Använd UserAccountControl-flaggor för att ändra egenskaper för användarkonton

I den här artikeln beskrivs information om hur du använder attributet UserAccountControl för att ändra egenskaperna för användarkontot.

Original-KB-nummer: 305144

Sammanfattning

När du öppnar egenskaperna för ett användarkonto klickar du på fliken Konto och markerar eller avmarkerar sedan kryssrutorna i dialogrutan Kontoalternativ. Numeriska värden tilldelas attributet UserAccountControl. Värdet som tilldelas attributet anger för Windows vilka alternativ som har aktiverats.

För att visa användarkonton klickar du på Start, pekar på Program, pekar på Administrationsverktyg och klickar sedan på Active Directory-användare och -datorer.

Lista över egenskapsflaggor

Du kan visa och redigera dessa attribut med hjälp av antingen Ldp.exe-verktyget eller snapin-modulen Adsiedit.msc.

I följande tabell visas möjliga flaggor som du kan tilldela. Du kan inte ange några av värdena för ett användar- eller datorobjekt eftersom dessa värden endast kan anges eller återställas av katalogtjänsten. Ldp.exe visar värdena i hexadecimalt. Adsiedit.msc visar värdena i decimaltal. Flaggorna är kumulativa. Om du vill inaktivera en användares konto anger du attributet UserAccountControl till 0x0202 (0x002 + 0x0200). I decimaltal är det 514 (2 + 512).

Beskrivningar av egenskapsflagga

• SCRIPT – inloggningsskriptet kommer att köras.

• ACCOUNTDISABLE – användarkontot är inaktiverat.

• HOMEDIR_REQUIRED – startmappen krävs.

• PASSWD_NOTREQD – inget lösenord krävs.

• PASSWD_CANT_CHANGE – användaren kan inte ändra lösenordet. Det är en behörighet för användarens objekt. Information om hur du programmatiskt anger den här behörigheten finns i Ändra användare kan inte ändra lösenord (LDAP-provider).

• ENCRYPTED_TEXT_PASSWORD_ALLOWED – användaren kan skicka ett krypterat lösenord.

• TEMP_DUPLICATE_ACCOUNT – det är ett konto för användare vars primära konto finns i en annan domän. Det här kontot ger användaråtkomst till den här domänen, men inte till någon domän som litar på den här domänen. Det kallas ibland för ett lokalt användarkonto.

• NORMAL_ACCOUNT – det är en standardkontotyp som representerar en typisk användare.

• INTERDOMAIN_TRUST_ACCOUNT – det är ett tillstånd att lita på ett konto för en systemdomän som litar på andra domäner.

• WORKSTATION_TRUST_ACCOUNT – det är ett datorkonto för en dator som kör Microsoft Windows NT 4.0 Workstation, Microsoft Windows NT 4.0 Server, Microsoft Windows 2000 Professional eller Windows 2000 Server och är medlem i den här domänen.

• SERVER_TRUST_ACCOUNT – det är ett datorkonto för en domänkontrollant som är medlem i den här domänen.

• DONT_EXPIRE_PASSWD – representerar lösenordet som aldrig ska upphöra att gälla för kontot.

• MNS_LOGON_ACCOUNT – det är ett MNS-inloggningskonto.

• SMARTCARD_REQUIRED – när den här flaggan har angetts tvingar den användaren att logga in med hjälp av ett smartkort.

• TRUSTED_FOR_DELEGATION – när den här flaggan anges är tjänstkontot (användaren eller datorkontot) under vilket en tjänst körs betrodd för Kerberos-delegering. Alla sådana tjänster kan personifiera en klient som begär tjänsten. Om du vill aktivera en tjänst för Kerberos-delegering måste du ange den här flaggan för egenskapen userAccountControl för tjänstkontot.

• NOT_DELEGATED – när den här flaggan anges delegeras inte användarens säkerhetskontext till en tjänst, även om tjänstkontot har angetts som betrott för Kerberos-delegering.

• USE_DES_KEY_ONLY – (Windows 2000/Windows Server 2003) Begränsa det här huvudkontot till att endast använda krypteringstyperna Data Encryption Standard (DES) för nycklar.

• DONT_REQUIRE_PREAUTH – (Windows 2000/Windows Server 2003) Det här kontot kräver inte Kerberos-förautentisering för inloggning.

• PASSWORD_EXPIRED – (Windows 2000/Windows Server 2003) Användarens lösenord har upphört att gälla.

• TRUSTED_TO_AUTH_FOR_DELEGATION – (Windows 2000/Windows Server 2003) Kontot är aktiverat för delegering. Det är en säkerhetskänslig inställning. Konton som har det här alternativet aktiverat bör vara noggrant kontrollerade. Med den här inställningen kan en tjänst som körs under kontot förutsätta en klients identitet och autentiseras som den användaren till andra fjärrservrar i nätverket.

• PARTIAL_SECRETS_ACCOUNT – (Windows Server 2008/Windows Server 2008 R2) Kontot är en skrivskyddad domänkontrollant (RODC). Det är en säkerhetskänslig inställning. Om du tar bort den här inställningen från en RODC äventyras säkerheten på servern.

UserAccountControl-värden

Här är standardvärdena för UserAccountControl för vissa objekt:

• Typisk användare: 0x200 (512)
• Domänkontrollant: 0x82000 (532480)
• Arbetsstation/server: 0x1000 (4096)
• Förtroende: 0x820 (2080)