Аннотация

Подписывание и подготовка драйверов устройств в операционных системах Microsoft® Windows Server® (кодовое название – «Longhorn») и Windows Vista™ позволяет администраторам повысить уровень защищенности компьютеров организации. Это достигается путем разрешения пользователям устанавливать только проверенные и заранее определенные администратором драйверы устройств. В данном пошаговом руководстве рассматривается процесс подписывания и подготовки пакетов драйверов, позволяющий пользователям, не обладающими административными полномочиями, самостоятельно проводить их безопасную установку на свои компьютеры.

На этой странице

Введение

В данном пошаговом руководстве используются демонстрационное устройство и его драйвер, с помощью которых в лабораторной среде показано, каким образом можно безопасно разместить пакеты драйверов устройств на клиентских компьютерах так, чтобы обычный пользователь смог установить их без какой-либо дополнительной помощи со стороны администратора или взаимодействия с пользовательским интерфейсом операционной системы.

Важно

Рассматриваемые в данном руководстве примеры следует выполнять только в лабораторной среде. Данное руководство не предназначено для использования в рабочей среде и его следует использовать по собственному усмотрению как отдельный документ.

В частности, в Microsoft® Windows Vista™ и Windows Server® (кодовое название – «Longhorn») Вы можете выполнять следующие задачи:

• Подписывать пакеты драйверов устройств цифровыми сертификатами, а затем размещать эти сертификаты на клиентских компьютерах таким образом, чтобы пользователям не приходилось определять, является ли драйвер устройства или его издатель «доверенным».

• Размещать пакеты драйверов устройств в защищенных хранилищах на клиентских компьютерах таким образом, чтобы обычные пользователи могли устанавливать эти пакеты, даже не имея административных полномочий.

• Настраивать клиентские компьютеры таким образом, чтобы при установке в систему нового устройства, не имеющего локально размещенных драйверов, выполнялся поиск драйверов в указанных общих сетевых папках.

Для кого предназначено это руководство

Данное руководство предназначено для следующих категорий ИТ-специалистов:

• Для ИТ-специалистов, отвечающих за развертывание драйверов устройств на клиентских компьютерах под управлением ОС Windows Vista или Windows Server «Longhorn».

• Для ИТ-специалистов, занимающихся планированием и анализом информационной инфраструктуры и оценивающих функциональные возможности ОС Windows Vista и Windows Server «Longhorn».

• Для специалистов в сфере безопасности, отвечающих за обеспечение защищенной компьютерной среды.

• Для администраторов, желающих ознакомиться с технологией, описываемой в этом руководстве.

Преимущества использования подписывания и подготовки пакетов драйверов

Поскольку программное обеспечение драйвера устройства выполняется как часть операционной системы и имеет неограниченный доступ ко всем компонентам компьютера, очень важно разрешать использование только тех драйверов, которые известны администратору и внесены им в список надежных. Подписывая и размещая пакеты драйверов Ваших устройств на клиентских компьютерах с помощью методов, описанных в данном руководстве, Вы получаете следующие преимущества:

• Улучшенная безопасность. В операционных системах, предшествующих Windows Vista и Windows Server «Longhorn», обычные пользователи не могли устанавливать драйверы устройств без участия администратора. Пользователям часто требовалось входить в систему под административными учетными записями, которые позволяли выполнять необходимые задачи. Но, в то же время, эти учетные записи позволяли пользователям выполнять действия, которые могли ставить под угрозу безопасность данных или производить изменения в конфигурации компьютеров, что могло приводить к их неправильной работе.

В операционных системах Windows Vista и Windows Server «Longhorn» Вы можете разрешить обычным пользователям устанавливать проверенные драйверы устройств без риска возникновения угрозы информационной безопасности, а также без участия специалистов службы поддержки.

• Снижение стоимости поддержки системы. Пользователи могут устанавливать только те устройства, которые были протестированы и обслуживаются специалистами службы поддержки Вашей организации. Таким образом, Вы можете поддерживать уровень безопасности компьютера и в то же время снизить количество обращений пользователей в службу поддержки.

