XP in ZÓ BEHEERT U DE ACCOUNTS OP UW PC OF NETWERK OPTIMAAL
Om te voorkomen dat uw huisgenoten ongewenste acties uitvoeren op de gezamenlijke pc of het netwerk, is goed gebruikersbeheer noodzakelijk. Windows XP Home heeft hiervoor weliswaar een standaardtool, maar deze is vrij beperkt. De mogelijkheden in XP Pro zijn veel uitgebreider, maar hebt u daar als Home-gebruiker ook at aan? Jazeker! Wij laten u zien hoe u die via omwegen toch te pakken krijgt én hoe u e accounts (zowel in Pro als Home) van uw mede-pc-gebruikers optimaal inricht.
Werkt u met meerdere mensen op één pc of hebt u een netwerk, dan is het belangrijk dat u zorgt voor een goed gebruikersbeheer, bijvoorbeeld om te voorkomen dat uw huisgenoten ongewenste programma's installeren of bij uw privé-bestanden kunnen. Nu zit er in Windows XP Home een standaard beheertool. Hiermee kunt u een afbeelding voor het welkomstscherm en een wachtwoordhersteldiskette aanmaken, maar verder zijn de mogelijkheden beperkt. Veel meer dan accounts toevoegen en wijzigen kunt u er niet mee. Groepen aanmaken behoort niet tot de mogelijkheden en u kunt slechts beperkt rechten toekennen aan een account. Hebt u XP Pro, dan beschikt u al over meer mogelijkheden. Home-gebruikers niet getreurd: veel van deze mogelijkheden zijn via trucjes ook voor u beschikbaar. In dit artikel leest u hoe u uw gegevens buiten het bereik van uw mede-pc-gebruikers houdt, hoe u hen als beheerder beperkte rechten geeft en welke (gratis) tools u hiervoor kunt inzetten. We bespreken zowel de mogelijkheden voor XP Pro als voor Home. MMC: LOKALE GEBRUIKERS EN GROEPEN Voordat u aan de slag gaat met accounts van uw huisgenoten, is het verstandig eerst uw eigen account goed in te richten. Creëer voor uzelf dan ook een account met beperkte rechten. Krijgt u dan onverhoopt te maken met een virus, dan zijn binnen dat account ook de mogelijkheden van het virus beperkt. Bovendien kunt u ndien nodig altijd bij uw beheerdersaccount door met de rechtermuisknop op het programma-icoon te klikken en Uitvoeren als te kiezen, waarna u uw beheerdersaccount selecteert en het wachtwoord invoert. De accounts van uw huisgenoten kunt u in Windows XP Pro beheren via de mmcmodule Lokale gebruikers en groepen, die u met de opdrachtregel lusrmgr.msc bij Uitvoeren (local user manager) opstart. De tool mmc staat voor Microsoft Management Console en wordt onder andere gebruikt om accounts en netwerkinstellingen te beheren. Klik links op Gebruikers, rechts verschijnt dan een overzicht. Dubbelklik op een accountnaam. Er verschijnt nu een nieuw venster waar u op het tabblad Algemeen de volledige naam van het account kunt aanpassen. Dat is niet de eigenlijke inlognaam – die kunt u aanpassen door te rechtsklikken op de naam waarna u Naam wijzigen kiest – maar de naam die bijvoorbeeld in het welkomstscherm en bovenaan het Startmenu verschijnt. Op hetzelfde tabblad kunt u voorkomen dat een gebruiker zijn wachtwoord wijzigt. Zo voorkomt u bijvoorbeeld dat u als ouder geen toegang meer hebt tot de accounts van uw kinderen. U kunt bovendien tijdelijk verhinderen dat een gebruiker kan inloggen door een vinkje te plaatsen naast Account is uitgeschakeld. Het account zelf en de bijhorende gegevens worden hiermee echter niet verwijderd. Op het tabblad 'Lid van' kunt u de gebruiker in een groep indelen. Die maakt u aan door in het linkervenster de module Groepen te openen en vervolgens in het rechtervenster met rechts te klikken en Nieuwe groep te selecteren. Het nut van dergelijke groepen blijkt vooral in samenhang met de acl-machtigingen (access control lists), waarover meer onder het tussenkopje beveiliging. Zo zou u bijvoorbeeld uw kinderen in één groep kunnen stoppen en de ouders in een andere, waarna u beide groepen verschillende rechten geeft. Op het tabblad Profiel ten slotte kunt u onder meer een bat- of cmd-script