Как посмотреть права пользователя windows 10

В этой статье мы рассмотрим, как получить списки пользователей и групп, которым предоставлены права локальных администраторов на компьютерах и серверах Windows в вашей сети.

Просмотр локальных администраторов на локальном компьютере

В Windows вы можете просмотреть, добавить или удалить пользователей в локальной группе Administrators с помощью оснастки управления компьютером (
compmgmt.msc
). Разверните Computer Management -> Local users and Group -> Groups. Выберите группу Administrator.

По умолчанию на компьютере Windows, который добавлен в домен Active Directory, права администратора предоставляются локальным администраторам и доменной группе Domain Admins.

Все остальные пользователи или группу добавляются в группу администраторов отдельно (вручную, групповыми политиками, скриптами и т.д.).

Чтобы вывести состав локальной группы Administrators, можно воспользоваться командлетом Get-LocalGroupMember из встроенного модуля Microsoft.PowerShell.LocalAccounts.

Get-LocalGroupMember -Group "Administrators"

Обратите внимание, что в параметре Principal указан источник данного пользователя/группы. Это может быть Local, домен Active Directory или Azure AD.

Чтобы вывести только локальных пользователей с правами администратора:

Get-LocalGroupMember Administrators | Where-Object { (Get-LocalUser $_.SID -ErrorAction SilentlyContinue).Enabled }

Можно отфильтровать только пользователей из AD:

Get-LocalGroupMember Administrators | Where-Object {$_.PrincipalSource -eq "ActiveDirectory"} | select PrincipalSource,class,name,SID

Если на компьютере установлен модуль Active Directory for Windows PowerShell из пакета RSAT, вы можете получить дополнительную информацию о пользователях или группах AD по их SID.

В данном примере скрипт получит членов всех групп Active Directory, которые входят в состав локальных администраторов (список пользователей в группе AD получаем с помощью команды Get-ADGroupMember). Затем с помощью Get-ADUser мы получим SamAccountName и состояние учетной записи (Enabled = True/False)

$admins=Get-LocalGroupMember Administrators | Where-Object {$_.PrincipalSource -eq "ActiveDirectory"}
Foreach ($admin in $admins)
{
If ($admin.objectclass –eq "User") {get-aduser $admin.sid|select SamAccountName,enabled }
If ($admin.objectclass –eq "Group") {Get-ADGroupMember $admin.sid | foreach { Get-ADUser $_ |Select-Object SamAccountName,enabled }}
}

По аналогии вы можете получить любые другие атрибуты пользователей из Active Directory.

Получить список администраторов на удаленных компьютерах Windows

Рассмотренные выше пример позволяют получить список пользователей с правами администратора на локальном компьютере. Теперь рассмотрим, как удаленно получить состав группы локальных администраторов.

Для запуска команд на удаленных компьютерах должен быть настроен PowerShell Remoting (вы можете включить и настроить WinRM с помощью GPO) и открыт порт файервола TCP 5985 (вы можете открыть порт в Windows Defender Firewall через GPO).

Для выполнения команды на удаленном компьютере используется PowerShell командлет Invoke-Command. Следующая команда получит список администраторов на удаленном компьютере с именем wks-t1122:

Invoke-Command -ComputerName wks-t1122 -ScriptBlock{Get-LocalGroupMember -Name 'Administrators'|select Name,ObjectClass,PrincipalSource|ft}

Теперь рассмотрим, как получить список администраторов сразу с нескольких компьютеров. Для удобства мы сразу исключим группу Domain Admins из результатов:

$results = Invoke-Command wks-t112,srv-rds2 -ScriptBlock {Get-LocalGroupMember -Name 'Administrators'|where {$_.name –notlike “*Domain Admins*”}|select Name,ObjectClass,PrincipalSource}
$results | Select-Object PSComputerName,Name,ObjectClass,PrincipalSource

Можно экспортировать получившийся список пользователей и групп в CSV файл с помощью Export-CSV:

$results | Export-CSV "C:\PS\admins.CSV" -NoTypeInformation -Encoding UTF8

Вы можете опросить сразу множество компьютеров или серверов из домена. В данном примере я хочу получить список админов на всех Windows Server в AD. Получим список компьютеров с помощью Get-ADComputer:

$computers = (Get-ADComputer -Filter 'operatingsystem -like "*Windows server*" -and enabled -eq "true"').Name

Теперь запросим состав группы администраторов на каждом хосте:
$results = Invoke-Command -ComputerName $computers -ScriptBlock {Get-LocalGroupMember -Name 'Administrators'|where {$_.name –notlike "*Domain Admins*"}|select Name,ObjectClass,PrincipalSource} -ErrorAction SilentlyContinue

Удалить пользователей из группы локальных администраторов Windows

Администраторам предприятия крайне важно следить за составом группы локальных администраторах на рабочих станция Windows и серверах в сети. Нужно минимизировать количество пользователей с правами администраторов.

