Значения ключей реестра сбрасываются на значения по умолчанию после перезагрузки в Windows 2019.

Содержание

Вопрос или проблема
Ответ или решение
Теория
Пример
Применение

Вопрос или проблема

Чтобы включить общую папку администратора, мне нужно изменить значение LocalAccountTokenFilterPolicy на 1, поэтому я устанавливаю

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System Value: LocalAccountTokenFilterPolicy = 1

Но после перезагрузки машины значение возвращается обратно на 0. В Windows 2012 и 2016 у меня не было никаких проблем, но в Windows 2019 я сталкиваюсь с этой проблемой.

Чтобы предотвратить изменение значения в Regedit:

Сначала экспортируйте ключ или, что лучше, создайте резервную копию реестра на случай, если что-то пойдет не так.
Измените значение LocalAccountTokenFilterPolicy на 1, как требуется.
Затем щелкните правой кнопкой мыши на ключе, содержащем значение.
Нажмите на Разрешения.
Нажмите кнопку Дополнительно.
Смените владельца на себя.
Удалите полный контроль у других пользователей, кроме себя, где это возможно.
Если этого недостаточно для “блокировки” значения после перезагрузки, повторите вышеописанное и, наконец, смените Владельца на NT Service\TrustedInstaller.

Осторожно: Возможно, что некоторый процесс Windows все еще изменит значение или не будет работать правильно. В таком случае есть обходной путь:

Щелкните правой кнопкой мыши по ключу и экспортируйте его с правильным значением для LocalAccountTokenFilterPolicy.
После каждой перезагрузки запускайте скрипт для восстановления значения.

Ответ или решение

В Windows Server 2019 происходит ситуация, когда после перезагрузки системы измененные значения в реестре, например, LocalAccountTokenFilterPolicy, возвращаются к значениям по умолчанию. Это может быть вызвано несколькими факторами:

Теория

Для реализации административного доступа к системным ресурсам Windows использует механизм администраторских общих ресурсов (admin share). Для их активации часто требуется внести изменения в реестр, изменив значение ключа LocalAccountTokenFilterPolicy. В нормальных условиях это значение сохраняется, что позволяет устранять проблемы с доступом на других машинах, таких как Windows Server 2012 или 2016. Однако в Windows Server 2019 возникает проблема с нестабильным хранением этого значения между перезагрузками.

Основной причиной может быть наличие служб или заданий, которые автоматически восстанавливают настройки безопасности, в том числе системные ключи реестра, до их исходного вида. Это часть стратегии безопасности, направленной на предотвращение несанкционированных изменений критических параметров системы.

Пример

Когда значение LocalAccountTokenFilterPolicy устанавливается на 1, это позволяет учетным записям без прав администратора (таким как учетные записи локальных пользователей) получать доступ к общим ресурсам по сети. При перезагрузке компьютера это значение может быть сброшено обратно на 0, что вызывает необходимость постоянного ручного восстановления этого ключа. Обращает на себя внимание тот факт, что в предыдущих версиях Windows таких проблем не возникало, что предполагает обновления в механизмах безопасности серверной версии Windows 2019.

Применение

Для обеспечения устойчивости изменений в реестре и предотвращения их перезаписи после перезагрузки можно использовать ряд методик, описанных ниже:

Бэкап и права доступа:
- Перед внесением изменений в реестр настоятельно рекомендуется создать резервную копию (экспортировать) всего ключа реестра. Это обеспечит возможность восстановить исходные настройки, если что-то пойдет не так.
- Установите желаемое значение LocalAccountTokenFilterPolicy на 1.
- Настройте права доступа так, чтобы только авторизованные пользователи могли изменять этот параметр. Для этого:
  - Щелкните правой кнопкой мыши по ключу System и выберите «Разрешения».
  - Нажмите «Дополнительно», измените владельца на вашу учетную запись и удалите права полного доступа для всех, кроме себя.
  - В случае, если изменения все равно отменяются, можно попробовать поменять владельца ключа на NT SERVICE\TrustedInstaller, который имеет особые права системы.
Использование скриптов:
- В случае, если изменения все равно отменяются несмотря на вышеописанные меры, соорудите скрипт, который при запуске будет восстанавливать нужное значение.
- Экспортируйте ключ реестра с нужным значением в REG-файл и запускайте его после каждой перезагрузки автоматически через планировщик задач Windows или путем добавления его в параметры автозагрузки.
Менеджер учетных данных и групповые политики:
- Помимо изменения непосредственного значения в реестре, проверьте учетные данные и настройки групповой политики на предмет возможных ограничений, которые могут способствовать изменению этого ключа.

Для уверенности в применении таких решений, важно также учитывать особенности вашего серверного окружения и требования безопасности, так как излишняя переустановка может привести к уязвимостям. Обдуманный подход и тестирование будут способствовать безопасной и надежной настройке администраторских общих ресурсов в Windows Server 2019.