¿Cómo deshabilitar/cambiar el control de cuentas de usuario con la política de grupo?

(User Account Control) es un componente importante de la seguridad de Windows. Cuando ejecuta cualquier aplicación o proceso que requiere privilegios de administrador, tratando de cambiar la configuración del sistema, las claves de registro protegidas o los archivos del sistema, el componente UAC cambia el escritorio al modo protegido (Secure Desktop) y le pide al administrador que confirme estas acciones. De esta forma, UAC ayuda a prevenir el inicio de procesos y malware que podrían dañar potencialmente su computadora.

La siguiente captura de pantalla muestra que cuando intenta ejecutar el Editor del Registro (

regedit.exe

) en Windows 10, aparece una ventana de confirmación de UAC:

User Account Control
Do you want to allow this app to make changes to your device?

En este artículo, veremos cómo administrar la configuración de UAC en una sola computadora o en varias computadoras en un dominio mediante políticas de grupo.

Niveles del control deslizante de control de cuentas de usuario en Windows 10

En Windows 7 (y más reciente), la configuración de UAC en la computadora se administra mediante un control deslizante especial (llamado a través del panel de control o el

UserAccountControlSettings.exe

archivo). Con el control deslizante, puede seleccionar uno de los cuatro niveles de protección de Control de cuentas de usuario predefinidos.

• Nivel 4 — Notificar siempre — el nivel más alto de protección UAC;

• Nivel 3: notificar solo cuando los programas intentan realizar cambios en mi computadora (predeterminado): nivel de protección predeterminado;

• Nivel 2: notificar solo cuando los programas intentan realizar cambios en mi computadora (no atenuar mi escritorio): casi lo mismo que el nivel anterior, pero sin cambiar a Secure Desktop con bloqueo de escritorio;

• Nivel 1: Nunca notificar: UAC está deshabilitado.

De forma predeterminada en Windows 10, se usa la protección UAC Nivel 3, que muestra una notificación solo cuando intenta cambiar los archivos o la configuración del sistema.

¿Cómo deshabilitar el control de cuentas de usuario en Windows usando GPO?

Puede deshabilitar UAC usando la Política de grupo. En una computadora independiente, puede usar el Editor de políticas de grupo local

gpedit.msc

. Si necesita implementar la política en las computadoras del dominio, debe usar la Consola de administración de políticas de grupo:

gpmc.msc

(consideremos esta opción).

1. En la Consola de administración de GPO del dominio, haga clic en la OU con las computadoras en las que desea deshabilitar UAC y cree un nuevo objeto de política;

   

2. Edite la política y vaya a la sección Configuración del equipo -> Políticas -> Configuración de Windows -> Configuración de seguridad -> Políticas locales -> Opciones de seguridad;

3. Esta sección tiene varias opciones que controlan la configuración de UAC. Los nombres de estos parámetros comienzan con Control de cuentas de usuario;

   

4. Para deshabilitar completamente UAC, establezca los siguientes valores de parámetro:

   • Control de cuentas de usuario: Comportamiento de la solicitud de elevación para administradores en modo de aprobación de administrador =

   Elevate without prompting

   ;

   • Control de cuentas de usuario: detecta instalaciones de aplicaciones y solicita elevación =

     Disabled

     ;

   • Control de cuentas de usuario: ejecute todos los administradores en modo de aprobación de administrador =

     Disabled

     ;

   • Control de cuentas de usuario: eleve solo las aplicaciones de UIAccess que están instaladas en ubicaciones seguras =

     Disabled

     

5. Debe reiniciar la computadora cliente para actualizar la configuración de la directiva de grupo y deshabilitar UAC. Después de reiniciar, UAC cambiará al modo "Nunca notificar".

También puede deshabilitar UAC solo para algunos usuarios/computadoras a través del registro e implementar la configuración a través de Preferencias de directiva de grupo.

Cree un nuevo parámetro de registro en la sección GPO Configuración del equipo -> Preferencias -> Configuración de Windows -> Registro con la siguiente configuración:

• Acción: Reemplazar

• Colmena: HKEY_LOCAL_MACHINE

• Ruta de la clave: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

• Nombre del valor: EnableLUA

• Tipo de valor: REG_DWORD

• Datos de valor: 0

Luego vaya a la pestaña Común y habilite las opciones:

• Eliminar este elemento cuando ya no se aplique

• Orientación a nivel de artículo

Haga clic en el botón Targeting y especifique los equipos o grupos de seguridad de dominio a los que desea aplicar la política de desactivación de UAC.