koppelen aan de aanmelding van die gebruiker: zodra die inlogt, worden dan de opdrachten uit dat script uitgevoerd. U tikt in het veld Aanmeldingsscript dan alleen nog de naam van uw scriptbestand in. Dit vereist echter wel dat u eerst een map aanmaakt en die vervolgens deelt onder de sharenaam netlogon. In deze map brengt u dan het script onder en u zorgt ervoor dat de gebruiker de nodige rechten krijgt op deze gedeelde map. ACCOUNTS EN GROEPEN IN XP HOME De mmc-module werkt alleen voor XP Progebruikers, Home-gebruikers kunnen accounts en groepen op een andere manier aanpassen en inrichten. Ga naar Uitvoeren en tik hier de opdracht Control userpasswords2 in. Op het tabblad Gebruikers, Eigenschappen, past u de (volledige) naam van het account aan. Via het tabblad beroepslidmaatschap kunt u gebruikers in bestaande groepen onderbrengen, maar helaas kunt u hier geen nieuwe groepen creëren. Gelukkig maakt het net-commando – dat u vanuit een dos-venster kunt uitvoeren – veel goed. Zo'n opdrachtregel bevat vrij cryptische parameters, maar met het commando net user /help schiet u een heel eind op. Bijvoorbeeld: net user Toon geheim /add /fullname:'Toon Van Daele' /passwordchg:no /times:mavr, 5pm-8pm;za-zo,10am-9pm (zie afbeelding hieronder). XP-TIPS VOOR EEN SNEL EN VEILIG SYSTEEM In dit artikel leest u alles over gebruikersbeheer, onder andere hoe u uw mede-pc-gebruikers beperkte rechten geeft en uw netwerk optimaal beheert. Voor nóg meer XP-tips kunt u doorbladeren naar pagina 80. Hier leest u alles over een snel en toch veilig XP-systeem: virusscanners en dergelijke hebben vaak een negatieve invloed op de prestaties van de pc. Wij laten u zien hoe u uw systeem 60 procent sneller maakt zonder dat de veiligheid in het gedrang komt. XP-TIPS VOOR EEN SNEL EN VEILIG SYSTEEM In één klap maken we hier een account aan(Toon), inclusief wachtwoord (geheim), dat hij overigens niet zelf kan wijzigen (/passwordchg: no) en waarbij zijn aanmeldtijden zijn beperkt tot de aangegeven periodes (/times, hier in een Nederlandstalige XPomgeving). Vergeet de spatie niet voor elke slash. De opdracht 'net user Toon' geeft u dan een mooi overzicht van een account. Groepen aanmaken doet u met de opdracht net localgroup (bijvoorbeeld: net localgroup kinderen /add). GROEPSBELEID Nu u accounts en groepen hebt aangemaakt, is het tijd voor een stevig groepsbeleid. Ook hiervoor is er een mmc-module, namelijk Groepsbeleid, die u benadert door bij Uitvoeren gpedit.msc (group policy) in te tikken. De module lijkt veelbelovend, want u kunt hier letterlijk honderden verschillende beperkingen opleggen, verdeeld in twee hoofdcategorieën. Zo bevat Computerconfiguratie vooral apparaatgebonden opties, terwijl u bij Gebruikersconfiguratie tal van gebruikersverwante instellingen aantreft. Beide categorieën zijn hiërarchisch onderverdeeld en u 'wandelt' hier doorheen door telkens de onderliggende mappen te openen. Rechts verschijnen dan de bijhorende instellingen die u met een dubbelklik configureert (één klik geeft u extra informatie, mits u onderaan het tabblad Uitgebreid hebt geopend). Hier kunt u de meest uiteenlopende items instellen; vooral de mappen Beheersjablonen staan bol van de opties. Twee voorbeelden: In Gebruikersconfiguratie, Beheersjablonen, Systeem vindt u de optie Opgegeven Windows-toepassingen niet uitvoeren: met deze beleidsregel voorkomt u dat gebruikers (via Windows Verkenner) bepaalde applicaties opstarten. Een ander voorbeeld: bij Computerconfiguratie, Beheersjablonen, Windows-onderdelen, Internet Explorer kunt u het beleid rond ingestelde beveiligingszones van uw browser verstrakken en zo voorkomen dat iemand die nog aanpast. Het grote voordeel is dus dat er eindeloos veel instellingen mogelijk zijn, maar daar staat tegenover dat u al die instellingen per gebruiker(sgroep) alleen afzonderlijk kunt instellen