Skrytý administrátorský účet ve Windows 11 je jedním z těch systémových „tajemství“, o kterých mnoho lidí neví, ale může vás dostat z nejedné úzké situace. Nejedná se o administrátorský účet, který běžně používáte, ale o interní profil, ve výchozím nastavení skrytý, s maximálními oprávněními k provádění jakýchkoli změn v počítači , i těch nejcitlivějších. Právě proto jej Microsoft nechává vypnutý: pokud je zneužit, může v systému způsobit chaos.
Pokud sestavujete počítač, potřebujete opravit systém Windows, který ztratil své administrátorské účty, nebo jednoduše chcete mít po ruce „nouzový“ účet, je užitečné vědět, jak jej povolit, chránit a poté deaktivovat. V této příručce si krok za krokem a pomocí různých metod ukážeme, jak aktivovat, používat a deaktivovat skrytý administrátorský účet ve Windows 11 , jaká rizika s tím souvisí a co můžete dělat, pokud již nemáte účet s administrátorskými oprávněními.
Co je to vestavěný účet správce ve Windows 11?
Ve Windows 11 existují dva typy účtů se zvýšenými oprávněními: uživatelské účty patřící do skupiny Administrators a vestavěný účet Administrator . Ten druhý je vytvořen samotným systémem, je skrytý a z bezpečnostních důvodů zakázán.
Zatímco „běžný“ uživatelský účet správce podléhá Řízení uživatelských účtů (UAC), vestavěný účet funguje jinak: při provádění administrativních úloh nezobrazuje výzvy Řízení uživatelských účtů . Jakýkoli program, který v dané relaci spustíte, včetně potenciálních hrozeb, jako je malware, skryté procesy a rootkity , se spustí s plnými oprávněními, aniž by o vaše svolení žádal.
Z tohoto důvodu společnost Microsoft doporučuje používat vestavěný účet správce pouze příležitostně, například k diagnostice problémů, přípravě zařízení před dodáním nebo provádění auditů , a po dokončení zásahu jej opět deaktivovat. Není určen pro každodenní pracovní použití.
K čemu se používá vestavěný účet správce?
Nejběžnější scénáře, ve kterých má smysl aktivovat tento účet, jsou poměrně specifické a odchylují se od běžného domácího používání. Mezi typické příklady patří situace, jako je stavba nebo příprava zařízení, řešení závažných problémů nebo pokročilá správa systému Windows.
Výrobci originálního vybavení (OEM), technické služby a správci systémů často používají vestavěný účet, když chtějí spouštět skripty, instalovat aplikace nebo provádět testy, než si koncový uživatel vytvoří vlastní účet během OOBE (out-of-the-box experience). Často se také používá v auditovacích prostředích, kde je nutné se několikrát přihlásit a odhlásit ze systému se zvýšenými oprávněními, aniž by se musel spouštět uvítací průvodce.
Tento účet navíc slouží jako poslední možnost, pokud má systém problémy s oprávněními: například v počítačích, kde jediný zbývající účet ztratil oprávnění správce nebo dochází ke konfliktům přihlášení. Pokud však žádný jiný účet nemá oprávnění správce a integrovaný účet zůstane zakázán, možnosti se drasticky omezí a, jak uvidíme později, je obvykle nutná přeinstalace.
Pokročilá metoda: Povolení integrovaného účtu pomocí souboru odpovědí bez obsluhy
V profesionálním prostředí je jedním z nejúčinnějších způsobů práce s integrovaným účtem správce použití souboru odpovědí pro bezobslužnou instalaci (unattend.xml) . Tento přístup je určen pro ty, kteří nasazují mnoho počítačů a chtějí automatizovat proces instalace, včetně aktivace integrovaného účtu.
K vytvoření tohoto souboru se používá nástroj Windows System Image Manager (Windows SIM), který je součástí sady Windows Assessment and Deployment Kit (ADK) . Tento nástroj generuje soubor XML, který definuje parametry instalace: uživatelské účty, heslo správce, automatické přihlášení atd.
Trik spočívá v konfiguraci komponenty. Nastavení prostředí Microsoft Windows a v něm sekce AutoLogon aby se systém během přípravných fází spustil přímo s účtem správce. Uživatelské jméno je nastaveno jako AdministratorJe vybrán atribut povoleno a je uveden počet automatických spuštění relace.
