Визначення способу виправлення додатків, несумісних з windows 7

Windows 7 включає технологію віртуалізації контролю облікових записів для додатків, несумісних з функцією контролю облікових записів і вимагають для коректної роботи облікових даних адміністратора. Коли несумісне з контролем облікових записів додаток намагається здійснювати запис в захищеному каталозі, наприклад в каталог Program Files, функція контролю облікових записів створює для цього додатка власне віртуалізованних уявлення ресурсів, які передбачається змінити. Ця віртуалізованних копія зберігається в профілі користувача. При цьому окрема копія віртуалізованних файлу створюється для кожного користувача, що запускає несумісне додаток. Однак в таких ситуаціях використовувати віртуалізацію служби захисту користувачів неможливо:

  • віртуалізація контролю облікових записів непридатна до додатків з підвищеними правами, які запускаються з маркером повного адміністративного доступу;
  • віртуалізація контролю облікових записів підтримує тільки 32-розрядні додатки. Програми, написані для 64-розрядних версій Windows, повинні бути сумісні з функцією контролю облікових записів і записувати дані в правильні розташування;

    Наступні питання покликані допомогти при усуненні неполадок з додатками, які не вдається запускати від імені звичайного користувача. Питання наведені в тому порядку, в якому на них необхідно відповідати.

    Додаток слід запускати від імені адміністратора тільки в тому випадку, якщо вирішити проблему іншим способом неможливо.

    Додаток виконує допустимі адміністративні завдання?

    Деякі програми призначені для виконання допустимих адміністративних завдань, і тому їм потрібні права адміністратора. Наприклад, якщо додаток призначений для установки на комп'ютер програмного забезпечення і управління цим програмним забезпеченням, то для виконання цих дій йому потрібні дозволи рівня адміністратора. Засоби для управління ресурсами системи також зазвичай вимагають прав адміністратора і можуть використовуватися тільки користувачами, що увійшли в систему від імені членів локальної групи "Адміністратори" або користувачів, які можуть надати облікові дані адміністратора. У звичайних користувачів не повинно виникати необхідність у запуску таких додатків.

    Чи можна вирішити проблему за допомогою оновлення?

    Виправлення помилок в коді додатків може виявитися таким же простим рішенням, як і оновлення до останньої доступної версії. Однак для більш старих додатків варіант з оновленням або виправленням помилок може не підходити.

    переробка додатків

    Навіть після таких змін можуть залишитися завдання, що вимагають повного адміністративного доступу. До них, наприклад, відносяться управління обліковими даними користувачів, установка драйвера пристроїв і використання програмного продукту для управління підприємством. У Windows 7 розробники додатків повинні визначити, який з двох рівнів доступу (звичайний або адміністративний) потрібно їх додатком для виконання конкретних завдань. Якщо з додатком не потрібно для виконання завдання повний адміністративний доступ, воно повинно бути написано таким чином, щоб вимагати тільки перевірки доступу звичайного користувача. Наприклад, сумісний з контролем облікових записів додаток повинен зберігати файли з даними в профілі користувача або в загальнодоступному місці, а не в папці Program Files.

    Програма Windows 7 Logo

    Програма Windows 7 Logo - це основна перевага створення додатків, сумісних з контролем облікових записів. Ця програма має суворі вимоги до сертифікації, що гарантують користувачам, що сертифіковані продукти належним чином інтегровані з Windows 7.

    Це проблема сумісності звичайного користувача?

    Основна причина проблем з запуском додатків від імені звичайного користувача пов'язана з тим, що додаток записує дані в файли, які знаходяться в папці установки програми, наприклад в папці в% ProgramFiles%. Оскільки у звичайних користувачів немає права на запис в папку Program Files і її підпапки, при спробі запису в файл в цей папці відбувається збій програми.

    Щоб переконатися, що проблема пов'язана з запуском програми зі зниженими правами, а не з іншою проблемою сумісності Windows 7, спробуйте запустити додаток від імені адміністратора з підвищеними правами на тестовому комп'ютері.

    Оскільки запуск програми з підвищеними правами може призвести до постійних змін конфігурації, що впливає на надійність і відтворюваність подальших перевірок сумісність програми, цю операцію необхідно виконувати тільки на комп'ютері, налаштованому для тестування.

    Якщо під час запуску програми від імені звичайного користувача виникає проблема сумісності, можна спробувати вирішити проблему, встановивши одне або кілька виправлень сумісності додатків, також званих оболонками сумісності. Оболонки сумісності змінюють поведінку додатки з метою усунення типових проблем сумісності для звичайного користувача. Оскільки кожна оболонка сумісності змінює поведінку системи для цільового програми, існує ймовірність, що оболонка сумісності викличе окрему проблему сумісності з даним додатком. Тому слід встановлювати тільки ті оболонки сумісності, які є необхідними для запуску програми.