als uw pc in een netwerkomgeving met domeincontroller (en active directory) hangt. In het andere geval – en dus ongetwijfeld bij 95 procent van de gezins-pc's – is dat niet mogelijk, en geldt elke restrictie voor álle gebruikers! Met wat gesleutel kunt u het Groepsbeleid toch nog afstemmen op twee groepen: een groep waarvoor alle restricties gelden, en een die zich daaraan geheel onttrekt. De truc zit hem in het weigeren van leesrecht op de map %System- Root%\System32\GroupPolicy aan de groep die u de beperkingen uit het Groepsbeleid wilt besparen. Hoe u dat aanpakt, leest u hieronder. BEVEILIGING Aan Groepsbeleid hebt u dus niet zo vreselijk veel als u een domeinloze pc hebt. Gelukkig maken de acl-machtigingen (access control lists) veel goed, die echter alleen op een ntfs-geformatteerde partitie actief zijn. Desnoods kunt u uw fat-partitie met het ingebouwde commando Convert eerst nog omzetten (vanuit een Dosvenster tikt u in: convert d: /fs:ntfs – waarbij d: de letter voorstelt van het te converteren station). Voor elk object, zoals een map of bestand, houdt Windows namelijk een access control list bij: deze legt vast welke gebruikers al dan niet toegang krijgen tot dat object. Elk item in zo'n lijst heet dan een access control entry (ace) en dat bevat onder meer de security identifier (sid) van een gebruiker(sgroep) en een reeks machtigingen, zoals de toelating of weigering voor Volledig beheer, Wijzigen, Lezen en uitvoeren, en Schrijven. Het is dus perfect mogelijk voor elk object exact vast te leggen welke machtigingen elke gebruiker(sgroep) krijgt. In XP Professional moet u hiervoor in uw Verkenner wel eerst het vinkje verwijderen naast Eenvoudig delen van bestanden, op het tabblad Weergave bij Mapopties in het menu Extra. In XP Home zit u vast aan Eenvoudig delen van bestanden. Stel nu dat u een gebruikersgroep het leesrecht op een bepaalde map wilt ontzeggen. U gaat dan als volgt te werk. Blader naar de bewuste map en klik op de mapnaam met de rechtermuisknop. Selecteer Eigenschappen uit het snelmenu; er verschijnt een dialoogvenster waar u het tabblad Beveiliging aanklikt (alleen mogelijk op ntfs-partities). U krijgt nu bovenaan de namen van de gebruikers(groepen) te zien die specifieke machtigingen op het geselecteerde object hebben. Die machtigingen leest u onderaan af zodra u een bepaalde gebruiker(sgroep) selecteert. Bevindt de beoogde groep zich al in het lijstje, dan hoeft u die maar aan te duiden en in de kolom Weigeren een vinkje te plaatsen bij Alternatieve XP-tools voor gebruikers- en groepsbeheer. Groepsbeleid... misleidende naam zonder domeinomgeving. Acl: niet zo eenvoudig. Machtigingen... een machtig wapen. Lezen. Staat de groep niet in de lijst, zoek de groep dan op via de knop Toevoegen. In het nieuwe venster drukt u vervolgens op de knop Geavanceerd. U belandt weer in een ander venster, waar u op de knop Objecttypen drukt en alleen het item Groepen geselecteerd laat. Met de knop 'Nu zoeken' krijgt u uiteindelijk een overzicht van de bestaande gebruikersgroepen. Selecteer de gewenste groep (of groepen, terwijl u de Ctrl-toets ingedrukt houdt) en evestig tweemaal met OK. Nu kunt u de juiste machtigingen voor die groep(en) instellen. Op vergelijkbare wijze wordt het bijvoorbeeld perfect mogelijk dat alleen de (zelfgemaakte) groep Ouders toegang krijgt tot bepaalde mappen. Bij het toekennen van machtigingen is voorzichtigheid wel geboden: weigert u op bepaalde objecten bijvoorbeeld essentiële machtigingen aan bepaalde groepen (zoals Administrators of SYSTEM), dan zit u in het ergste geval met een onbruikbare pc – wees nóg voorzichtiger als u zich aan de knop Geavanceerd waagt, waar allerlei speciale machtigingen en instellingen zijn ondergebracht. VEILIGE MODUS & CACLS Zoals gezegd zitten Home-gebruikers vast aan het Eenvoudig delen van bestanden. Maar wanhoop niet; er zijn maar liefst drie mogelijkheden om ook met aclmachtigingen aan de slag te kunnen. Een ervan is het opstarten in Veilige modus (via de F8-toets), waarna het tabblad Beveiliging plotseling wél tevoorschijn komt, zodat u de procedure kunt volgen die we hierboven hebben beschreven. Een krachtig alternatief is het commando Cacls (control acl's), dat u meteen een overzicht van parameters geeft zodra u dat op de Dos-opdrachtregel intikt. Een voorbeeld: met de opdracht cacls *.