引言:本文详细介绍了用户帐户控制(UAC)的应用程序标识、安全桌面和虚拟重定向等深层原理。详细描述了用户帐户控制对用户的价值，并且总结为什么不能禁用UAC的若干理由。更重要的是，本文还就用户广为诟病的UAC问题提出比较巧妙的解决方案，既能尽可能规避UAC所带来的麻烦，又能保留UAC的安全性。
我们现在已经知道，在Windows Vista中，使用管理员帐户登录系统，当Winlogon进程收集帐户凭据并交由LSA验证后。LSA会查看该帐户的访问令牌，如果发现里面包含某些高级特权(例如“修改系统时间”)或者高级SID(例如管理员组SID)，就会自动创建两个访问令牌，一个是管理员访问令牌(Full Token)，另一个是标准用户访问令牌(UAC Token)。
五种标识权限提升的方法
Windows Vista并没有一种与生俱来的魔力，可以未卜先知某个应用程序是否应该运行在更高安全级别上。应用程序必须自己想办法通知Windows Vista它需要更高权限。有以下五种方法，让Windows Vista明白该应用程序需要提升权限：
(1) Windows Vista可以智能识别安装程序，例如根据安装程序的文件名(包含install或者setup)，还可以智能识别msi发布的安装包等等。可以做一个实验，如果修改其他某个应用程序的名字，例如将QQ.exe重命名为QQInstall.exe，运行它就会自动触发权限提升，原来UAC以为这是一个安装程序。
(2) 在可执行文件的属性对话框、兼容性标签页里勾选“以管理员身份启动该程序”复选框。这等效于在HKCU \Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers注册表分支下添加键值，也相当于修改C:\Windows\AppPatch下的sysmain.sdb兼容性数据库。
(3) 在程序的manifest文件或者内嵌的manifest信息里加入“level=highestAvaible”或者“level requireAdministrator”安全级别。
(4) 鼠标右键单击应用程序，选择“用管理员帐户运行”菜单项。
(5) 利用ACT(应用程序兼容性工具)为特定应用程序创建兼容性数据库，以便IT部门可以方便地在企业里部署兼容性设置。
阅读全文
http://blogs.itecn.net/blogs/winvista/archive/2006/08/09/UACV3.aspx
全文共5741字节
