Нет доступа к административным ресурсам windows 10

Административные шары (Admin$, IPC$, C$, D$) – это скрытые сетевые ресурсы, предоставляющие доступ к определенным директориям на компьютере Windows. Admin$ предоставляет доступ к директории Windows, IPC$ – к интерпретатору команд, C$ и D$ – к корневым директориям на дисках C и D соответственно.

Управление административными шарами можно осуществлять на уровне компьютера или групповой политики.

Для управления административными шарами на уровне компьютера можно использовать реестр. Необходимо зайти в редактор реестра, перейти к разделу HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters и изменить значения параметров:

• AutoShareServer – отвечает за шару Admin$;
• AutoShareWks – отвечает за шары C$, D$ и IPC$.

Установите значение AutoShareServer и/или AutoShareWks в 0, чтобы отключить соответствующий административный шар.

Для управления административными шарами с помощью групповой политики необходимо создать новую групповую политику и задать параметры:

• Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options\Network access: Shares that can be accessed anonymously – для управления доступом к административным шарам с использованием анонимного доступа;
• Computer Configuration\Administrative Templates\Network\Lanman Workstation\Enable insecure guest logons – для разрешения или запрещения использования анонимного доступа.

Задайте нужные значения параметров и примените групповую политику к нужным компьютерам в домене.

Административные общие ресурсы (общие ресурсы) используются в Windows для удаленного доступа и управления компьютером. Если вы откроете Консоль управления компьютером (

compmgmt.msc

), развернете Системные инструменты -> Общие папки -> Раздел «Общий доступ» или запустите команду

net share

, вы увидите список административных общих папок (эти папки скрыты в Моей сети и доступ к ним ограничен).

По умолчанию Windows создает следующие области администрирования:

• Admin$– Удаленный администратор (это каталог% SystemRoot%)
• IPC$– удаленный IPC (используется в именованных каналах)
• C$– Совместное использование по умолчанию

Если на компьютере есть другие разделы, которым назначена буква диска, они также автоматически публикуются как административные общие ресурсы (

D$

,

E$

и т.д.). Если вы используете общий принтер, должен быть шар

Print$

или

FAX$

– при использовании факс-сервера.

Обратите внимание, что общие названия административных шаров заканчиваются на $. Этот токен заставляет службу LanmanServer скрывать эти ресурсы SMB при доступе к сети (определенные файлы и папки в общей сетевой папке могут быть скрыты с помощью перечисления на основе входа в систему). Если вы попытаетесь просмотреть список сетевых папок (

\\computername

), доступных на вашем компьютере, в проводнике Windows, вы не увидите их в списке доступных общих ресурсов SMB.

вы можете получить список административных общих ресурсов, доступных на удаленном компьютере, с помощью команды:

net view \\computername /all

Большинство сторонних файловых менеджеров для Windows имеют возможность автоматически отображать административные ресурсы, доступные на удаленных компьютерах.

Чтобы открыть содержимое административного общего ресурса из проводника, необходимо указать его полное имя. Например,

\\computername\c$

. Эта команда откроет содержимое локального диска C и позволит вам получить полный доступ к файловой системе системного диска удаленного компьютера.

Только члены группы администраторов локального компьютера (и группы операторов резервного копирования) могут получить доступ к административным сферам при условии, что SMB включен, общий доступ к файлам и принтерам включен и доступ через TCP-порт 445 не заблокирован из брандмауэра Защитника Windows.

Сферы администрирования Windows полезны для удаленного администрирования компьютеров, но они сопряжены с дополнительными рисками безопасности (как минимум, вы не должны использовать один и тот же пароль локального администратора на всех компьютерах. Чтобы сделать пароли уникальными, используйте LAPS). Вы можете полностью запретить Windows создавать эти скрытые ресурсы.

Самый простой способ – щелкнуть правой кнопкой мыши имя административного ресурса в оснастке «Управление компьютером» и выбрать «Остановить совместное использование» (или использовать команду

net share IPC$ /delete

). Однако после перезапуска Windows он будет автоматически создан заново.

