Chia sẻ quản trị (Administrative Shares) được dùng trong Windows để truy cập và quản lý máy tính từ xa. Nếu bạn mở bảng điều khiển quản lý máy tính (compmgmt.msc), mở rộng System Tools -> Shared Folders -> Share, hoặc chạy lệnh net share, bạn sẽ thấy danh sách thư mục chia sẻ quản trị ẩn (các thư mục này ẩn trong Network Neighborhood và truy cập vào chúng bị hạn chế).
Chia sẻ ẩn quản trị trên Windows là gì?
Mặc định, Windows tạo các chia sẻ quản trị sau:
Admin$— Quản trị từ xa (đây là thư mục %SystemRoot%)IPC$— IPC từ xa (dùng trong named pipes)C$— Chia sẻ ổ mặc định
Nếu có các phân vùng khác trên máy tính được gán ký tự ổ, chúng cũng tự động được phát hành dưới dạng chia sẻ quản trị (D$, E$, v.v.). Nếu bạn dùng máy in chia sẻ, thì nên có chia sẻ Print$ hoặc FAX$ nếu dùng máy fax server.
Lưu ý rằng tên các chia sẻ quản trị kết thúc bằng $. Dấu này khiến LanmanServer ẩn các tài nguyên SMB này khi truy cập qua mạng (tệp và thư mục cụ thể trong thư mục chia sẻ mạng có thể ẩn bằng Access-Based Enumeration). Nếu bạn cố gắng xem danh sách thư mục chia sẻ mạng khả dụng trên máy tính trong File Explorer (\\computername), bạn sẽ không thấy chúng trong danh sách các chia sẻ SMB khả dụng.
Bạn có thể lấy danh sách chia sẻ quản trị khả dụng trên máy tính từ xa bằng lệnh:
net view \\computername /all
Hầu hết trình quản lý tệp bên thứ ba cho Windows có tùy chọn tự động hiển thị tài nguyên quản trị khả dụng trên máy tính từ xa khi duyệt mạng.
Để xem nội dung chia sẻ quản trị từ File Explorer, bạn phải chỉ định tên đầy đủ của nó. Ví dụ, \\computername\c$. Lệnh này sẽ mở nội dung ổ cục bộ C và cho phép truy cập hệ thống tệp ổ hệ thống của máy tính từ xa.
Chỉ thành viên của nhóm Administrators cục bộ (và nhóm Backup Operators) mới có thể truy cập chia sẻ quản trị, miễn là bạn đã bật SMB, bật chia sẻ tệp và máy in và truy cập qua cổng TCP 445 không bị chặn bởi quy tắc Windows Defender Firewall.
Cách tắt/bật Admin Shares trên Windows 10?
Chia sẻ quản trị Windows tiện lợi cho quản trị máy tính từ xa, nhưng chúng mang lại rủi ro bảo mật bổ sung (Ít nhất, bạn không nên dùng cùng mật khẩu administrator cục bộ trên tất cả máy tính. Dùng LAPS để làm mật khẩu độc nhất). Bạn có thể ngăn hoàn toàn Windows tạo các chia sẻ ẩn quản trị này.
Cách dễ nhất để xóa chia sẻ quản trị là nhấp chuột phải vào tên chia sẻ trong snap-in Computer Management và chọn Stop sharing (hoặc dùng lệnh net share Admin$ /delete). Tuy nhiên, sau khi khởi động lại Windows, chia sẻ Admin$ sẽ được tạo lại tự động.
Để ngăn Windows 10 phát hành chia sẻ quản trị, bạn cần mở registry editor (regedit.exe), vào khóa registry HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters và thêm tham số Dword tên AutoShareWks (cho phiên bản desktop Windows) hoặc AutoShareServer (cho Windows Server) với giá trị 0.
Bạn có thể tạo tham số registry này thủ công, từ công cụ dòng lệnh reg add, hoặc qua PowerShell:
reg add HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /f /v AutoShareWks /t REG_DWORD /d 0
hoặc
New-ItemProperty -Name AutoShareWks -Path HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters -Type DWORD -Value 0
Bạn có thể triển khai tham số registry này đến tất cả máy tính miền qua GPO.
