答：在Windows7操作系統(tǒng)中，提出了一個新的計算機安全管理機制，即UAC(用戶帳戶控制)。這個功能到底有什么用呢?簡單的說，就是其他用戶對操作系統(tǒng)做了更改，而這些更改需要有管理員權(quán)限的，此時操作系統(tǒng)就會自動通知管理員，讓其判斷是否允許采用這個更改。雖然在以前的版本中，也有這方面的限制。但是在Windows7中有了很大的改善。其不但對細分了控制的級別，而且還會自動通知管理員。
一、管理員根據(jù)需要可以選擇不同的控制級別
在Windows7 中，將這個控制級別分為四個級別。最高的級別是“始終通知我”，即用戶安裝應(yīng)用軟件或者對應(yīng)用軟件進行升級、應(yīng)用軟件在用戶知情或者不知情的情況下對操作系統(tǒng)進行更改、修改Windows設(shè)置等等，都會向系統(tǒng)管理員匯報。
第二個級別為“僅在應(yīng)用程序試圖嘗試改變計算機時”通知系統(tǒng)管理員。這個級別是操作系統(tǒng)的默認控制級別。他與第一個級別的主要差異就在于改變Windows設(shè)置時不會通知系統(tǒng)管理員。在這個級別下，即使操作系統(tǒng)上有惡意程序在運行，也不會給操作系統(tǒng)造成多大的負面影響。因為其惡意程序不能夠在系統(tǒng)管理員不知情的情況下修改系統(tǒng)的配置，如更改注冊表、更改IE瀏覽器的默認頁面、更改服務(wù)啟動列表等等。為此對于大部分用戶來說，特別是企業(yè)用戶來說，這個安全級別已經(jīng)夠用。級別太高的話，就太過于死板了。可能系統(tǒng)管理員要不斷的為此奔忙了。
第三個級別與第四個級別其安全性逐漸降低，最后到所有都不通知為止。其實這個控制級別跟原先IE瀏覽器的控制級別類似，都是微軟自定義的控制級別。作為系統(tǒng)管理員需要了解各個級別控制的具體內(nèi)容，然后根據(jù)企業(yè)的實際情況，來設(shè)置安全級別。通常來說，安全級別越高，操作系統(tǒng)越安全。但是系統(tǒng)管理員可能需要抽出更多的時間來應(yīng)對用戶的抱怨。因為可能用戶對操作系統(tǒng)任何的更改都需要告知系統(tǒng)管理員。魚與熊掌不可兼得，系統(tǒng)管理員需要在安全與便利性上取得一個均衡。
二、用戶權(quán)利不夠如何通知系統(tǒng)管理員
不知道各位讀者有沒有用過微軟或者其他公司的工作流產(chǎn)品?其實微軟在這個問題的處理上就是借鑒了工作流得處理方法。當(dāng)用戶試圖更改某個設(shè)置或者安全某個應(yīng)用程序，當(dāng)其權(quán)限不夠時，系統(tǒng)就會向管理者發(fā)送一個請求。當(dāng)系統(tǒng)管理員下次登陸系統(tǒng)時就會看到一個對話框。在對話框中顯示了用戶需要更改的設(shè)置或者要安裝的應(yīng)用程序。系統(tǒng)管理員要仔細查看這些信息，以判斷是否會破壞系統(tǒng)的穩(wěn)定性。然后可以通過這個對話框告訴操作系統(tǒng)，允許或者拒絕用戶的更改操作。最后，系統(tǒng)會把系統(tǒng)管理員的這個決定反饋給用戶。用戶就可以繼續(xù)后續(xù)的操作了。如果系統(tǒng)管理員同意的話，就可以安裝應(yīng)用程序或者更改操走系統(tǒng)的配置。顯然，這個流程的話大家非常的熟悉。不錯，這就是一個工作流處理流程。在Windows7操作系統(tǒng)中，很多地方都可以看到這個工作流的身影。這也是Windows7 操作系統(tǒng)人性化的體現(xiàn)。
三、關(guān)掉UAC控制