• Более удобная работа пользователей. Пакет драйвера, размещенный в хранилище драйверов, устанавливается автоматически при подключении нового устройства пользователем. В случае если пакет драйвера размещен на общем сетевом ресурсе, он может быть автоматически найден операционной системой при обнаружении нового аппаратного устройства. И в том, и в другом случае пользователь не получает никаких запросов на установку устройства.

Наверх страницы

Обзор сценариев

В состав операционных систем Windows Vista и Windows Server «Longhorn» включены несколько функций, облегчающих администратору процесс установки драйверов устройств для пользователей. Вы имеете возможность размещать пакеты драйверов в защищенной области клиентского компьютера, называемой хранилищем драйверов. Обычные пользователи могут устанавливать пакеты драйверов из этого хранилища, не обладая при этом никакими административными полномочиями или особыми разрешениями. Вы также можете настроить клиентские компьютеры таким образом, чтобы при установке в систему нового устройства выполнялся поиск драйверов в общих сетевых папках (и их подпапках), указанных администратором. Эти папки могут располагаться как на локальном компьютере, так и на определенном сетевом ресурсе. Когда используется такой способ доступа к пакетам драйверов, Windows не предлагает пользователю указать файловый носитель, содержащий драйверы. Данные функции упрощают работу пользователей и снижают стоимость поддержки системы, позволяя обычному пользователю самостоятельно производить установку проверенных пакетов драйверов, не требующую никаких дополнительных разрешений или вмешательства со стороны администратора. Также эти функции повышают уровень безопасности компьютеров Вашей организации, гарантируя, что обычные пользователи могут устанавливать только те пакеты драйверов, которые были проверены и считаются надежными.

Примечание

В данном руководстве термин «драйвер устройства» означает установленное, настроенное и работающее программное обеспечение, необходимое для работы аппаратного устройства, установленного на компьютере под управлением ОС Windows.

Термины «пакет драйвера устройства», «пакет драйвера» или «пакет» означают полный набор файлов, необходимых для установки драйвера устройства.

Термин «администратор» означает любого пользователя, вошедшего в систему под учетной записью, входящей в состав локальной группы Administrators.

Термин «обычный пользователь» означает любого пользователя, вошедшего в систему под учетной записью, не имеющей повышенных разрешений, которые могут быть получены путем включения учетной записи в состав определенной группы или путем делегирования прав.

В данном руководстве Вы создадите тестовый сертификат и вручную установите его в хранилище сертификатов на клиентском компьютере. В рабочей среде организации проводятся более масштабные действия, в которые вовлекаются:

• Цифровой сертификат, полученный от коммерческого центра сертификации. Важным свойством сертификата является возможность его использования на компьютерах, находящихся за пределами Вашей организации. Как правило, такие сертификаты необходимо покупать.

• Сертификаты, созданные с помощью внутреннего центра сертификации, например, запущенного на компьютере под управлением Windows Server с работающими службами сертификатов. Этот вариант хорошо подходит для тех случаев, когда сертификаты необходимо использовать в различных целях внутри организации, а суммарная стоимость коммерческих сертификатов оказывается очень высокой.

• Использование групповой политики для развертывания сертификатов на клиентских компьютерах. Групповая политика позволяет автоматически устанавливать сертификаты на все компьютеры домена, организационного подразделения или сайта.

В целях защиты и поддержания стабильной работы операционной системы только у администраторов имеются полномочия на установку неподписанных драйверов устройств. С помощью процедур, описанных в данном руководстве, администратор может подписать пакеты драйверов, которые не были заранее подписаны поставщиком, после чего эти пакеты могут быть использованы в организации. С помощью этих процедур администратор может также заменить цифровую подпись поставщика сертификатом организации. Если все пакеты драйверов подписаны таким сертификатом, то в организации достаточно произвести развертывание только одного сертификата.

Если обычный пользователь пытается установить устройство, пакет драйвера которого еще не находится в локальном хранилище, ОС Windows в свою очередь пытается поместить этот пакет драйвера в хранилище. Эта процедура завершается успешно, если пользователь может предоставить системе административные учетные данные или если установка устройства, для которого предназначен пакет драйверов, разрешена системными политиками компьютера. Если пользователь не сможет успешно завершить процесс размещения пакета драйвера в хранилище, устройство установлено не будет.