Чтобы вручную удалить пользователя из группы локальных админов, можно использовать команду:

Remove-LocalGroupMember -Group Administrators -Member username

Можно удалить пользователя из группы удаленно:

Invoke-Command -ComputerName wks-t1122 –ScriptBlock {Remove-LocalGroupMember -Group Administrators -Member username}

Но можно использовать более продвинутый сценарий. Допустим, вы сформировали список пользователей с правами администраторов на компьютерах и сохранили его в переменной $results.

$results = Invoke-Command wks-11,wks-22 -ScriptBlock {Get-LocalGroupMember -Name 'Administrators'|where {$_.name –notlike “*Domain Admins*”}|select Name,ObjectClass,PrincipalSource,SID}

Затем выведем список пользователей и компьютеров в виде списка Out-GridView:

$principals_to_remove=$results | Out-GridView -Title "Select principal to remove from local admins" -OutputMode Multiple

Теперь вы должны выбрать в таблице пользователей, которых нужно удалить из группы администраторов (зажмите CTRL, чтобы выделить несколько строк в таблице), и выполнить код:

foreach ($principal in $principals_to_remove)
{
Invoke-Command $principal.PSComputerName -ScriptBlock {Remove-LocalGroupMember -Group Administrators -Member $using:principal.name}
}

Примечание. Конструкция
$using:principal.name
позволяет передать значение локальной переменной с вашего компьютера в удаленную сессию PSRemoting.

В результате, выбранные вами пользователи будут удалены из групп локальных администраторов на удаленных компьютерах Windows.

Для установки Microsoft 365, Office 2019, Office 2016 или Office 2013 на компьютере необходимо быть его администратором.

Если вы не являетесь администратором, после появления диалогового окна «Контроль учетных записей» во время установки Office обладатель прав администратора на компьютере должен ввести свое имя пользователя и пароль, а затем нажать кнопку Да для продолжения установки.

Как узнать, являетесь ли вы администратором

Проверка наличия прав администратора на компьютере и действия в случае их отсутствия зависят от того, присоединен ли компьютер к домену.

Совет: Домен позволяет администратору сети организации (компании или образовательного учреждения) управлять всеми компьютерами в своем окружении. Чтобы узнать, присоединен ли компьютер к домену, выполните указанные ниже действия.

Откройте Панель управления, а затем в разделе Система и безопасность щелкните ссылку Система. Если компьютер присоединен к домену, внизу раздела Просмотр основных сведений о вашем компьютере можно будет увидеть пункт Домен с именем домена. Если компьютер не присоединен к домену, вы увидите пункт Рабочая группа с именем рабочей группы, к которой принадлежит компьютер.

Выберите свою операционную систему.

Компьютер не присоединен к домену

1. Нажмите кнопку Пуск и введите словосочетание Панель управления.

2. В окне панели управления откройте раздел Учетные записи пользователей и щелкните ссылку Изменение типа учетной записи.

3. Выберите вариант Администратор. Если вы не можете выбрать этот вариант, обратитесь к обладателю прав администратора на компьютере и попросите назначить вам привилегии администратора или ввести свое имя администратора и пароль при запросе во время установки Office.

Компьютер присоединен к домену

1. Нажмите кнопку Пуск и введите словосочетание Панель управления.

2. В окне панели управления откройте раздел Учетные записи пользователей и щелкните ссылку Изменение типа учетной записи.

3. В окне «Учетные записи пользователей» нажмите кнопку Свойства и откройте вкладку Членство в группах.

4. Выберите вариант Администратор. Если вы не можете выбрать этот вариант, обратитесь к обладателю прав администратора на компьютере и попросите назначить вам привилегии администратора или ввести свое имя администратора и пароль при запросе во время установки Office.

Компьютер не присоединен к домену

1. Нажмите кнопку Пуск и выберите пункт Панель управления.

2. В окне панели управления выберите пункты Учетные записи пользователей и семейная безопасность >Учетные записи пользователей > Изменить тип учетной записи.

