registry tương ứng.

Mặc định, UAC Mức 3 sử dụng các cài đặt Group Policy sau:

UAC Mức 3 (mặc định)

Admin Approval Mode for the Built-in Administrator account = Disabled
Allow UIAccess applications to prompt for elevation without using the secure desktop = Disabled
Behavior of the elevation prompt for administrators in Admin Approval Mode = Prompt for consent for non-Windows binaries
Behavior of the elevation prompt for standard users = Prompt for credentials on the secure desktop
Detect application installations and prompt for elevation = Enabled (cho Workgroup), Disabled (cho thiết bị Windows tham gia miền)
Only elevate executables that are signed and validated = Disabled
Only elevate UIAccess applications that are installed in secure locations = Enabled
Run all administrators in Admin Approval Mode = Enabled
Switch to the secure desktop when prompting for elevation = Enabled
Virtualize file and registry write failures to per-user locations = Enabled