Сценарии подписывания и подготовки пакетов драйверов

В данном руководстве описываются задачи, связанные с развертыванием пакетов драйверов на клиентских компьютерах.

Подписывание пакета драйвера

Операционные системы Windows Vista и Windows Server «Longhorn» позволяют Вам выполнять цифровое подписывание пакетов драйверов. В этом сценарии описаны шаги, необходимые для выполнения следующих задач:

• Создание тестового сертификата.

• Использование тестового сертификата для подписи пакета драйвера.

• Проверка подписанного пакета драйвера устройства.

• Настройка клиентского компьютера для принятия созданной цифровой подписи.

Размещение пакета драйвера устройства в хранилище драйверов

В этом сценарии описаны шаги, необходимые для размещения пакета драйвера устройства в хранилище драйверов. Также в этом сценарии показано, каким образом происходит установка пакета драйвера из хранилища при подключении к компьютеру нового аппаратного устройства.

Если пакет драйвера определенного устройства размещен в хранилище драйверов, то при подключении пользователем этого устройства выполняется автоматическая установка его драйвера, не требующая никаких дополнительных разрешений; при этом пользователь также избавлен от необходимости принимать цифровую подпись. Все файлы пакета драйверов проверены и размещены на клиентском компьютере, поэтому их установка проходит незаметно для пользователя, который в результате получает готовое к работе устройство.

Настройка клиентских компьютеров для поиска пакетов драйверов на общем сетевом ресурсе

В этом сценарии описаны шаги, необходимые для выполнения следующих задач:

• Настройка клиентского компьютера для поиска пакетов драйверов в заданной сетевой папке при обнаружении Windows нового аппаратного устройства.

• Настройка операционной системы для предоставления обычным пользователям возможности установки этих пакетов.

Пакеты драйверов могут быть размещены на сетевом ресурсе, доступном для клиентских компьютеров. В операционных системах Windows Vista и Windows Server «Longhorn» существует параметр реестра, позволяющий задавать список папок, в которых ОС Windows должна производить поиск пакетов драйверов, отсутствующих в хранилище драйверов. Этот список может включать в себя сетевые пути к папкам, расположенным на сервере.

Тем не менее, перед установкой драйверов, находящихся на сетевом ресурсе, осуществляется их размещение в хранилище драйверов локального компьютера (все требования, необходимые для выполнения этой процедуры также остаются в силе). Если пакеты драйверов, размещенные в сетевой папке, подписаны сертификатами доверия, и если Вы имеете соответствующие пользовательские разрешения, определяемые политиками установки устройств и позволяющие устанавливать устройства определенного класса, то установка успешно пройдет в автоматическом режиме. Если же пакет драйверов не был подписан, либо не была настроена соответствующая политика управления установкой устройств, пользователь получит запрос о доверии издателю и ему будет предложено ввести данные административной учетной записи.

Наверх страницы

Обзор технологий

В следующих разделах содержится краткий обзор базовых технологий, обсуждаемых в данном руководстве.

Цифровые подписи и сертификаты

Поскольку программное обеспечение драйвера устройства выполняется с системными привилегиями и имеет неограниченный доступ ко всем компонентам компьютера, очень важно убедиться, что устанавливаемые драйверы являются доверенными. Понятие доверия в данном контексте основано на двух главных принципах:

• Подлинность – является гарантией того, что пакет драйвера был получен из заявленного источника, и не является вредоносным кодом, маскирующимся под подлинное программное обеспечение.

• Целостность – является подтверждением того, что пакет драйвера был получен в первоначальном виде и не был изменен кем-либо с момента выпуска разработчиком.

Для соблюдения этих принципов ОС Windows использует цифровые сертификаты и цифровые подписи. Цифровой сертификат идентифицирует организацию и является надежной гарантией ее подлинности, поскольку может быть проверен центром сертификации (ЦС) с помощью электронных методов. В цифровой подписи с помощью цифрового сертификата организации шифруется отдельная информация о пакете.