3. Выберите вариант Администратор. Если вы не можете выбрать этот вариант, обратитесь к обладателю прав администратора на компьютере и попросите назначить вам привилегии администратора или ввести свое имя администратора и пароль при запросе во время установки Office.

Компьютер присоединен к домену

1. Нажмите кнопку Пуск и выберите пункт Панель управления.

2. В окне панели управления выберите пункты Учетные записи пользователей и семейная безопасность >Учетные записи пользователей > Изменить тип учетной записи.

3. В окне «Учетные записи пользователей» нажмите кнопку Свойства и откройте вкладку Членство в группах.

4. Выберите вариант Администратор. Если вы не можете выбрать этот вариант, обратитесь к обладателю прав администратора на компьютере и попросите назначить вам привилегии администратора или ввести свое имя администратора и пароль при запросе во время установки Office.

Компьютер не присоединен к домену

1. Нажмите кнопку Пуск и выберите пункт Панель управления.

2. В окне панели управления выберите пункты Учетные записи пользователей и семейная безопасность > Изменить тип учетной записи.

3. Выберите вариант Администратор. Если вы не можете выбрать этот вариант, обратитесь к обладателю прав администратора на компьютере и попросите назначить вам привилегии администратора или ввести свое имя администратора и пароль при запросе во время установки Office.

Компьютер присоединен к домену

1. Нажмите кнопку Пуск и выберите пункт Панель управления.

2. В окне панели управления выберите пункты Учетные записи пользователей и семейная безопасность > Управление учетными записями.

3. В окне «Учетные записи пользователей» нажмите кнопку Свойства и откройте вкладку Членство в группах.

4. Выберите вариант Администратор. Если вы не можете выбрать этот вариант, обратитесь к обладателю прав администратора на компьютере и попросите назначить вам привилегии администратора или ввести свое имя администратора и пароль при запросе во время установки Office.

Windows 10 имеет два типа учётных записей: Стандартный пользователь и Администратор. Стандартные пользователи могут выполнять все обычные повседневные задачи, такие как запуск программ, просмотр веб-страниц, проверка электронной почты, просмотр потоковых сервисов и так далее. Тем не менее, если вы хотите выполнять задачи, которые производят существенные изменения в системе, такие как установка программного обеспечения; добавка, удаление или изменение учётных записей пользователей; или запускать системные команды, вам потребуется учётная запись администратора. Если у вас свой ​​собственный компьютер, вы определённо захотите иметь учётную запись администратора (в противном случае, вы не сможете устанавливать программное обеспечение или делать важные изменения в системе). Если вы пользуетесь компьютером совместно с кем-то, кому можно доверять, и кто не будет делать каких-либо резких изменений, которые могут нанести вред системе, вы можете сделать аккаунт этого человека тоже Администратором.

Вот как быстро узнать, принадлежит ли учётная запись, которую вы используете к Администраторам или нет:

• Нажмите на кнопку Пуск.
• Щёлкните правой кнопкой мыши на имени (или значке, в зависимости от версии Windows 10) текущего аккаунта, который находится в верхней левой части меню Пуск, а затем нажмите «Изменить параметры учётной записи».
• Появится окно Параметры и под именем учётной записи, если вы видите слово «Администратор», то это учётная запись администратора.

Теперь, если вы на самом деле с используете учётную запись администратора, и хотите переключить другую учётную запись из стандартной на администратора (вы не можете изменить ту учётную запись, с которой вошли), продолжите этими шагами в окне Параметры (эти параметры не доступны, если вы используете стандартную учётную запись):

• Нажмите на «Другие пользователи» (или «Семья и другие пользователи», если вы используете последнюю сборку 1607 Windows 10).
• Нажмите на название учётной записи, которую вы хотите изменить.
• Нажмите на «Изменить тип учётной записи» и выберите нужный тип.
• Нажмите кнопку «ОК».

Имейте в виду, что как правило, стандартный пользователь не может нанести вред компьютеру, так что если вы хотите убедиться, что вы случайно не вызовете проблемы для своего компьютера, лучше свести ваше ежедневное использование компьютера со стандартной учётной записью и использовать учётную запись администратора только тогда, когда вам нужно произвести серьёзные изменения в системе. В большинстве случаев, когда вы используете стандартную учётную запись и хотите внести изменения, которые требуют учётной записи администратора (например, установка игры), вам будет предложено ввести имя пользователя и пароль учётной записи администратора, то есть вам не нужно будет переключаться на другой аккаунт.