Ovládání toho, co mohou aplikace dělat ve vašem počítači, již není volitelné: je klíčové pro zachování vašeho soukromí, zabezpečení a dokonce i výkonu systému Windows 11. Každý program, který nainstalujete, může požádat o přístup k vaší kameře, mikrofonu, souborům, poloze nebo se dokonce pokusit změnit nastavení systému bez vašeho vědomí, takže je moudré to vše pečlivě sledovat.
Navíc se Windows 11 díky nejnovějším změnám od Microsoftu stále více podobá mobilnímu zařízení, pokud jde o správu oprávnění, upozornění v reálném čase a vylepšené bezpečnostní kontroly . Pokud víte, kde hledat a co kontrolovat, můžete auditovat oprávnění každé aplikace , zjistit, co se děje v zákulisí, a v zárodku zarazit jakékoli neobvyklé nebo podezřelé chování.
Co jsou oprávnění aplikací ve Windows 11 a proč jsou důležitá?
Ve Windows 11 může každá aplikace požádat o přístup k různým systémovým prostředkům: poloze, fotoaparátu, mikrofonu, oznámením, souborům, kontaktům nebo kritickým systémovým funkcím . Bez těchto oprávnění by mnoho aplikací nefungovalo správně, ale problém nastává, když aplikace požaduje více, než potřebuje, nebo má nadále přístup, i když ho již nepotřebujete.
Společnost Microsoft přináší i na stolní počítače model oprávnění velmi podobný tomu v mobilních zařízeních: Windows se vás nyní může explicitně zeptat, kdy chce aplikace přistupovat k citlivým zdrojům nebo instalovat další software . Cílem je jasně uvést, co se děje, a umožnit vám říct ne, když se něco zdá být v nepořádku.
Tento přístup se netýká pouze klasických aplikací, které si instalujete na počítač, ale také cloudových integrací, aplikací používajících Microsoft Entra ID (dříve Azure AD) a nových agentů umělé inteligence, kteří interagují s vašimi daty a službami. To vše bude nyní důkladněji monitorováno, zaznamenáváno a kontrolováno.
Jak zobrazit a spravovat oprávnění aplikací v Nastavení systému Windows 11
Nejpřímějším způsobem, jak si většina uživatelů může zkontrolovat oprávnění, je použití aplikace Nastavení. Odtud můžete ovládat, které aplikace mají přístup k vašemu fotoaparátu, mikrofonu, poloze a dalším zdrojům, aniž byste museli do každé aplikace vstupovat zvlášť.
Přístup k panelu ochrany osobních údajů a zabezpečení
Chcete-li zahájit audit oprávnění přímo z rozhraní Windows 11, postupujte podle této obecné cesty:
- Klikněte na Ikona nastavení (ozubené kolo) v nabídce Startnebo stiskněte kombinaci kláves Windows + I.
- V levém sloupci zadejte sekci „Ochrana osobních údajů a zabezpečení“.
- Posuňte se dolů, dokud nenajdete blok s názvem "Oprávnění aplikace".
V této sekci uvidíte několik kategorií oprávnění (Poloha, Fotoaparát, Mikrofon, Oznámení atd.). Každá kategorie vám umožňuje rozhodnout, zda systém Windows povolí aplikacím používat daný zdroj a také které konkrétní aplikace to mohou dělat.
Pochopení toho, proč se v rámci jednotlivých oprávnění nezobrazují všechny aplikace
Mnoho uživatelů často mate fakt, že ne všechny nainstalované aplikace se zobrazují v kategorii oprávnění . To ale nutně neznamená, že je něco v nepořádku.
Systém Windows 11 zobrazuje pro každý typ oprávnění pouze aplikace, které o tento přístup skutečně požádaly nebo mohou požádat . Například je normální, že v seznamu umístění je více aplikací než v seznamu fotoaparátů, nebo že se aplikace nikdy nezobrazí, protože daný zdroj vůbec nepoužívá.
Například v reálném týmu je docela běžné najít něco jako toto:
- V sekci „Umístění“ je uveden seznam několik aplikací, které využívají geolokaci (prohlížeče, aplikace pro počasí, mapy atd.).
- V sekci „Fotoaparát“ se zobrazí pouze aplikace, které dokáží zachytit video nebo obrázky (Teams, Zoom, aplikace pro videohovory atd.).