Зашифрованная в цифровой подписи информация содержит отпечаток каждого файла, включенного в пакет. Отпечаток генерируется с помощью специального криптографического алгоритма, также называемого алгоритмом хеширования. С помощью этого алгоритма генерируется код, основанный на содержимом файла. Изменение хотя бы одного бита в файле приводит к изменению отпечатка этого файла. После того, как отпечатки созданы, они собираются в единый каталог и затем шифруются.

На следующем рисунке показан процесс подписывания пакета драйверов.

Этот процесс состоит из следующих этапов:

Исходный пакет драйвера не имеет цифровой подписи и файла каталога (CAT-файла), который может содержать подпись. На шаге 1 изображенной диаграммы выполняется программа Signability, которая создает CAT-файл и помещает в него отпечаток для каждого файла пакета драйвера, указанного в INF-файле. На шаге 2 выполняется программа SignTool, которая шифрует указанный цифровой сертификат, таким образом, подписывая CAT-файл. На шаге 3 подписанный CAT-файл включается в состав пакета драйвера и распространяется на компьютеры пользователей.

Компьютер-получатель проверяет подлинность автора пакета драйвера, используя копию сертификата для дешифрования цифровой подписи этого пакета. Успешное дешифрование является доказательством того, что пакет драйвера был подписан владельцем сертификата.

Во время процесса проверки подлинности используется тот же алгоритм хеширования, что и при создании отпечатков файлов. Windows генерирует отпечаток для каждого полученного файла пакета. Если отпечатки, сгенерированные компьютером-получателем, совпадают с зашифрованными отпечатками, содержащимся в цифровой подписи, получатель может быть уверен, что полученный пакет идентичен исходному пакету. Несовпадение отпечатков означает, что файлы были изменены с момента подписывания, и поэтому не могут считаться надежными.

На каждом компьютере под управлением ОС Windows имеется хранилище для цифровых сертификатов, которым управляет операционная система. Администратор компьютера может добавлять в это хранилище сертификаты издателей, которым он доверяет. Если операционная система не может найти сертификат полученного пакета в хранилище сертификатов, пользователю предлагается подтвердить, что издатель является надежным. Помещая сертификат в хранилища сертификатов на всех клиентских компьютерах, Вы тем самым указываете операционной системе, что все пакеты, подписанные этим сертификатом, являются надежными.

 Важно

Для 64-разрядных версий ОС Windows Vista и Windows Server «Longhorn» требуется, чтобы все драйверы, работающие в режиме ядра, были подписаны сертификатом издателя программного обеспечения, выпущенным центром сертификации. Если Вы используете 64-разрядную версию Windows Vista, Вам необходимо либо иметь уже подписанный пакет драйвера, либо иметь доступ к сертификату издателя программного обеспечения, с помощью которого Вы сможете подписать этот пакет. Если 64-разрядный драйвер, работающий в режиме ядра, будет подписан неправильно, он не сможет успешно загрузиться и работать. Если этот драйвер требуется для загрузки компьютера, компьютер может не загрузиться. Убедитесь, что работа всех пакетов драйверов была проверена на всех различных типах компьютеров, на которые Вы планируете производить развертывание.

Вопросы обеспечения безопасности ключей, используемых для подписывания кода

Криптографические ключи, являющиеся основополагающим элементом процесса подписывания, использующегося в технологии Authenticode, должны быть защищены. Эти ключи являются уникальными идентификаторами организации, и поэтому с ними необходимо обращаться так же, как с наиболее ценным имуществом. Любой код, подписанный этими ключами, воспринимается ОС Windows как код, содержащий действительную цифровую подпись, по которой можно определить организацию, подписавшую этот код. Если ключи украдены, они могут быть использованы в незаконных целях для подписи вредоносного кода. Это может привести к рассылке кода, содержащего троян или вирус и распространяющегося от имени законного издателя.

Для получения более подробной информации по обеспечению безопасности закрытых ключей обратитесь к документу Советы и рекомендации по подписыванию кода (Code Signing Best Practices), ссылка на который содержится в разделе «Дополнительные ресурсы» данного руководства.