Ve stejném bloku XML je přidána sekce Uživatelské účty a uvnitř něj vchod AdministratorPasswordkde je definováno heslo pro vložený účet. Hodnota hesla je uvedena v popisku v souboru. <Value> a označuje, zda je obsah v prostém textu (<PlainText>true</PlainText>) nebo šifrování.
Typická konfigurace komponenty Shell-Setup by zahrnovala něco jako: uživatel Správce, bezpečné heslo opakované v obou AutoLogon jako v AdministratorPassword, možnost <Enabled>true</Enabled> a LogonCount který udává, kolikrát bude daný účet automaticky přihlášen během nastavení systému.
Aby se zajistilo, že po dokončení úvodního spuštění (OOBE) nebude nutné znovu zadávat integrované heslo účtu, hodnota Heslo správce Musí být definováno ve fázi konfigurace. oobeSystemV tomto kroku souboru odpovědí blok <UserAccounts><AdministratorPassword>... Je zodpovědný za utajení hesla, které bylo pro účet definováno.
Přístup k integrovanému účtu správce z režimu auditu
Systém Windows má speciální režim spouštění nazývaný režim auditu , který je určen speciálně pro přípravu a testování počítačů před dodáním koncovému uživateli. Pokud počítač ještě nebyl plně spuštěn po vybalení z krabice (OOBE), lze jej spustit v tomto režimu, což umožňuje přímý přístup k vestavěnému účtu správce.
Při použití režimu auditu se systém automaticky přihlásí pomocí vestavěného účtu , což vám umožní instalovat aplikace, spouštět skripty a používat nástroje jako PsList nebo upravovat nastavení, aniž byste si museli vytvářet běžné uživatelské účty. V tomto kontextu dává největší smysl mít vestavěný účet aktivní, protože počítač ještě není v rukou koncového uživatele.
Jakmile jsou konfigurační úlohy dokončeny, nástroj se obvykle spustí. Sysprep se správnými možnostmi (například sysprep /generalizeToto slouží k přípravě systému a jeho návratu do stavu, kdy klient může projít procesem OOBE a vytvořit si vlastní účet. Jak uvidíme v jiné části, tento proces ovlivňuje také stav integrovaného účtu.
Povolení a zakázání integrovaného účtu od místních uživatelů a skupin (Server a podporované edice)
V některých edicích systému Windows (především v serverových verzích nebo verzích Pro/Enterprise v určitých scénářích ) je možné snadno spravovat vestavěný účet správce z konzole Místní uživatelé a skupiny (MMC). Tato možnost není k dispozici ve všech domácích verzích, ale pokud je, je to velmi přímočarý přístup.
Pro přístup otevřete odpovídající konzoli MMC (například spuštěním lusrmgr.msc z okna Spustit) a vyberte Místní uživatelé a skupinyV levém panelu přejdete do složky Uživatelé, kde se zobrazí účet obvykle nazývaný „Administrátor“.
Kliknutím pravým tlačítkem myši na daný účet a výběrem možnosti Vlastnosti se otevře okno s obecnými vlastnostmi. Na kartě Obecné je zaškrtávací políčko s označením „ Účet je zakázán “ (nebo „Účet zakázán“). Pokud je toto políčko zaškrtnuté, nelze účet použít; jednoduše jej zrušte, abyste jej znovu povolili a zprovoznili.
Po provedení změn a zavření konzole má systém nyní aktivovaný integrovaný účet . Od tohoto okamžiku můžete přiřadit heslo, přihlásit se s ním z úvodní obrazovky nebo jej použít pro operace vyžadující oprávnění správce bez zásahu UAC.
Aktivujte skrytý účet správce pomocí příkazového řádku (cmd)
Pravděpodobně nejrychlejší a nejjednodušší metodou pro pokročilého uživatele je povolit vestavěný účet pomocí příkazového řádku s oprávněními správce . Tento postup funguje na domácích i firemních počítačích, pokud již máte účet s aktivními oprávněními správce.
Chcete-li začít, stiskněte klávesu Windows, do nabídky Start zadejte cmd a po zobrazení možnosti „Příkazový řádek“ vyberte možnost „Spustit jako správce“. Řízení uživatelských účtů zobrazí varování; potvrďte stisknutím tlačítka „Ano“ a otevřete konzoli se zvýšenými oprávněními.