    Чи можна вирішити проблему, перетворивши дані рівня комп'ютера в дані окремих користувачів?

    При перетворенні даних рівня комп'ютера в дані окремого користувача, дані зберігаються в профілі користувача і доступні тільки конкретного користувача. Нижче наведено два приклади перетворення даних рівня всього комп'ютера в дані окремих користувачів.

    • Визначте розділи реєстру HKEY_CLASSES_ROOT. в які здійснює запис додаток, і створіть ці розділи всередині розділу \ HKEY_CURRENT_USER \ Software \ Classes.
  • Визначте INI-файли, в які здійснює запис додаток, і створіть записи IniFileMapping для цих файлів в розділі реєстру \ HKEY_LOCAL_MACHINE \ Microsoft \ WindowsNT \ IniFileMapping.

    Чи можна вирішити проблему шляхом зміни списку управління доступом для файлу або папки?

    Дотримуючись необхідних заходів обережності, змініть список управління доступом одного або декількох файлів або папок в загальних настроях, які використовуються додатком.

    Зміна списку управління доступом файлу або папки може привести до виникнення загрози безпеки комп'ютера. Щоб обмежити загрози, пов'язані з наданням звичайним користувачам додаткових дозволів на доступ до файлів і папками в папці установки програми, необхідно точно визначити, яких файлів і папок стосується проблема, і надати додаткові дозволи тільки для цих файлів і папок.

    Щоб визначити необхідні зміни, такі вказівки.

    1. Вносьте зміни в списки управління доступом тільки для ресурсів, пов'язаних з конкретними додатками. Можливість зміни списків управління доступом слід розглядати тільки для ресурсів конкретних програм, а не для ресурсів всієї операційної системи. Зміна списку управління доступом для папки% ProgramFiles% \ PublisherName \ ApplicationName \ DataFolder ще може бути прийнятним, однак ні в якому разі не можна змінювати список управління доступом для папки% SystemRoot% \ System32.
  • Вносьте зміни в списки управління доступом тільки для файлів, які не використовуються адміністраторами. Намагайтеся не змінювати списки управління доступом для ресурсів, які використовуються адміністраторами або службами, особливо для виконуваних файлів, наприклад для EXE- і DLL-файлів. Це збільшує ризик підвищення прав, яке може поставити під загрозу всю систему. У разі зміни списків управління доступом для ресурсів, що використовуються адміністраторами, можливості для атаки все одно менше, ніж при запуску всіх додатків від імені адміністратора.
  • Намагайтеся не змінювати списки управління доступом для довічних файлів. Щоб не допустити появи шкідливого ПО в результаті зараження або заміни файлів програм, намагайтеся не змінювати списки управління доступом до коду програм (наприклад, до EXE-, DLL або OCX-файлів).
  • Обмежуйте зміни списку управління доступом одним звичайним користувачем. В ідеальному випадку доступ до ресурсу повинен отримувати тільки один звичайний користувач. Якщо ж ресурс стає доступним для кількох звичайних користувачів, тоді є ризик того, що один користувач може поставити під загрозу іншого користувача.
  • Надавайте мінімально можливий рівень дозволів. Щоб забезпечити коректну роботу програми, права доступу повинні надаватися в мінімально можливий "обсязі", ці права повинні надаватися для доступу до мінімально можливого числа ресурсів і для мінімально можливої ​​кількості користувачів. Ніколи не повинна виникати необхідність в наданні групі користувачів "Все" повного доступу до великої кількості системних файлів або реєстру. Оптимальний варіант - це надати додаткові права доступу тільки основному користувачу комп'ютера. Однак це може викликати труднощі при роботі з великою кількістю комп'ютерів, у кожного з яких є свій основний користувач. Якщо можна визначити коло користувачів, яким потрібна використовувати дану програму, їх слід об'єднати в групу, і надати доступ цій групі.
  • Надавайте доступ вбудованої групі "Інтерактивні". Інший можливий варіант - надання доступу вбудованої групі "Інтерактивні". При цьому додаткові права доступу будуть надані тільки тим користувачам, які увійшли в систему інтерактивно (права віддаленого доступу до ресурсу в цьому випадку надаватися не будуть).

    У разі віддаленого робочого стола або швидкого перемикання користувачів з комп'ютером може одночасно працювати кілька користувачів, в маркерах доступу яких буде вказано INTERACTIVE.

    Чи можна вирішити проблему, запустивши цю програму від імені адміністратора?

    Якщо вирішити проблему іншим способом не вдається, запустіть окреме несумісне додаток від імені адміністратора. Таке рішення слід використовувати тільки як крайній захід. В якості альтернативи запуску додатка від імені адміністратора вивчіть програми, які допомагають звичайним користувачам запускати необхідні їм додатки без надання додаткових прав користувачу або додатку.