* /T /E /P Ouders:F kent u aan de gebruikersgroep Ouders bijkomend alle rechten toe op bestanden in de huidige map en in submappen. Hebt u het niet zo op opdrachtregels begrepen, dan kunt u alsnog terugvallen op een extern, grafisch alternatief: ACLView. Daarover straks meer. DELEN & SHRPUBW Hangt uw pc in een netwerk, dan kunnen gebruikers natuurlijk ook op die manier toegang krijgen tot uw pc, als u tenminste in gedeelde mappen (shares) hebt voorzien. Ook die toegang kunt u – althans in XP Professional – haarfijn regelen. In XP Home en in Pro met ingeschakelde optie voor Eenvoudig delen van bestanden (zie boven) kunt u een share nauwelijks afschermen. Het tabblad Delen, na een klik met de rechtermuisknop op de map die u wenst te delen, geeft u via een vinkje aan of netwerkgebruikers bestanden op die share al dan niet mogen wijzigen. In dit scenario gelden de volgende spelregels. Afhankelijk van het vinkje krijgt iedereen in de groep óf Volledig beheer óf leesrechten toegekend. Aangezien netwerkgebruikers door Windows dan ook standaard als Gast worden geauthenticeerd – en ieder dus over identieke machtigingen beschikt – kan elke willekeurige gebruiker een gedeelde map zonder meer openen. Als u Eenvoudig delen van bestanden uitschakelt, ziet het plaatje er al meer solide uit – althans binnen XP Professional. Op het tabblad Delen komt dan de knop Machtigingen beschikbaar waar u, net als bij de hiervoor besproken tfsmachtigingen, specifieke gebruikers(groepen) óf Volledig beheer óf alleen lees- of schrijfrechten kunt verlenen. Bovendien moet het account op de lokale pc over dezelfde naam – mét wachtwoord – beschikken als dat op de pc met de gedeelde map. Is dat niet zo, dan authenticeert Windows de bezoeker automatisch als Gast en krijgt hij enkel toegang tot de gedeelde map als specifiek aan dat account – of aan de groep Iedereen – de nodige share-machtigingen werden toegekend. Uiteraard mag in dat geval het Gastaccount niet zijn uitgeschakeld. Best verwarrend allemaal, want hoe verhouden zich nu de share-machtigingen (via de knop Machtigingen op het tabblad Delen) tot de eigenlijke ntfs-machtigingen (via het tabblad Beveiliging)? Het komt erop neer dat beide soorten machtigingen op de meest restrictieve manier gecombineerd worden. Een voorbeeld: stel, een gebruikersgroep krijgt enkel leesrecht op de netwerkshare, maar tegelijk bepalen de ntfs-machtigingen dat die groep daarover Volledig beheer krijgt. In dat geval zal een lid van die groep via het netwerk die map enkel kunnen inlezen, maar zodra hij zich lokaal op de pc aanmeldt, krijgt hij onbeperkt toegang tot die map. Specifieke machtigingen voor shares ijn in Home niet mogelijk, ook al kunt u deze wel instellen via de tool shrpubw (in te tikken bij Uitvoeren). Jammer, maar helaas: zolang Eenvoudig delen van bestanden actief is – en dat is in XP Home altíjd het geval! – houdt Windows slechts rekening met de machtigingen die aan het Gastaccount zijn verleend. PCM CONCLUSIE Zowel in XP Professional als in XP Home is veilig gebruikersbeheer goed mogelijk. Home-gebruikers moeten voor een aantal ingrepen – met name wat betreft groepsbeleid en machtigingen – wat extra inspanningen verrichten of hun toevlucht nemen tot externe hulpmiddelen (zie kader Op Het Web). Alleen wie heel specifieke beveiligingen wenst op netwerkniveau, kan moeilijk buiten XP Professional.