V okně příkazového řádku otevřeném jako správce spusťte následující příkaz pro povolení vestavěného účtu Windows 11:
Příkaz pro povolení: net user administrator /active:yes
Příkaz ve španělštině: net user administrador /active:yes
Po stisknutí klávesy Enter by se v konzoli měla zobrazit typická zpráva „Příkaz byl úspěšně dokončen“ . To znamená, že integrovaný účet je nyní aktivní a měl by se při příštím přihlášení zobrazit na uvítací obrazovce jako dostupné přihlašovací údaje.
Nastavte bezpečné heslo pro integrovaný účet
Po aktivaci je dalším a naprosto nezbytným krokem nastavení silného hesla pro integrovaný účet . Ponechání účtu bez hesla, zejména na zařízeních připojených k sítím, představuje velmi vážné bezpečnostní riziko.
Příkaz pro změnu hesla: net user administrador *
Ekvivalentní příkaz: net user administrator *
Systém vás požádá o zadání nového hesla a jeho druhé potvrzení. Během psaní se znaky na obrazovce nezobrazí ; jedná se o normální bezpečnostní chování. Po potvrzení systém znovu zobrazí „Příkaz byl úspěšně dokončen“, pokud vše proběhlo v pořádku.
Existuje další možnost, která umožňuje aktivovat účet a nastavit heslo přímo v jednom kroku. Tato alternativa je užitečná pro automatizaci . Například:
Rychlý příklad: net user administrador TuContraseñaSegura /active:yes
V tomto případě nahraďte YourSecurePassword heslem, které chcete použít. Je to rychlá metoda, i když méně doporučovaná v prostředích, kde lze protokolovat příkazy, protože heslo zůstává viditelné v historii konzole nebo ve skriptech.
Zkontrolovat stav: net user administrador
Zobrazené informace by měly obsahovat pole jako „Aktivní účet Ano“ a „Heslo vyžadováno Ano “. Pokud některá z nich uvádí „Ne“, měla by být zkontrolována a opravena, protože účet tohoto typu bez hesla je extrémně zranitelný.
Přihlaste se do systému Windows 11 pomocí vestavěného účtu správce
Po aktivaci vestavěného účtu a přiřazení hesla se s ním nyní můžete přihlásit z úvodní obrazovky systému Windows 11. Různé dostupné účty, včetně položky „Správce“, se obvykle zobrazují v levém dolním rohu (nebo v závislosti na designu zamykací obrazovky).
Pokud jej nevidíte, restartujte počítač a nový účet by se měl objevit mezi možnostmi. Jakmile bude viditelný, jednoduše jej vyberte, zadejte nastavené heslo a stiskněte klávesu Enter.
Při prvním přihlášení s tímto účtem systém Windows vytvoří váš uživatelský profil, což může trvat o něco déle než obvykle. Od tohoto okamžiku budete mít k dispozici plnou plochu a budete moci provádět změny systému bez zobrazování výzev Řízení účtů – což je velmi pohodlné, ale také potenciálně nebezpečné, pokud si nedáte pozor na to, jaký software používáte.
Pokud povolíte integrovaný účet pro pomoc jinému uživatelskému účtu, který nemá oprávnění, použijte tuto relaci k vytvoření nového standardního uživatele s oprávněními správce nebo k opravě oprávnění stávajících účtů. Jakmile je problém vyřešen, je vhodné se odhlásit a znovu deaktivovat integrovaný účet, abyste minimalizovali riziko.
Povolení integrovaného účtu z bezpečnostních zásad (secpol.msc)
V edicích Windows 11 Pro a Enterprise je dalším způsobem sledování stavu skrytého účtu použití místních bezpečnostních zásad . Chcete-li k nim získat přístup, stiskněte klávesu Windows, zadejte příkaz secpol.msc a spusťte jej jako správce.
V konzoli v levém panelu přejděte na Lokální zásady > Možnosti zabezpečení . Pravý panel zobrazuje seznam zásad týkajících se zabezpečení účtů a systému. Mezi nimi je i zásada s názvem „Účty: Stav účtu správce“.
Dvojitým kliknutím na danou zásadu (nebo kliknutím pravým tlačítkem myši na > Vlastnosti) se otevře okno, kde si můžete vybrat mezi „ Povoleno “ a „Zakázáno“. Výběrem možnosti „Povoleno“ a použitím změny aktivujete vestavěný účet správce. Výběrem možnosti „Zakázáno“ jej zakážete.
