คุณเป็น Network Administrator ของครอบครัว/บ้าน? ระยะหนึ่ง คนใกล้ชิดจะติดตั้งอะไรอันตราย หรือทำแตกสิ่งโดยไม่ได้ตั้งใจ นั่นคือเหตุผลที่ "ประเภท User Account ใน Windows" ทำความแตกต่าง
หากทุกคนในเครือข่ายใช้ Administrator Account คุณจะมีเวลายากลำบาก แต่มีข้อมูลสับสนมากเกี่ยวกับว่า Standard Account ทำได้/ไม่ได้อะไร นี่คือสิ่งที่คุณต้องรู้
Windows User Accounts คืออะไร
ทุกครั้งที่ใช้ Windows 10 คุณ Login เข้า User Account หากคุณเป็น User คนเดียว น่าจะมี Administrator Account Admin Account = 特權 (Privileged) ทำอะไรก็ได้บนระบบ มีข้อจำกัดน้อย (มักขอรหัสผ่านยืนยัน)
Standard Account ใช้คอมพิวเตอร์ในความหมายเด่น: เน็ต, อีเมล, เล่นเกม, ใช้ซอฟต์แวร์ ฯลฯ Standard ทำการเปลี่ยนแปลงระบบบางอย่างได้ มีข้อจำกัด และ ไม่ส่งผลกระทบต่อ User อื่น บนระบบเดียวกัน
Windows 10 มี Child Account แบบเฉพาะ: ข้อจำกัดหลากหลาย + Monitoring สำหรับพ่อแม่ Windows มี Parental Controls built-in ด้วย
ประเด็นสำคัญ: Account Type ร่วมกับ UAC Setting
เข้าใจ UAC และ User Accounts
ค่าเริ่มต้นทั้ง Standard และ Administrator ใช้ UAC บางคนปิดทันที คิดว่าไม่จำเป็น ใช้เวลา
แต่มองอีกมุม: ทุกครั้งที่กรอกรหัสผ่าน = กระบวนการร้ายแรงต้องกรอกเหมือนกัน หากกระบวนการร้ายแรงไม่รู้รหัส = คุณรอดจากวิกฤตคอมพิวเตอร์ + ประหยัดเวลาอีกด้วย
UAC ทำงานกับทั้ง 2 Account ยังไง:
ทั้ง Standard และ Administrator เข้าถึงทรัพยากร/รันโปรแกรม ใน Security Context ของ Standard User เมื่อเปิด UAC แต่ละ App ต้องได้ Token Administrator Access
หมายถึง: Account ทั้งคู่ (Admin หรือ Standard) ได้รับการปกป้องด้วยกลไกความปลอดภัยเดียวกัน สิ่งที่ต่างคือ Permissions ที่มีอยู่ ซึ่งถูกควบคุมโดย UAC
User Account Control Prompts (หน้าต่าง UAC)
UAC เปิดอยู่: Standard Account ได้ Prompt ระดับต่างๆ เพื่อความปลอดภัย Prompt รับรอง User Validate การเปลี่ยนแปลงสำคัญ ปฏิเสธสิ่งไม่รู้จัก/ไม่คาดคิด (ทฤษฎี)
UAC Levels (4 ระดับ)
- Always notify me: สูงสุด ขอ Validate ทุก App, ทุก Software, ทุกการเปลี่ยน Windows Settings
- Notify me only when applications try to make changes: Default ขอ Validate App ใหม่ แต่ไม่ใช่ Windows Settings
- Notify me only when applications try to make changes (do not dim desktop): เหมือน Default แต่ไม่ทำให้ Desktop มืดตอน Prompt
- Never notify me: ต่ำสุด ไม่ได้ Notification การเปลี่ยนแปลงระบบใดๆ ตลอดเวลา สำหรับ Account นั้น
Default ใช้ได้กับส่วนใหญ่ แตขึ้นอยู่กับ User ความต่างอยู่ที่ ประเภท Prompt ที่ User ได้รับ ขึ้นกับ Account Type
Consent Prompt (ยินยอม)
Administrator Account ได้ Consent Prompt โผล่ที่ 3 ระดับ UAC ที่ขอ Validate Admin แค่คลิกผ่าน Consent Prompt = ยืนยันการเปลี่ยนแปลงระบบ
Credential Prompt (ขอข้อมูลประจำตัว)
Standard Account ได้ Credential Prompt ต่างจาก Admin Consent Prompt: Credential Prompt ขอรหัสผ่าน Administrator เพื่อ Validate การเปลี่ยนแปลงระบบ
Color Codes (รหัสสี)
UAC Prompt มีสีแบ่ง เพื่อให้ Standard และ Admin เข้าใจความเสี่ยงทันที
- พื้นหลังแดง + ไอคอนโล่แดง: App ถูกบล็อกโดย Group Policy หรือ Publisher ถูกบล็อก
- พื้นหลังน้ำเงิน + โล่ทอง-น้ำเงิน: App เป็น Windows 10 Admin App (เช่น Control Panel Item)
- พื้นหลังน้ำเงิน + โล่น้ำเงิน: App ลงนาม Authenticode และ Trusted โดย Local Computer
- พื้นหลังเหลือง + โล่เหลือง: App ไม่ได้ลงนาม หรือลงนามแต่ยังไม่ Trusted โดย Local Computer
ควรใช้ Administrator Account เป็นหลักหรือไม่
Admin Account สำคัญ ทุกระบบมีหนึ่ง ต้องมีเพื่อ Install Software และเปลี่ยนแปลงอื่นๆ แตบัญชีหลักของคุณควรเป็น Admin หรือไม่?
คำตอบอยู่ที่ System Users ของคุณ
ตัวอย่าง: ผม User คนเดียวบนระบบ = ใช้ Admin Account ป้องกันรหัสผ่าน แต Laptop ครอบครัว: ผมมี Admin Account (มีรหัส) + Standard Account (UAC เปิด) UAC คือตัวทำความต่าง สำหรับทั้ง Standard และ Admin
ไม่จำเป็นต้องใช้ Admin Account เป็น Default แน่นอน มันเร็วกว่าบางอย่าง แต่พิมพ์รหัสผ่านแค่ 1-2 วินาที ไม่ควร Disable Admin Account เลย (บางคู่มือแนะนำ) Windows มี Hidden Admin Account สำหรับงาน Technical
ปิด UAC Notification ไม่ใช่ไอเดียดี แค่เอาชั้นความปลอดภัยพื้นฐานออก ที่บางครั้งจะช่วยระบบจากกระบวนการร้ายแรง
แม้ปิด Notification UAC ก็ยังทำงานอยู่ แค่ทุก Validation Request = Approved ทันที แต่สำหรับ Standard Account = ทุก Validation Request = Denied ทันที
TL;DR: Standard Account พร้อม UAC Setting ที่ถูกต้อง = มีประโยชน์เท่า Admin Account และอาจปลอดภัยกว่า
