Поделиться через

Исправление контроля учетных записей (UAC)

  • Статья

Установка исправлений контроля учетных записей (UAC) позволяет авторам установок установщика Windows определять исправления с цифровой подписью, которые могут применяться в будущем пользователями без прав администратора.

Если цифровая подпись не соответствует сертификату, Windows Vista отображает диалоговое окно UAC с запросом авторизации администратора перед установкой исправления. В системах, предшествующих Windows Vista, установщик не будет применять подписанное исправление, которое не соответствует сертификату.

Если неадминистратор пытается применить исправление к приложению и не выполнены следующие условия, Windows Vista уведомит пользователя о том, что перед установкой исправления требуется авторизация администратора. Неадминистратор может продолжить установку исправления без дополнительной авторизации администратора при соблюдении следующих условий.

  • Приложение было установлено в Windows Vista или Windows XP с помощью установщика Windows 3.0 или более поздней версии.

    Windows Server 2008: Не поддерживается.

  • Если приложение было установлено в Windows XP, оно также должно быть установлено со съемного носителя, например с компакт-диска или DVD-диска. Это ограничение не применяется, если приложение было установлено в Windows Vista.

  • Приложение не было установлено из исходного образа административной установки .

  • Изначально приложение было установлено для каждого компьютера. Сведения о том, как разрешить неадминистраторам применять исправления к приложениям, управляемым пользователем, после утверждения исправления администратором в качестве доверенного, см. в статье Исправление Per-User управляемых приложений.

  • Таблица MsiPatchCertificate присутствует в пакете установщика Окна (.msi файле) и содержит сведения, необходимые для включения контроля учетных записей. Таблица и сведения могут быть включены в исходный пакет установки или добавлены в пакет с помощью файла исправления установщика Windows (MSP-файл).

  • Исправления имеют цифровую подпись с помощью сертификата, указанного в таблице MsiPatchCertificate. Дополнительные сведения о сертификатах цифровой подписи см. в разделе Цифровые подписи и установщик Windows.

  • Цифровую подпись пакета исправлений можно проверить на соответствие сертификату в таблице MsiPatchCertificate. Дополнительные сведения об использовании цифровых подписей, цифровых сертификатов и WinVerifyTrust см. в разделе Безопасность пакета sdk для Microsoft Windows.

  • Сертификат подписателя, используемый для проверки подлинности цифровой подписи пакета исправлений, не был отозван.

    Примечание

    Хотя вы не можете подписать исправление с помощью сертификата с истекшим сроком действия, оценка цифровой подписи в исправлении не завершается ошибкой, если срок действия сертификата истек. Для оценки используется текущая таблица MsiPatchCertificate, состоящая из таблицы MsiPatchCertificate в исходном пакете, и любые изменения в таблице исправлениями, упорядоченными до текущего. Исправление может добавлять новые сертификаты в таблицу MsiPatchCertificate для оценки исправлений, упорядоченных после текущего исправления. Отозванный сертификат всегда отклоняется.

     

  • Исправление с минимальными привилегиями не было отключено, задав свойство MSIDISABLELUAPATCHING или политику DisableLUAPatching .

Исправление, примененное с помощью исправлений UAC, также может быть удалено неадминистратором.

Администраторы могут применять исправления к продуктам, установленным на каждом компьютере, независимо от параметра UAC приложения.

Вы можете определить, включено ли исправление с минимальными привилегиями для приложения, с помощью функции MsiGetProductInfoEx для запроса свойства INSTALLPROPERTY_AUTHORIZED_LUA_APP или с помощью метода ProductInfo для запроса свойства AuthorizedLUAApp. Если значение любого из свойств равно 1, приложение включает исправление учетной записи пользователя с минимальными привилегиями.

Администратор может отключить установку исправлений с минимальными привилегиями на компьютере, задав для политики DisableLUAPatching значение 1. Вы можете задать для свойства MSIDISABLELUAPATCHING значение 1 во время первоначальной установки приложения, чтобы предотвратить установку исправлений с минимальными привилегиями только для этого приложения.

Эта функция доступна начиная с установщика Windows версии 3.0. Исправление контроля учетных записей (UAC) в Windows XP называлось исправлением учетной записи пользователя с минимальными привилегиями (LUA). Исправление LUA недоступно в Windows 2000 и Windows Server 2003.

Дополнительные сведения о совместимости приложений и разработке приложений, совместимых с контролем учетных записей ( UAC), см. в сведениях о UAC, предоставляемых в Microsoft Technet.