Configuración de clave de registro de UAC

Puede administrar la configuración de UAC a través del registro. Los parámetros responsables del comportamiento del Control de cuentas de usuario se encuentran en la clave de registro HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System.

Cuando cambia el valor del control deslizante UAC en el Panel de control, Windows cambia el valor de la configuración del registro de esta clave de registro de la siguiente manera (a continuación se encuentran archivos REG listos para diferentes niveles del control deslizante Control de cuentas de usuario):

UAC nivel 4 (Notificar siempre):

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"ConsentPromptBehaviorAdmin"=dword:00000002
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableVirtualization"=dword:00000001
"PromptOnSecureDesktop"=dword:00000001
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000

UAC nivel 3 (Notificar solo cuando los programas intentan realizar cambios en mi computadora):

"ConsentPromptBehaviorAdmin"=dword:00000005
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableVirtualization"=dword:00000001
"PromptOnSecureDesktop"=dword:00000001
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000

UAC nivel 2:

"ConsentPromptBehaviorAdmin"=dword:00000005
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableVirtualization"=dword:00000001
"PromptOnSecureDesktop"=dword:00000000
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000

UAC nivel 1 (No notificar nunca; deshabilitar UAC por completo):

"ConsentPromptBehaviorAdmin"=dword:00000000
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableVirtualization"=dword:00000001
"PromptOnSecureDesktop"=dword:00000000
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000

Puede cambiar el valor de cualquier parámetro utilizando la GUI del Editor del Registro o desde el símbolo del sistema. Por ejemplo, para deshabilitar UAC en la computadora (se requiere reiniciar), puede ejecutar el comando:

reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f.

O un comando similar de PowerShell:

New-ItemProperty -Path HKLM:Software\Microsoft\Windows\CurrentVersion\policies\system -Name EnableLUA -PropertyType DWord -Value 0 -Force

Control de cuentas de usuario en Windows Server

El Control de cuentas de usuario en Windows Server funciona y se administra de la misma manera que en las ediciones de escritorio de Windows.

Es aceptable deshabilitar completamente UAC en Windows Server 2016/2019 si se cumplen las siguientes condiciones:

• Solo los administradores tienen acceso remoto al escritorio del servidor (el acceso RDP al servidor para usuarios que no sean administradores debe estar deshabilitado). En hosts RDS, deje UAC habilitado;

• Los administradores solo deben usar Windows Server para tareas de gestión administrativa. El administrador debe trabajar con documentos de oficina, mensajeros, navegadores web solo en la estación de trabajo con una cuenta de usuario sin privilegios con UAC habilitado, y no en los hosts del servidor.

Cuando UAC está habilitado, Windows Server no permite conectarse de forma remota con cuentas de computadora locales (a través de net use, winrm, Powershell Remoting). El token del usuario será filtrado por el UAC habilitado

LocalAccountTokenFilterPolicy

parámetro (discutido en la sección anterior).

Control deslizante de UAC y configuración de políticas de grupo

Puede administrar la configuración de UAC usando el control deslizante y GPO. Pero no existe un único parámetro de directiva de grupo que permita seleccionar uno de los cuatro niveles de protección de UAC (correspondientes a la posición del control deslizante de UAC). Se sugiere administrar la configuración de UAC utilizando 10 parámetros GPO diferentes en su lugar. Estas políticas se encuentran en la siguiente sección del editor de GPO: Configuración del equipo -> Políticas -> Configuración de Windows -> Configuración de seguridad -> Políticas locales -> Opciones de seguridad. Los parámetros de política de grupo relacionados con UAC comienzan con Control de cuentas de usuario.

La siguiente tabla muestra la lista de parámetros de directiva de grupo de UAC y sus claves de registro correspondientes.

De forma predeterminada, el nivel 3 de UAC utiliza la siguiente configuración de directiva de grupo:

Nivel 3 de UAC (predeterminado)

Disabled

Disabled

Prompt for consent for non-Windows binaries

Prompt for credentials on the secure desktop

Enabled  

Disabled 

Disabled

Enabled

Enabled

Enabled

Enabled