Tato metoda je obzvláště užitečná, pokud chcete dodržovat jasné firemní bezpečnostní zásady , kde je aktivace integrovaného účtu řízena firemními zásadami, nikoli jednotlivými příkazy. Přesto by měl být vždy doprovázen silným heslem a plánem pro jeho deaktivaci, jakmile již nebude potřeba.
Zkontrolujte stav integrovaného účtu v Ovládacích panelech
Přestože jsou výše uvedené metody přímočařejší, můžete také použít klasický Ovládací panel ke kontrole existence a základního stavu vestavěného účtu správce, zejména na domácích počítačích.
V nabídce Start otevřete Ovládací panely a přejděte do sekce Uživatelské účty . Výběrem možnosti „Změnit typ účtu“ se zobrazí seznam místních účtů dostupných v počítači. V tomto seznamu, pokud je vestavěný účet viditelný, bude zobrazen jako „Správce“ a pokud bylo nastaveno heslo, bude označen jako „ Chráněno heslem “.
Tato kontrola je omezená ; mějte na paměti, že toto rozhraní ne vždy zobrazuje integrovaný účet, pokud je zakázán nebo skrytý pomocí jiných technik. Přesto slouží jako jednoduchá kontrola, zda byl integrovaný uživatel s oprávněními správce správně aktivován a zda má základní ochranu.
Zakázat vestavěný účet správce a jeho chování u nových instalací a upgradů
Společnost Microsoft doporučuje po ukončení používání vestavěného účtu deaktivovat , zejména na počítačích, které budou dodány zákazníkům nebo integrovány do podnikové sítě. Ve skutečnosti v nových instalacích systému Windows 11, když si koncový uživatel během OOBE (Out-of-Box Experience) vytvoří svůj první účet, systém sám vestavěný účet obvykle znovu deaktivuje.
Během upgradu instalací (například při migraci z předchozí verze systému Windows) se chování může lišit. Vestavěný účet správce obvykle zůstává povolen pouze v případě, že není aktivní žádný jiný místní správce a počítač není připojen k doméně. To poskytuje bezpečnostní síť, která zabraňuje tomu, aby systém zůstal bez správců.
Pokud jej chcete po použití ručně deaktivovat, máte několik možností. Můžete znovu použít příkaz `net user` , ale tentokrát s uvedením, že má být deaktivován:
Deaktivovat pomocí: net user administrador /active:no
Deaktivovat (anglicky): net user administrator /active:no
Pokud operace opět skončí zprávou „Příkaz byl úspěšně dokončen“, účet bude opět deaktivován. To je velmi běžná praxe mezi výrobci a montéry počítačů , kteří aktivují účet během přípravné fáze, použijí ho k instalaci softwaru a poté, těsně před dodáním počítače zákazníkovi, provedou tento příkaz k jeho deaktivaci.
Použití nástroje Sysprep a resetování hesla integrovaného účtu
Nástroj Sysprep Je to klíčové v prostředích nasazení Windows. Při spuštění s modifikátorem /generalizePřipravuje systém ke klonování nebo dodání koncovému uživateli a odstraňuje spoustu specifických informací ze zařízení nebo od uživatele.
Mezi akcemi, které Sysprep provádí, je resetování hesla pro integrovaný účet správce . V serverových edicích Windows může tento nástroj dokonce vymazat heslo pro integrovaný účet, takže při dalším spuštění vás instalační program vyzve k nastavení nového hesla pro daný účet.
V klientských edicích (typické desktopové verze) se však chování liší a heslo integrovaného účtu se ne vždy vymaže stejným způsobem. Přesto je důležité mít na paměti, pokud pracujete s vlastními obrazy: po příkazu Sysprep /generalize je vhodné zkontrolovat stav integrovaného účtu a ujistit se, že není aktivní bez hesla.
Vytvořte „skrytý“ administrátorský účet pro kontrolu účtů (UAC) a eskalaci oprávnění
Kromě vestavěného účtu někteří uživatelé chtějí lokální administrátorský účet, který se nezobrazuje na přihlašovací obrazovce , ale je stále použitelný pro zadávání přihlašovacích údajů v příkazech Řízení uživatelských účtů (UAC), když jsou vyžadována zvýšená oprávnění. Cílem je mít „servisní“ účet používaný pouze ke schvalování systémových operací, aniž by byl viditelný pro běžné přihlášení.
