Ativar Prompt de Senha para o Ambiente de Recuperação do Windows

Question

Em uma das minhas estações de trabalho de domínio, consigo acessar o Ambiente de Recuperação do Windows 7 (WinRE) sem que seja solicitado um nome de usuário e senha. Minha pesquisa ( exemplo ) unanimemente declara que eu devo obter o seguinte prompt para logar com uma conta de usuário local imediatamente após selecionar o método de entrada do teclado:

Eununcareceboesteaviso.

EsteTechNet postagem no fórum por um moderador confirma que eu devo ser solicitado a fazer o logon e esta não é uma opção configurável :

When using WinRE, Administrative privilege is demanded by design and this cannot be disabled.

Ainda sem fazer login, consigo acessar todas as opções de recuperação, incluindo o Prompt de Comando, no qual posso navegar por todos os dados no disco rígido da máquina.

As únicas contas locais na máquina são as contas Administrator e Guest , ambas desativadas. A conta de administrador tem um conjunto de senhas.

Estou inicializando para o WinRE a partir de uma unidade USB criada a partir da mídia do System Builder do Windows 7 Pro OEM. Não é um ambiente WinRE personalizado. A variável% USERNAME% nos relatórios do prompt de comando do WinRE em que estou logado como SYSTEM. O computador em questão é um membro do domínio que executa o Windows 7 Pro de 64 bits com as atualizações mais recentes.

A configuração da política de grupo Configuração do Computador \ Configurações do Windows \ Políticas Locais \ Opções de Segurança \ Console de Recuperação: Permitir logon administrativo automático está Desativado, que significa :

Automatic administrative logon is not allowed.

Como posso solucionar isso e exigir que o logon do usuário acesse o WinRE?

    

Answer 1

Verifique a configuração da política (gpedit.msc e / ou gpresult / h):

Configuração do computador > Configurações do Windows > Configurações de segurança > Políticas locais > Opções de segurança: Console de recuperação: Permitir logon administrativo automático

Configuraçãodoregistro:

Key:HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Setup\RecoveryConsole\Value:SecurityLevel(0=disabled)

link

    

Answer 2

Ser capaz de inicializar a partir de uma unidade USB ou óptica sempre significa que os dados no disco rígido são navegáveis se você tiver acesso físico à máquina e a unidade de disco rígido não estiver criptografada.

Um console de recuperação padrão pode obedecer à Diretiva de Grupo Recovery console: Allow automatic administrative logon = disabled (ou à chave do Registro), mas um sistema de recuperação em uma unidade externa não precisa sobre seus privilégios de usuário de domínio ou métodos de autenticação local. Um sistema de recuperação pode acessar o disco rígido completamente fora do sistema. Outras ferramentas como ntpasswd ou qualquer distribuição ao vivo do Linux faz isso.

Portanto, se você quiser impedir explicitamente que os usuários acessem qualquer ambiente de recuperação:

• Adicionar senha da BIOS / UEFI.
• Exclua tudo, exceto o disco rígido local da ordem de inicialização & opções de inicialização.
• Remova as partições de recuperação do disco rígido.
• Possivelmente criptografe a unidade (por exemplo, com o BitLocker) se você também quiser limitar o acesso com uma chave de fenda.