Установка устройства

Аппаратное устройство является частью оборудования компьютера и предназначено для выполнения определенных функций при взаимодействии с Windows. Windows может взаимодействовать с устройством только с помощью программного обеспечения, называемого драйвером устройства. Установка устройства и его драйвера в Windows Vista и Windows Server «Longhorn» происходит в соответствии с приведенной ниже диаграммой. Аббревиатура «PnP» на данной диаграмме относится к запущенной в Windows службе Plug and Play. Если любая проверка безопасности оканчивается неудачей, или если Windows не может найти подходящий пакет драйвера устройства, процесс останавливается.

1. Когда пользователь подключает устройство, Windows обнаруживает новый аппаратный компонент и отсылает запрос службе Plug and Play, чтобы задействовать его.

2. Служба Plug and Play запрашивает у устройства его идентификаторы оборудования.

3. Для полученных идентификаторов оборудования служба Plug and Play выполняет поиск пакета драйвера в хранилище драйверов. Если подходящий пакет драйвера найден, выполняется шаг 8. В противном случае выполняется шаг 4.

4. Windows производит поиск подходящего пакета драйвера в перечисленных ниже местоположениях. Если найдено несколько пакетов, Windows выбирает «лучший» из них (этот процесс описан в статье Механизм выбора драйверов программой установки Windows (How Setup Selects Device Drivers), ссылка на которую содержится в разделе «Дополнительные ресурсы» данного руководства).

• Папки, перечисленные в параметре реестра DevicePath.

• Веб-узел Windows Update.

• Указанные пользователем носители.

5. Windows проверяет, обладает ли пользователь разрешением на размещение пакета драйвера в хранилище драйверов. Для этого пользователь должен иметь учетные данные администратора или должна быть настроена политика компьютера, определяющая список устройств, разрешенных для установки обычным пользователям.

6. Windows проверяет, имеет ли пакет драйвера действительную цифровую подпись. Если пакет драйвера подписан сертификатом, который является действительным, но не содержится в хранилище доверенных издателей, пользователю предлагается подтвердить прием сертификата.

7. Windows размещает копию пакета драйвера в хранилище драйверов.

8. Служба Plug and Play копирует файлы из хранилища драйверов в рабочее местоположение. Как правило, этим местоположением является папка «%systemroot%\windows32\drivers».

9. Служба Plug and Play выполняет настройки реестра, указывающие, каким образом новый установленный драйвер должен использоваться операционной системой.

10. Служба Plug and Play запускает установленный драйвер устройства. Этот шаг выполняется каждый раз при перезагрузке компьютера, обеспечивая тем самым перезапуск драйверов.

Для получения дополнительной информации о процессе установки устройств обратитесь к справке диспетчера устройств ОС Windows Vista или Windows Server «Longhorn».

Шаги 4-7 представляют собой процесс подготовки драйверов (авторы руководства на английском языке используют термин «staging») в операционных системах Windows Vista и Windows Server «Longhorn», включающий в себя выполнение операционной системой всех необходимых проверок безопасности и последующее размещение пакета драйвера в защищенном хранилище, доступном для службы Plug and Play. В операционных системах Windows Vista и Windows Server «Longhorn» весь этот процесс может быть отдельно выполнен администратором. После того, как пакет драйвера устройства проверен и помещен в хранилище компьютера, любой пользователь, работающий на этом компьютере, может установить драйвер из этого хранилища, просто подключив соответствующее устройство. При этом пользователь не получит никаких интерактивных запросов, и ему не нужно обладать никакими особыми разрешениями. Подключенное пользователем устройство оказывается готовым к работе без какого-либо вмешательства администратора или специалиста службы поддержки.

Для получения дополнительной информации о хранилище драйверов обратитесь к разделу «Дополнительные ресурсы» данного руководства.

Групповая политика

Групповая политика является административным средством централизованного управления параметрами безопасности и настройки клиентских компьютеров организации. Групповая политика поддерживает автоматическое развертывание цифровых сертификатов на компьютерах, входящих в состав домена. Вместо того, чтобы подходить к каждому клиентскому компьютеру и вручную настраивать его параметры, или писать сложные сценарии входа, Вы можете один раз настроить необходимые параметры и распространить их на управляемые компьютеры с помощью службы каталогов Active Directory, входящей в состав ОС Windows Server «Longhorn», Windows Server 2003 и Windows 2000 Server.