Pokud se aplikace nezobrazuje pod konkrétním oprávněním, obvykle to znamená, že daný typ přístupu nepoužívá . Pokud si myslíte, že by se určitá aplikace měla zobrazit, a vy ji nevidíte, nejprve se ujistěte, že jste ji alespoň jednou použili v kontextu, kde má smysl, aby si vyžádala oprávnění (například při zahájení videohovoru, aby si vyžádala přístup k kameře).
Povolení nebo zakázání oprávnění podle typu zdroje
V rámci každé kategorie oprávnění aplikací můžete provádět dva typy rozhodnutí: povolit nebo zakázat zdroj globálně a ovládat, které konkrétní aplikace jej používají. Vzorec je téměř ve všech sekcích velmi podobný:
- Přejděte do sekce „Soukromí a zabezpečení“ > „Oprávnění aplikací“ a vyberte například "Fotoaparát".
- Nahoře uvidíte hlavní vypínač, který umožňuje aplikace přistupují k fotoaparátu na daném zařízeníPokud ji zakážete, žádná aplikace ji nebude moci používat.
- Níže je uveden seznam aplikací s vlastním přepínačem pro každou z nich. Můžete povolit nebo zakázat přístup aplikaci pro každou aplikaci.
Stejný vzorec se opakuje v pokynech, co dělat, když systém Windows 11 nerozpozná mikrofon , „Polohu“, „Kontakty“ a další kategorie. Zajímavé je, že vše, co zde změníte, je kdykoli vratné , takže můžete bez obav experimentovat: pokud aplikace přestane fungovat, protože jste odebrali oprávnění, jednoduše ho obnovte.
Ovládání oprávnění v sekci „Aplikace“
Dalším běžným způsobem je přejít na: klikněte pravým tlačítkem myši na tlačítko Start > Nastavení > Aplikace . Zde se zobrazí seznam nainstalovaných programů a budete mít přístup ke konkrétním možnostem pro každý z nich.
Je vhodné upřesnit, že ve většině případů se citlivá oprávnění nespravují v části „Nastavení > Aplikace “, ale spíše v části „Soukromí a zabezpečení“, jak jsme viděli. V sekci aplikací najdete obecnější nastavení programu (odinstalace, pokročilé možnosti atd.), nikoliv tolik přístup k fotoaparátu, poloze a dalším funkcím.
Pokud tedy hledáte, kde ovládat polohu, kameru nebo mikrofon pro konkrétní aplikaci, obvykle budete muset přejít do sekce „Soukromí a zabezpečení > Oprávnění aplikací“ a nikoli do seznamu jednotlivých aplikací v sekci „Aplikace“.
Nové ovládací prvky oprávnění ve Windows 11: model „v mobilním stylu“
Společnost Microsoft oznámila významné vylepšení bezpečnostního modelu systému Windows 11, které je v souladu s iniciativou Secure Future Initiative . Jedním z klíčových prvků této změny je zavedení ovládacích prvků oprávnění velmi podobných těm, které se nacházejí na mobilních zařízeních.
Důvod je jednoduchý: bylo zjištěno, že mnoho desktopových aplikací upravuje nastavení, instaluje nežádoucí software nebo mění kritické systémové funkce bez svolení uživatele . Aby se toto chování omezilo, systém Windows začne vyžadovat explicitní autorizaci v situacích, kdy se dříve vše dělo „pod radarem“.
Explicitní oprávnění pro citlivé akce
Díky těmto novým ovládacím prvkům se při pokusu aplikace například o instalaci jiného programu, přístup k určitým typům citlivých souborů nebo změnu důležitých systémových nastavení zobrazí varování s žádostí o váš souhlas. Vy se rozhodnete, zda aplikaci povolíte, zamítnete nebo nejprve zkontrolujete, co se děje.
Dále je posílena myšlenka, že oprávnění můžete odvolat i po jeho udělení . Pokud se aplikace chová podivně nebo jí již nedůvěřujete, můžete jí přístup odebrat v nastavení, aniž byste ji museli odinstalovat.
Ochrana integrity za běhu
Dalším aspektem nového modelu je, že systém Windows ve výchozím nastavení povoluje ochranu integrity za běhu . V praxi to znamená, že se budou moci spustit pouze aplikace, služby a ovladače, které jsou řádně podepsány a splňují určité bezpečnostní požadavky.
V pokročilých prostředích nebo v odůvodněných případech mohou administrátoři (a v některých případech i uživatel) z těchto ochran vyloučit konkrétní aplikace . To je užitečné, když potřebujete spouštět specializované nástroje, starší ovladače nebo interní firemní software, který ještě nesplňuje všechny moderní požadavky na signatury.