Чтобы Windows не публиковала административные общие ресурсы, вам необходимо открыть редактор реестра regedit.exe, перейти в раздел реестра HKLM \ System \ CurrentControlSet \ Services \ LanmanServer \ Parameters и добавить параметр Dword с именем AutoShareWks (для настольных версий Windows) или AutoShareServer (для Windows Server) и значение 0.

Вы можете создать этот параметр реестра вручную, из командной строки reg add или через PowerShell:

reg add HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /f /v AutoShareWks /t REG_DWORD /d 0

или

New-ItemProperty -Name AutoShareWks -Path HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters -Type DWORD -Value 0

Вы можете распространить этот раздел реестра на компьютеры домена с помощью объекта групповой политики.

Теперь после перезагрузки административные сферы создаваться не будут. В этом случае утилиты удаленного управления компьютером, в том числе psexec, перестанут работать.

Если вы хотите включить шарики админки, вам нужно изменить значение параметра на 1 или удалить его.

Set-ItemProperty -Name AutoShareWks -Path HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters -Value 1

Чтобы Windows воссоздала административные общие ресурсы, просто перезапустите службу сервера с помощью команды:

Get-service LanmanServer | restart-service

Разрешаем удаленный доступ к административным шарам Windows 10

При работе с административными сферами Windows на компьютере, который не присоединен к домену Active Directory (принадлежит рабочей группе), есть важная особенность. Windows 10 блокирует удаленный доступ к предопределенным административным сферам под пользователем, который является членом группы локальных администраторов. Также этот вход работает со встроенной учетной записью локального администратора (по умолчанию она отключена.

Еще несколько подробностей о том, как выглядит проблема. Я пытаюсь с удаленного компьютера получить доступ к интегрированным административным ресурсам компьютера с Windows 10, который находится в рабочей группе (с отключенным брандмауэром) следующим образом:

• \\win10_pc\C$
• \\win10_pc\IPC$
• \\win10_pc\Admin$

В окне авторизации я ввожу имя и пароль учетной записи, которая является членом группы локальных администраторов Windows 10, которая отображает ошибку доступа (Доступ запрещен). В то же время доступ к сетевым каталогам и общим принтерам в Windows 10 работает нормально (компьютер отображается в «Мое сетевое окружение»). Доступ к административным ресурсам со встроенной учетной записью администратора также работает. Если этот компьютер входит в домен Active Directory, доступ к сферам администрирования не блокируется даже в учетных записях домена с правами администратора.

Дело в другом аспекте политики безопасности, появившейся в UAC: так называемом удаленном UAC (User Account Control for Remote Connections), который фильтрует токены доступа для локальных учетных записей и учетных записей Microsoft, блокируя удаленный административный доступ под этими учетными записями. Это ограничение не применяется при входе в систему с учетной записью домена.

Вы можете отключить удаленный UAC, создав параметр LocalAccountTokenFilterPolicy в реестре

Совет. Эта операция несколько снижает уровень безопасности Windows.

1. Откройте редактор реестра (regedit.exe);
2. Перейдите в ветку реестра HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Policies \ System ;
3. Создайте новый параметр DWORD (32-разрядный) с именем LocalAccountTokenFilterPolicy;
4. Установите для параметра LocalAccountTokenFilterPolicy значение 1;
5. Вам нужно будет перезагрузить компьютер, чтобы изменения вступили в силу

Примечание. Вы можете создать параметр LocalAccountTokenFilterPolicy с помощью одной команды

reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "LocalAccountTokenFilterPolicy" /t REG_DWORD /d 1 /f

После перезагрузки попробуйте удаленно открыть административный каталог C $ на компьютере с Windows 10. Войдите в систему, используя учетную запись, которая является членом группы локальных администраторов. Должно открыться окно проводника с содержимым диска C:\.

Примечание. Позже будут доступны и другие функции удаленного управления Windows 10. Теперь вы можете удаленно подключаться к компьютеру с помощью оснастки «Управление компьютером» и других стандартных консолей.

Итак, мы разобрались, как использовать параметр LocalAccountTokenFilterPolicy, чтобы разрешить удаленный доступ к скрытым административным ресурсам для всех локальных администраторов на компьютере с Windows. Инструкции также применимы к Windows 8.1, 7 и Windows Server.

Источник изображения: winitpro.ru