Někteří uživatelé se toho pokoušejí dosáhnout vytvořením položky registru v HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList . Přidání názvu účtu do této složky a přiřazení příslušné hodnoty může zabránit zobrazení účtu na přihlašovací obrazovce. Tento trik má však významný vedlejší účinek: daný účet také zmizí z výzev Řízení uživatelských účtů (UAC) , což znemožňuje použití jeho hesla pro eskalaci oprávnění.
Další možností, kterou někteří vyzkoušejí, je otevřít editor lokálních bezpečnostních zásad (secpol.msc) a odepřít účtu právo se lokálně přihlásit . Problém s tímto přístupem je podobný: pokud je uživateli zabráněno v interaktivním přihlášení, pokus o použití tohoto účtu v dialogovém okně Řízení uživatelských účtů (UAC) také povede k odepření, čímž se účet stane nepoužitelným pro zamýšlený účel.
V praxi systém Windows nenabízí čistý a podporovaný způsob, jak mít účet, který je při přihlášení zcela skrytý, ale stále jej lze bez omezení používat v pokynech Řízení uživatelských účtů (UAC) . Pokud potřebujete „servisní účet“ pro administrativní úkoly, nejlepším přístupem je vytvořit běžného uživatele s oprávněními správce, chránit ho silným heslem a jednoduše ho nepoužívat pro každodenní práci.
Co dělat, když již nemáte žádné účty správce ve Windows 11?
Jedním z nejkritičtějších scénářů je situace, kdy v systému zůstanou pouze standardní účty bez administrátorských oprávnění . K tomu může dojít například tehdy, když vytvoření více účtů vede k nesprávné konfiguraci hlavního účtu nebo pokud je jediný účet se zvýšenými oprávněními omylem deaktivován.
V této situaci uživatel zjistí, že při pokusu o instalaci programu nebo provedení jakýchkoli významných změn systém Windows zobrazí typickou výzvu Řízení uživatelských účtů (UAC) s požadavkem na zadání přihlašovacích údajů správce, ale nezobrazí se žádné textové pole pro zadání uživatelského jména a hesla . Jedinou nabízenou možností je kliknout na „Ne“ a žádná další akce není povolena.
V aplikaci Nastavení > Účty toho moc dělat nelze, protože aktuální účet k tomu nemá oprávnění. změnit typ ostatních účtů ani vytvářet nové administrátory. Příkazy jako net user Nebo podobné utility také nebudou fungovat, protože vyžadují administrátorská oprávnění, která již nejsou k dispozici.
I když může být lákavé spoléhat se na určitá „magická řešení“ nalezená online, pravdou je, že v tomto bodě se systém nachází v jakési slepé uličce . Bez alespoň jednoho účtu se zvýšenými oprávněními není možné aktivovat vestavěný účet pomocí příkazů, upravovat zásady ani efektivně přistupovat k registru.
Nejupřímnějším doporučením v tomto případě je zálohovat si osobní soubory (dokumenty, fotografie atd.) a připravit si čistou instalaci systému Windows 11. K tomu je třeba si stáhnout nástroj Media Creation Tool z webu společnosti Microsoft, vytvořit bootovací USB disk (alespoň 8 GB) a poté z tohoto USB disku spustit počítač, abyste systém znovu nainstalovali.
Během čisté instalace systém Windows vytvoří nový počáteční účet správce, ze kterého můžete obnovit záložní soubory a překonfigurovat počítač. Je to drastické řešení, ale pokud žádný účet správce nezůstává aktivní a vestavěný účet je zakázán, neexistuje žádný podporovaný a spolehlivý způsob, jak znovu získat kontrolu bez přeinstalace.
Zvládněte integrovaný účet správce a různé způsoby, jak jej povolit nebo zakázat, ať už pomocí souborů odpovědí, režimu auditu, příkazů net userkonzole jako lusrmgr.msc nebo bezpečnostní zásady vám poskytují velmi dobrou kontrolu nad systémem Windows 11 a nad tím, jak připravit nebo zachránit systémy; klíčem je používat jej pouze jako specifický nouzový nástroj, vždy chráněný heslem a deaktivovaný, jakmile s ním skončíte, a vyhnout se tomu, abyste si z něj udělali svůj každodenní účet, abyste nevystavili počítač zbytečným rizikům. Sdílejte tyto informace, aby se o tomto tématu dozvědělo více lidí.