Bây giờ, sau khi khởi động lại, chia sẻ quản trị sẽ không được tạo. Trong trường hợp này, các công cụ quản trị máy tính từ xa, bao gồm psexec, sẽ ngừng hoạt động.
Nếu bạn muốn bật chia sẻ quản trị trên Windows, bạn cần thay đổi giá trị tham số thành 1 hoặc xóa nó:
Set-ItemProperty -Name AutoShareWks -Path HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters -Value 1
Để Windows tạo lại chia sẻ ẩn quản trị, chỉ cần khởi động lại dịch vụ Server bằng lệnh:
Get-service LanmanServer | restart-service -verbose
Cho phép truy cập từ xa đến Admin Shares trên Windows 10 dùng LocalAccountTokenFilterPolicy
Có một vấn đề quan trọng khi làm việc với thư mục chia sẻ quản trị Windows trên máy tính không tham gia miền Active Directory (thuộc workgroup). Windows 10, mặc định, hạn chế truy cập từ xa đến chia sẻ quản trị cho người dùng là thành viên của nhóm Administrators cục bộ. Truy cập từ xa chỉ khả dụng dưới tài khoản Administrator tích hợp (bị vô hiệu hóa mặc định).
Chi tiết vấn đề như sau. Tôi đang cố gắng truy cập từ xa các chia sẻ quản trị tích hợp trên máy tính chạy Windows 10 thuộc workgroup (với tường lửa tắt) như sau:
- \\w10_pc\C$
- \\w10_pc\D$
- \\w10_pc\IPC$
- \\w10_pc\Admin$
Trong cửa sổ ủy quyền, tôi nhập thông tin đăng nhập của tài khoản là thành viên nhóm Administrators cục bộ trên Windows 10, và nhận lỗi “Access is denied”. Đồng thời, tôi có thể truy cập tất cả chia sẻ mạng và máy in chia sẻ trên Windows 10 (máy tính không ẩn trong Network Neighborhood). Ngoài ra, tôi có thể truy cập chia sẻ quản trị dưới tài khoản Administrator tích hợp. Nếu máy tính này tham gia miền Active Directory, truy cập chia sẻ quản trị từ tài khoản miền với đặc quyền quản trị không bị chặn.
Vấn đề nằm ở khía cạnh khác của chính sách bảo mật xuất hiện trong UAC – gọi là Remote UAC (User Account Control cho kết nối từ xa) lọc token của tài khoản cục bộ và Microsoft và chặn truy cập từ xa đến chia sẻ quản trị dưới các tài khoản này. Khi truy cập dưới tài khoản miền, hạn chế này không được áp dụng.
Bạn có thể tắt Remote UAC bằng cách tạo tham số LocalAccountTokenFilterPolicy trong registry
Mẹo. Điều này sẽ giảm nhẹ mức độ bảo mật Windows.
- Mở Registry Editor (regedit.exe);
- Đi đến khóa reg sau HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System ;
- Tạo tham số DWORD (32-bit) mới tên LocalAccountTokenFilterPolicy;
- Đặt giá trị LocalAccountTokenFilterPolicy thành 1;
- Khởi động lại máy tính để áp dụng thay đổi.
Lưu ý. Bạn có thể tạo tham số registry LocalAccountTokenFilterPolicy bằng lệnh sau:
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "LocalAccountTokenFilterPolicy" /t REG_DWORD /d 1 /f
Sau khi khởi động lại, thử mở từ xa chia sẻ C$ quản trị trên máy tính chạy Windows 10. Đăng nhập bằng tài khoản là thành viên nhóm Administrators cục bộ. Cửa sổ File Explorer nên mở với nội dung ổ C:\.
Lưu ý. Sau đó, các chức năng quản trị từ xa Windows 10 khác sẽ khả dụng. Bao gồm giờ bạn có thể kết nối từ xa với máy tính bằng snap-in Computer Management và các bảng điều khiển mmc tiêu chuẩn khác của Windows.
Vậy, chúng ta đã xem cách cho phép truy cập từ xa đến chia sẻ ẩn quản trị cho tất cả administrator cục bộ của máy tính chạy Windows 10 dùng khóa LocalAccountTokenFilterPolicy. Hướng dẫn này cũng áp dụng cho Windows 8.1, 7 và Windows Server.