Postupné zavádění a přísnější požadavky na aplikace a umělou inteligenci
Tyto změny budou zaváděny postupně, přičemž Microsoft bude upravovat chování na základě zpětné vazby od vývojářů, firem a koncových uživatelů . Cílem je předejít zbytečným pádům a zároveň výrazně zlepšit celkovou bezpečnost.
V rámci této širší strategie se zavádějí další relevantní opatření:
- Vyztužení Přihlašovací ID Microsoftu proti útokům s vkládáním skriptů.
- Zakázání všech ovládacích prvků ActiveX v Microsoft 365 a Office 2024 pro Windows.
- Aktualizace výchozích nastavení zabezpečení Microsoft 365 pro Blokování přístupu k souborům SharePointu, OneDrivu a Office pomocí starších protokolů považováno za nebezpečné.
Microsoft dále varuje, že aplikace, a zejména agenti umělé inteligence, budou muset splňovat vyšší standardy transparentnosti . Budou muset poskytovat lepší informace o tom, jaká data používají, jaká oprávnění potřebují a jak interagují se systémem, aby uživatelé měli jasnější představu a mohli se informovaně rozhodovat.
Audit a kontrola oprávnění v organizačních aplikacích pomocí Microsoft Enter
Když mluvíme o firemním nebo organizačním prostředí, oprávnění již nejsou omezena pouze na kameru nebo mikrofon počítače. Na řadu přichází Microsoft Entra ID, cloudová platforma pro identitu a přístup , která centralizuje správu aplikací a jejich autorizace pro firemní API a data.
V této souvislosti „audit oprávnění“ znamená kontrolu, které aplikace mají přístup ke kterým zdrojům prostřednictvím oprávnění API (delegovaných nebo aplikačních) , kdo tato oprávnění udělil a zda jsou stále vhodná podle firemních zásad.
Co je Microsoft Login a jaké typy oprávnění zpracovává?
Microsoft Entra umožňuje vaší organizaci registrovat aplikace (interní nebo třetích stran) a přiřazovat jim různé typy přístupu:
- Delegovaná oprávněníAplikace jedná jménem uživatele a používá jeho identitu a oprávnění.
- Oprávnění aplikace (pouze aplikace)Aplikace funguje samostatně, bez interaktivního uživatele, a obvykle má širší přístup k datům a službám.
Tato oprávnění jsou klíčová, protože ovládají věci, jako je čtení e-mailů prostřednictvím Microsoft Graphu, přístup k souborům OneDrivu nebo SharePointu, prohlížení uživatelských dat nebo správa dalších cloudových zdrojů . Proto je nezbytné pravidelně kontrolovat, zda vše, co je uděleno, stále dává smysl.
Kontrola protokolů aktivit a auditů oprávnění pro všechny aplikace
Microsoft Entra zaznamenává mnoho událostí souvisejících s udělováním a odebíráním oprávnění. Chcete-li zobrazit komplexní přehled oprávnění aplikací ve vašem adresáři , postupujte v centru pro správu takto:
- Přihlaste se do Přihlášení do centra pro správu Microsoftu s účtem, který má alespoň jednu z těchto rolí: Čtenář sestav, Bezpečnostní čtenář, Bezpečnostní správce nebo Globální čtenář.
- Navigovat do Přihlašovací ID > Firemní aplikace.
- V levém panelu v části „Aktivita“ přejděte do sekce "Záznamy z auditu".
- Pomocí filtrů si můžete ponechat pouze události relevantní pro daný aktivita oprávnění aplikací (udělování a odebírání oprávnění API).
- V nabídce „Spravovat zobrazení“ v horním panelu příkazů můžete vybrat, které sloupce chcete zobrazit (včetně data) lépe analyzovat každý záznam.
Tímto způsobem můžete například zjistit, kdy bylo aplikaci uděleno silné oprávnění, kdo jej autorizoval nebo zda byla nedávno odebrána nějaká důležitá oprávnění.
Audit oprávnění API pro konkrétní aplikaci prostředků
V jiných případech můžete chtít prozkoumat podrobnosti o konkrétní aplikaci , například Microsoft Graph, abyste zjistili, které další aplikace k ní mají oprávnění. To je obzvláště užitečné pro monitorování přístupu k vysoce citlivým datům.
Proces by byl něco takového:
- Přístup k centru pro správu Microsoft. Přihlaste se s rolí, která má alespoň oprávnění ke čtení sestav.