如果用戶不喜歡這個先進的東西，而是喜歡Window的控制方案，這也是可以的。系統(tǒng)管理員只需要將這個級別調(diào)到第四個級別，即關(guān)掉UAC控制。此時，跟以前的操作系統(tǒng)版本一樣，任何的改變不會告知系統(tǒng)管理員。如當(dāng)用戶以管理員的身份登陸到操作系統(tǒng)中，則應(yīng)用程序?qū)Σ僮飨到y(tǒng)所作的任何更改都將不會提醒管理員，而是直接應(yīng)用了相關(guān)的更改。
可見，此時如果是一些惡意的程序在進行更改，則會在神不知鬼不覺的情況下，更改了系統(tǒng)的某些設(shè)置，如網(wǎng)頁、注冊表等等。如果用戶是以普通標(biāo)準(zhǔn)用戶登錄操作系統(tǒng)的，如果其所作的操作，包括安裝或者升級應(yīng)用程序、更改操作系統(tǒng)配置等等，只要其沒有相關(guān)的權(quán)限，則操作系統(tǒng)就會直接拒絕掉。也就是，不會采用工作流的形式去通知管理員。如果用戶確實有這個需要的話，只有口頭去通知，并讓系統(tǒng)管理員調(diào)整相關(guān)的權(quán)限。當(dāng)系統(tǒng)管理員將這個UAC控制從高級別調(diào)到這第四個級別，必須重新啟動后這個控制級別才會生效。
當(dāng)系統(tǒng)管理員關(guān)閉這個UAC的話，就必須要小心各種應(yīng)用程序可能對操作系統(tǒng)所造成的破壞，因為應(yīng)用程序只要以管理員帳戶運行，則其就可以訪問或者修改那些受保護的區(qū)域、用戶的私人數(shù)據(jù)等等。也就是說，其應(yīng)用程序的權(quán)限就跟系統(tǒng)管理員的權(quán)限相同。另外一些惡意程序也可以在系統(tǒng)管理員不知情的情況下跟網(wǎng)絡(luò)中的其他電腦、甚至互聯(lián)網(wǎng)上的主機進行通信與數(shù)據(jù)傳輸，以達到破壞的作用。
其實這個UAC控制級別，在某方面看起來跟操作系統(tǒng)的個人防火墻比較類似。當(dāng)任何應(yīng)用程序有修改操作系統(tǒng)配置的行為(更改IE主頁、修改注冊表、把某個服務(wù)設(shè)置為自動啟動)，都會向用戶提示。當(dāng)應(yīng)用程序要向互聯(lián)網(wǎng)發(fā)送信息時，也會告知用戶。為此如果系統(tǒng)管理員用不慣這個功能，需要關(guān)閉它的話，最好能夠采用其他的安全措施來替代。如可以利用這個個人防火墻來代替UAC控制級別。雖然其不能夠?qū)崿F(xiàn)UAC的所有功能，但是一些核心的保護功能個人防火墻已經(jīng)可以勝任。確實，如果企業(yè)現(xiàn)在已經(jīng)部署了個人防火墻，那么在推廣Windows7操作系統(tǒng)的時候，如果再采用這個UAC控制的話，就重復(fù)了。反而可能會造成用戶的反感。總之，系統(tǒng)管理員要根據(jù)自己與用戶的操作系統(tǒng)，在這兩個方案中選擇一個即可。多了反而是累贅。
四、通過域安全策略來統(tǒng)一這個管理級別
企業(yè)中的客戶端數(shù)量往往不在少數(shù)。一個系統(tǒng)管理員管理的客戶端沒有幾百臺的話，也有幾十臺。如果一一的去調(diào)整這個UAC的控制級別，顯然是一項重復(fù)、無挑戰(zhàn)性的工作。根據(jù)筆者的測試，其實這個UAC控制級別可以跟組策略或者域安全策略結(jié)合使用。即可以在域控制器級別上或者組級別上設(shè)置這個級別。然后當(dāng)客戶端加入到這個域或者這個組的話，就會繼承這個管理級別。也就是說，不需要在各個客戶端上再進行一一配置。說實話，微軟在這方面一直都做的不錯。雖然微軟的域環(huán)境搭建與管理起來是復(fù)雜一點，但是其功能還是比較強大的。如果要讓W(xué)indows操作系統(tǒng)的一些高級功能應(yīng)用的更加順手，則這個域環(huán)境往往是少不了的。至少這個域環(huán)境能夠提供一個統(tǒng)一管理各個客戶端的平臺。
