Как ограничить возможность администраторов запускать программы с повышенными правами

Если у вас в Windows включен контроль учетных записей, то при каждом запуске программы от имени администратора будет появляться диалоговое окошко с запросом подтверждения. В таком случае вы можете выбрать «Да» или «Нет», однако представьте такую ситуацию. Кроме вас, компьютером пользуются другие люди и вы, будучи администратором, не желаете, чтобы они запускали приложения с повышенными привилегиями.

Для этого в Windows 10 и 11 предусмотрена такая функция как «Защита администратора».

Включить ее можно двумя способами.

Редактор локальной групповой политики

Если на ПК у вас установлена редакция Windows Pro или Enterprise, для изменения параметров безопасности вы можете воспользоваться встроенным редактором локальной групповой политики.

Откройте его командой gpedit.msc и перейдите в раздел «Конфигурация компьютера» → «Конфигурация Windows» → «Параметры безопасности» → «Локальные политики» → «Параметры безопасности».

В правой колонке отыщите настройку «Поведение запроса на повышение прав для администратора в режиме одобрения администратором» и откройте ее свойства двойным кликом.

Выберите в списке опцию «Запрос учетных данных на безопасном рабочем столе».

Обратите внимание, что в новых версиях Windows 11 политика может называться «Настройка типа режима одобрения администратором», а опция в ее свойствах – «Режим одобрения администратором с защитой администратора» или «Режим одобрения администратором с улучшенной защитой привилегий».

Готово, настройки должны вступить в силу сразу же.

Редактор реестра

Если вы пользуетесь домашней редакцией Windows, для изменения настроек безопасности нужно будет использовать редактор Regedit.

Запустите его одноименной командой и разверните ветку:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

В правой колонке создайте параметр типа DWORD,

с именем TypeOfAdminApprovalMode и установите в качестве его значение 2.

В этом же разделе найдите параметр ConsentPromptBehaviorAdmin и измените его значение на 1.

Готово, останется только перезагрузить компьютер, чтобы настройки вступили в силу.

Если теперь другой пользователь, даже имея администраторские права, попробует запустить программу с повышенными привилегиями, ему нужно будет ввести ваш пароль или пин-код администратора.