- Přejít na Přihlašovací ID > Firemní aplikace.
- Vyhledejte si aplikaci s informacemi o zdrojích, která vás zajímá. Například pokud chcete najít zdroje za posledních 30 dní Které aplikace získaly od Microsoft Graphu oprávnění Mail.Read?Vyhledejte položku „Microsoft Graph“.
- V levém panelu se v části „Aktivita“ vraťte do "Záznamy z auditu".
- Filtrujte protokoly podle polí uvedených v dokumentaci auditu a vyberte pouze události související s oprávněními API.
- Upravte zobrazení pomocí možnosti „Spravovat zobrazení“ a přidejte sloupce, jako například rande nebo herec a mít možnost vidět podrobnosti o tom, kdo povolení udělil nebo zrušil.
S těmito informacemi můžete ověřit, zda aktuální přístup splňuje interní zásady, zda existují aplikace s většími oprávněními, než potřebují, nebo zda nedošlo k nějakým rizikovým ústupkům, které byste měli prošetřit.
Relevantní auditní události a omezení
Auditní protokoly společnosti Entra odrážejí různé scénáře související s udělováním a odebíráním povolení. Mezi nejdůležitější události, kterých byste si měli být vědomi, patří:
- Udělení přístupu k aplikaci pouze pro aplikaciAuditní služba „Core Directory“ zaznamenává v kategorii „Application Management“ aktivitu podobnou aktivitě „Přidat přiřazení role aplikace k instančnímu objektu“. Kontextem je uživatel, který uděluje přístup.
- Zrušení exkluzivního přístupu k aplikaciUdálost, jako například „Odebrat přiřazení role aplikace z instančního objektu“, se vygeneruje také v adresáři Core Directory > Application Management.
- Udělení delegovaného přístupu: Projevuje se to jako něco podobného jako „Přidat delegovaná oprávnění“, což znamená, že aplikace nyní může jednat jménem uživatele.
- Souhlas uživatele s aplikací: zobrazí se událost „Souhlas aplikace“, která ukazuje, že uživatel souhlasil s tím, že aplikaci povolí používat určitá oprávnění.
Každý z těchto záznamů má svá vlastní omezení a technické detaily , ale společně vám umožňují rekonstruovat, kdo udělil přístup, k čemu a kdy. To je základ seriózního auditu oprávnění v podnikovém prostředí.
Správa oprávnění k souborům a složkám ve Windows 11
Oprávnění neovlivňují pouze aplikace jako takové; důležitá jsou také oprávnění NTFS k souborům a složkám . Častou chybou ve Windows 11 je, že soubor nelze otevřít (například dokument Word přijatý přes WhatsApp), protože oprávnění ke složce jsou nesprávná nebo je soubor poškozen.
Zkontrolujte, zda problém souvisí s oprávněními nebo poškozením.
Pokud se při otevírání souboru z místního disku ve Wordu zobrazí chyba, existují dvě hlavní možnosti:
- Že Oprávnění NTFS pro složku nebo soubor nejsou dostatečná. pro vašeho aktuálního uživatele.
- Že soubor je poškozené, například během přenosu přes WhatsApp nebo jinými prostředky.
Než začnete vinit aplikaci, je vhodné zkontrolovat oprávnění a pokud je vše v pořádku a soubor se stále neotevře, předpokládejte, že byl pravděpodobně poškozen a budete si ho muset znovu vyžádat nebo kontaktovat podporu služby, která jej přenesla.
Jak udělit plná oprávnění pro složku uživateli „Všem“
V některých případech, zejména v domácím prostředí, můžete chtít, aby všichni uživatelé počítače měli plnou kontrolu nad konkrétní složkou , abyste se vyhnuli problémům s přístupem (například sdílená složka se společnými dokumenty). Základní postup by byl:
- Vyhledejte složku, ve které se nachází problematický soubor, klikněte na ni pravým tlačítkem myši a vyberte «Vlastnosti».
- Přejděte na kartu "Bezpečnostní"Zobrazí se seznam uživatelů a skupin, kteří mají definovaná oprávnění.
- Klikněte na tlačítko „Upravit…“ pro úpravu oprávnění.
- Klikněte na "Přidat…"a poté v části „Pokročilé“.
- Do spodní části rámečku napište vše jako název objektu, který chcete vybrat, potvrdit a přijmout.
- Zpět v okně oprávnění zaškrtněte políčko pro udělení oprávnění pro „Všechny“. plná kontrola nad složkoua aplikujte změny.
