Как настроить защиту администратора на вашем ПК с Windows 11

Изображение: Функция защиты администратора Windows 11.

В последние годы учетные записи администраторов Windows все чаще становятся целью авторов вредоносных программ и кражи учетных данных. Чтобы справиться с текущими угрозами, Windows 11 вводит функцию защиты администратора. Она предоставляет доступ с повышенными правами пользователям на основе токенов Windows Hello. Вот как настроить ее на вашем ПК с Windows 11, как только она станет доступна.

Что такое защита администратора в Windows 11

Защита администратора — это функция безопасности в Windows 11, которая обеспечивает защиту вашего устройства, выходя за рамки Контроля учетных записей пользователей (UAC). Вместо того чтобы предоставлять администратору неограниченные права, система генерирует временные, изолированные токены. После завершения вашей администраторской задачи токен уничтожается. На май 2025 года эта функция не доступна в общем релизе Windows 11.

Токены аутентифицируются через Windows Hello и невидимы для пользователя, который видит только PIN-код Windows Hello или биометрию. Чтобы предотвратить злоупотребления, токены существуют в течение одной администраторской запроса. Таким образом, вредоносная программа не может вносить изменения на ваше устройство, поскольку не может получить доступ к скрытому уровню под Windows Security.

Получение привилегий на уровне администратора через PIN-код Windows Hello как часть защиты администратора.

Каждая администраторская операция должна быть авторизована отдельно с помощью двухфакторной аутентификации в Windows Hello. Даже если вы являетесь самым привилегированным пользователем в сети, система теперь назначает вам уровень доступа “наименьших привилегий”. Это добавляет надежный уровень безопасности против кражи учетных данных, таких как угрозы Windows NTLM.

Примечание: функция защиты администратора недоступна для пользователей Windows 10, так как она требует доступа к модулю доверенной платформы (TPM).

Как включить защиту администратора на вашем устройстве с Windows 11

Функция будет постепенно предоставляться всем пользователям Windows 11 (Home/Pro и т. д.) начиная с версии 27774 и позже. Проверьте Настройки -> Система -> Сведения -> Спецификации Windows -> Сборка ОС. В настоящее время она доступна в версии Insider Canary, поэтому вам нужно продолжать проверять обновления Windows 11.

Чтобы инициировать процесс защиты администратора, вам нужно переключиться с учетной записи стандартного пользователя на учетную запись администратора. Для этого введите Win + R и введите netplwiz. Дважды щелкните по вашей учётной записи пользователя, например, “Администратор“.

В разделе Членство в группе вы можете увидеть, что используете учетную запись Администратор. Если вы находитесь на уровне Стандартного пользователя, измените это, нажмите Применить -> ОК, затем выйдите из вашей сессии и перезагрузите компьютер.

Учётная запись пользователя находится на уровне администратора, как указано в UAC.

Затем вам нужно настроить Windows Hello как способ входа на вашем устройстве. Перейдите в Настройки -> Учетные записи -> Параметры входа, и в разделе PIN (Windows Hello) настройте ваш предпочтительный PIN-код. Подтвердите его и затем нажмите ОК.

Использование PIN-кода с Windows Hello работает для большинства пользователей. Если доступно, вы также можете использовать Распознавание лиц или Отпечаток пальца.

Изменение PIN-кода в Windows Hello.

Наконец, чтобы настроить защиту администратора в Windows 11, запустите Windows Security из меню поиска или панели задач.

Перейдите в Защита учетной записи -> Настройки защиты администратора, которые находятся внизу страницы. Здесь вам нужно включить переключатель Защита администратора.

Переключатель защиты администратора включен в Windows Security.

Другой способ включить защиту администратора — через Редактор локальной групповой политики (только в сборке Windows 11 Insider 27774 или более поздней). Перейдите в Конфигурация компьютера -> Настройки Windows -> Настройки безопасности -> Локальные политики -> Параметры безопасности.

Теперь дважды щелкните Контроль учетных записей пользователей: Настроить тип режима одобрения администратора -> Режим одобрения администратора с защитой администратора. Там вам нужно выбрать Аутентификация Windows Hello в разделе Запрос учетных данных на защищенном рабочем столе.

С активированными обоими методами, как только вы инициируете задачу, связанную с администратором, система покажет запрос на PIN-код Windows Hello для получения вашей авторизации. Это гораздо безопаснее, чем использовать пароль, так как настоящая авторизация невидима и происходит в фоновом режиме. После завершения вашей задачи, например, установки программного обеспечения, которое требует разрешений, одноразовый доступ будет отозван.

Есть только одно небольшое требование. Чтобы активировать эту новую функцию, ваши профили пользователей должны работать правильно. В случае, если служба профиля пользователя не может войти, у нас есть несколько способов вернуть ее на правильный путь.