В данном руководстве описываются действия, включающие в себя ручную настройку клиентского компьютера, в том числе ручную установку сертификатов, используемых для подписывания пакетов драйверов. Тем не менее, использование групповой политики Active Directory в рабочей среде с множеством клиентских компьютеров является более эффективным, надежным и безопасным методом управления параметрами безопасности и другими параметрами клиентских компьютеров в соответствии с политикой организации.

Для получения дополнительной информации о групповой политике и службе каталогов Active Directory обратитесь к разделу «Дополнительные ресурсы» данного руководства.

Наверх страницы

Требования, необходимые для подписывания и подготовки пакетов драйверов

Для успешного выполнения сценариев данного руководства Вам необходимо иметь:

• Клиентский компьютер под управлением 32-разрядной версии ОС Windows Vista. В данном руководстве этот компьютер будет называться DMI-Client1.

Важно

64-разрядные версии ОС Windows Vista и Windows Server «Longhorn» имеют особые требования к цифровой подписи драйверов, работающих в режиме ядра. Если Вы используете 64-разрядную версию Windows, то для их подписи Вам необходимо использовать сертификат издателя программного обеспечения, выпущенный доверенным центром сертификации. Для получения дополнительной информации обратитесь к разделу «Дополнительные ресурсы» данного руководства.

• Аппаратное устройство и пакет драйвера для него. Пакет драйвера не должен присутствовать на компьютере: он не должен входить в состав набора драйверов, поставляемых с Windows, или располагаться в хранилище драйверов компьютера DMI-Client1. Если ранее устройство уже устанавливалось на компьютер, то, вероятнее всего, пакет драйвера уже находится в хранилище драйверов, поэтому его необходимо удалить оттуда перед началом выполнения действий, описанных в данном руководстве. Если пакет драйвера не входит в состав набора драйверов, поставляемых с Windows, Вы можете удалить его старую копию и подготовить компьютер к началу работы, выполнив шаги, описанные в разделе «Удаление драйвера устройства и пакета драйвера, установленных на предыдущем этапе» данного руководства. В качестве тестового экземпляра в данном руководстве используется устройство «Toaster». Пакет драйвера этого устройства входит в состав набора Windows Driver Kit. Если Вы решите использовать какое-либо другое устройство, пользовательский интерфейс может отличаться от интерфейса, приведенного в данном руководстве, и для работы с пакетом драйвера этого устройства Вам может потребоваться изменить или выполнить некоторые дополнительные шаги.

• Доступ к защищенной административной учетной записи на компьютере DMI-Client1. В данном руководстве эта учетная запись будет называться TestAdmin. Учетная запись с административными полномочиями требуется для выполнения большинства действий описанных в данном руководстве. Выполнение каждого действия предполагает, что Вы работаете на компьютере DMI-Client1 под этой учетной записью, если не оговариваются другие условия.

Примечание

Новая функция контроля учетных записей, включенная в состав ОС Windows Vista и Windows Server «Longhorn», предлагает новую концепцию защищенной административной учетной записи. Административная учетная запись входит в состав группы Administrators, но по умолчанию прямое использование административных полномочий для этой учетной записи отключено. При попытке выполнить любую задачу, требующую административных полномочий, на экран выводится диалоговое окно, в котором у пользователя запрашивается разрешение на выполнение этой задачи. Это диалоговое окно обсуждается ниже, в разделе «Работа с диалоговым окном User Account Control» данного руководства. Корпорация Microsoft рекомендует использовать защищенную административную учетную запись вместо встроенной учетной записи Administrator всегда, когда это возможно.

• Доступ к учетной записи обычного пользователя на компьютере DMI-Client1. Данная учетная запись не имеет каких-либо административных полномочий. В данном руководстве эта учетная запись будет называться TestUser. Вы должны входить в систему под учетной записью TestUser только в отдельно оговоренных случаях. При попытке выполнить любую задачу, требующую административных полномочий, на экран выводится диалоговое окно, в котором у пользователя запрашиваются данные учетной записи, которая имеет такие полномочия. Это диалоговое окно обсуждается ниже, в разделе «Работа с диалоговым окном User Account Control» данного руководства.