Po provedení této akce by měl být jakýkoli místní uživatel schopen soubor otevřít bez omezení oprávnění. Pokud Word stále nemůže dokument otevřít, je s největší pravděpodobností poškozený a ze strany Windows s ním nelze nic dělat , takže budete muset kontaktovat podporu WhatsAppu nebo požádat o opětovné zaslání souboru.
Spouštět aplikace se zvýšenými oprávněními kontrolovaným způsobem
Dalším velmi citlivým typem „oprávnění“ je možnost spustit aplikaci s oprávněními správce . Udělení oprávnění správce programu je ekvivalentní povolení provádět téměř jakékoli změny v systému, takže je nutné s ním zacházet s maximální opatrností.
Ve Windows 11 by standardní uživatelský účet neměl být schopen spouštět aplikace jako správce bez nutnosti použití Řízení uživatelských účtů (UAC) , které vyzve k zadání uživatelského jména a hesla správce. Existuje však pokročilý způsob, jak to nakonfigurovat pomocí Plánovače úloh.
Spuštění aplikace s oprávněními správce pomocí Plánovače úloh
Pro velmi specifický scénář, například povolení běžnému uživateli spustit určitou hru nebo program s oprávněními správce bez nutnosti zadávat přihlašovací údaje pokaždé, můžete použít Plánovač úloh :
- V nabídce Start systému Windows 11 vyhledejte „Plánovač úloh“ a otevřete jej.
- V pravém sloupci klikněte na "Vytvořte základní úkol...".
- Zadejte úkol popisný název a pokud chcete, popisPokračujte tlačítkem „Další“.
- Jako spouštěč zvolte „Když se přihlásíte“Pokud chcete, aby se spustil automaticky po přihlášení, klikněte na tlačítko „Další“.
- V části „Akce“ vyberte "Spustit program" a vraťte se na „Další“.
- Pomocí tlačítka procházet vyhledejte spustitelný soubor (.exe) hry nebo aplikace, obvykle v instalační složce. Potvrďte a klikněte na tlačítko „Další“.
- Projděte si shrnutí a klikněte na "Dokončit".
Pokud úlohu upravíte tak, aby se spouštěla s možností „Spustit s nejvyššími oprávněními“ (konfigurovatelnou v pokročilých vlastnostech úlohy), bude se tato aplikace při každém spuštění úlohy spouštět s oprávněními správce.
Vytvořte zástupce, který spustí úlohu
Pokud nechcete, aby se program spouštěl automaticky po přihlášení, můžete si vytvořit zástupce, který úlohu jednoduše spustí při jejím otevření :
- Klikněte pravým tlačítkem na plochu a vyberte „Nový > Zkratka“.
- Do pole „Zadejte umístění položky“ zadejte příkaz:
schtasks /run /tn "NombreDeLaTarea"
nahrazující „NázevÚkolu“ pro přesný název úkolu které jste vytvořili v Plánovači úloh. - Stiskněte tlačítko „Další“ a poté klikněte na zástupce stejný název jako hra nebo programA asistent končí.
Od tohoto okamžiku se pokaždé, když uživatel dvakrát klikne na zástupce, úloha spustí a spustí aplikaci s oprávněními správce, aniž by se znovu vyžadovaly přihlašovací údaje.
Rizika spojená s tímto způsobem zvyšování počtu povolení
Tuto metodu je třeba používat s maximální opatrností. Pokud je aplikace neustále spuštěna se zvýšenými oprávněními, znamená to, že pokud má tato aplikace zranitelnosti nebo je napadena, útočník by je mohl zneužít k získání kontroly nad celým systémem.
Proto je nezbytné používat jej pouze se softwarem, kterému plně důvěřujete, udržovat jej aktualizovaný a pravidelně kontrolovat, zda je stále nezbytný. Nezapomeňte, že z hlediska bezpečnosti platí, že čím méně programů běží jako správce, tím lépe.
Kombinací správného používání možnosti „Soukromí a zabezpečení“ v Nastavení, pravidelné kontroly oprávnění v přihlášení k Microsoftu pro podniková prostředí, pečlivé správy oprávnění NTFS a rozumného používání zvýšených oprávnění budete mít v systému Windows 11 mnohem vyšší úroveň kontroly nad svými aplikacemi než obvykle a výrazně snížíte nepříjemná překvapení související s neoprávněným přístupem nebo neočekávaným chováním. Sdílejte tyto informace, aby se o nich mohli dozvědět i ostatní.