Подготовительные действия

Следующие действия помогут подготовить Ваш компьютер для успешного выполнения сценариев данного руководства:

1. Работа с диалоговым окном «User Account Control»

2. Включение команды «Run» в меню «Start»

3. Отключение автоматического поиска драйверов на веб-узле Windows Update

4. Установка набора Windows Driver Kit

5. Настройка пакета драйвера тестового устройства «Toaster»

6. Установка драйвера шины тестового устройства «Toaster»

Работа с диалоговым окном «User Account Control»

При работе с данным руководством Вы часто будете сталкиваться с задачами, которые могут быть выполнены только членами группы Administrators. При попытке выполнения такой задачи в ОС Windows Vista или Windows Server «Longhorn» происходит следующее:

• Встроенная административная учетная запись отключена по умолчанию, и использовать ее не рекомендуется. Тем не менее, если Вы вошли в систему под встроенной административной учетной записью (Administrator), выполнение задачи продолжается.

• Если Вы вошли в систему под учетной записью, входящую в состав группы Administrators, но не являющуюся встроенной административной учетной записью, то в момент запуска задачи выводится диалоговое окно User Account Control, в котором у Вас запрашивается разрешение на выполнение этой задачи. Если Вы нажимаете на кнопку Continue, выполнение задачи продолжается.

• Если Вы вошли в систему под учетной записью обычного пользователя, Вам может быть отказано в возможности выполнения задачи. В зависимости от задачи Вы можете получить запрос на ввод учетных данных административной учетной записи в диалоговом окне User Account Control. Если Вы вводите правильные учетные данные, задача выполняется в контексте безопасности указанной административной учетной записи, в противном случае Вам будет отказано в возможности выполнения задачи.

Важно

Прежде чем вводить учетные данные, разрешающие выполнение любой административной задачи, убедитесь, что диалоговое окно User Account Control появляется в ответ на инициированную Вами попытку запуска этой задачи. Если же диалоговое окно появляется неожиданно, нажмите кнопку Details и выясните, какая задача вызвала это окно, прежде чем разрешить ее выполнение.

В процессе выполнения сценариев, рассматриваемых в данном руководстве, каждый случай появления диалогового окна User Account Control не рассматривается. Если для выполнения определенных административных задач требуются дополнительные действия, они будут рассмотрены.

Включение команды «Run» в меню «Start»

В ОС Windows Vista команда Run в меню Start по умолчанию не отображается. Включение этой команды существенно упростит многие действия, выполняемые в данном руководстве.

Для включения команды «Run» в меню «Start» выполните следующие действия:

Отключение автоматического поиска драйверов на веб-узле Windows Update

Когда производится поиск пакета драйвера устройства, по умолчанию Windows обращается к библиотеке драйверов, расположенной на веб-узле Windows Update.

Поиск драйверов на узле Windows Update является полезной функцией для домашних пользователей. Тем не менее, многим администраторам требуется осуществлять контроль над тем, какие драйверы могут быть установлены пользователями. Вы можете настроить политику компьютера, отключающую функцию поиска драйверов на веб-узле Windows Update. Если в сценариях данного руководства Вы используете устройство, пакет драйвера которого доступен на веб-узле Windows Update, то для того, чтобы выполнение сценариев происходило так, как это описано, Вы должны выполнить следующие шаги:

Для отключения автоматического поиска драйверов на веб-узле Windows Update выполните следующие действия:

При отключении функции веб-поиска драйверов их поиск будет производиться только в локальном хранилище драйверов (см. второй сценарий данного руководства) и в папках, перечисленных в параметре реестра DevicePath (см. третий сценарий данного руководства). Если пакет драйвера не будет найден в этих местоположениях, пользователю будет предложено вручную указать путь к необходимым файлам.

Примечание

Ручная настройка параметров целесообразна только в случае управления небольшим количеством компьютеров. Если Вы хотите отключить поиск драйверов на веб узле Windows Update, используйте групповую политику. Политику Turn off Windows Update device driver searching можно найти, запустив консоль управления групповой политики (Group Policy Management Console) и раскрыв узел Computer Configuration – Administrative Templates – System – Internet Communication Management – Internet Communication settings.

Продолжение ста