Problem z integracją mapowania i UAC

Problem z integracją mapowania i UAC wskazuje na to, że mapowania sieciowe utworzone w kontekście standardowym są niewidoczne w sesji podniesionej uprawnieniami.

Na czym polega problem z integracją mapowania i UAC

Problem z integracją mapowania i UAC dotyczy sytuacji, w której ten sam system Windows korzysta z dwóch odrębnych kontekstów dostępu: zwykłej sesji użytkownika oraz sesji uruchomionej z podwyższonymi uprawnieniami. Dysk sieciowy albo udział przypisany w pierwszym kontekście może wtedy nie być widoczny po otwarciu programu jako administrator. Nie musi to oznaczać, że mapowanie zostało usunięte lub że udział przestał działać. Często pozostaje ono zapisane poprawnie, lecz jest powiązane wyłącznie z konkretną sesją logowania i jej tokenem dostępu.

UAC, czyli mechanizm kontroli konta użytkownika, ogranicza wykonywanie czynności administracyjnych bez wyraźnego potwierdzenia. W praktyce konto może należeć do grupy administratorów, ale aplikacja uruchomiona bez podniesienia działać z ograniczonym zestawem uprawnień. Po wybraniu opcji uruchomienia z uprawnieniami administratora tworzony jest odrębny kontekst. System może nie przekazywać do niego wcześniej utworzonych mapowań, ponieważ są one traktowane jako element środowiska konkretnej sesji użytkownika, a nie jako globalne zasoby dostępne dla wszystkich procesów.

Skutkiem bywa komunikat o braku dysku, ścieżki lub zasobu, mimo że ten sam adres można otworzyć z Eksploratora plików. Zależność może wystąpić także w odwrotnej kolejności: program działający z podwyższonymi uprawnieniami widzi udział, a zwykła aplikacja go nie znajduje. Właściwa ocena wymaga więc rozdzielenia trzech kwestii: poprawności samego połączenia, sposobu uwierzytelnienia oraz kontekstu, w którym uruchomiono program.

Kontekst techniczny i porównanie sposobów dostępu - Problem z integracją mapowania i UAC

Mapowanie dysku sieciowego jest skrótem do udziału dostępnego przez ścieżkę sieciową, któremu przypisano lokalną literę. Taki skrót może być tworzony ręcznie, podczas logowania użytkownika, przez skrypt albo przez ustawienia systemowe. UAC nie zmienia adresu udziału, ale wpływa na to, który proces oraz w jakiej sesji może z niego skorzystać. Dlatego litera dysku nie powinna być traktowana jako uniwersalny identyfikator zasobu dostępny dla każdego programu.

Warto odróżnić mapowanie od bezpośredniego użycia ścieżki UNC, na przykład w postaci \\nazwa-komputera\udział. Odwołanie bezpośrednie może działać w aplikacji, która nie widzi przypisanej litery, ponieważ nie opiera się na tym samym obiekcie mapowania. Nie rozwiązuje to jednak każdej sytuacji. Program może nadal wymagać odpowiednich poświadczeń, praw zapisu, dostępu do konkretnego folderu albo zgodności poziomu uprawnień procesu z używanym zasobem.

Przy analizie porównuje się zachowanie w kilku wariantach: zwykłe otwarcie Eksploratora, uruchomienie aplikacji bez podniesienia uprawnień, uruchomienie jej z UAC oraz dostęp przez literę dysku i przez ścieżkę UNC. Sprawdza się również, czy problem pojawia się po każdym logowaniu, wyłącznie po ponownym uruchomieniu systemu, czy tylko w jednym programie. Takie rozróżnienie pomaga ustalić, czy źródłem jest zakres mapowania, kolejność inicjalizacji usług, zapisane poświadczenia, polityka bezpieczeństwa, czy sposób, w jaki aplikacja enumeruje dostępne dyski.

W niektórych konfiguracjach stosuje się włączenie widoczności mapowań między kontekstami, ale decyzja ta powinna wynikać z rzeczywistej potrzeby. Zmiany w rejestrze, zasadach lokalnych lub skryptach logowania mogą oddziaływać na bezpieczeństwo i zachowanie innych programów. Z tego powodu przed modyfikacją należy ustalić, czy wymagane jest uruchamianie aplikacji z podwyższonymi uprawnieniami, czy wystarczy ograniczenie jej uprawnień do poziomu zwykłego użytkownika.

Typowe objawy, błędy i przyczyny - Problem z integracją mapowania i UAC

Jednym z częstszych objawów jest sytuacja, w której dokument zapisany na dysku sieciowym można otworzyć z folderu użytkownika, lecz nie da się go wskazać w aplikacji uruchomionej jako administrator. Innym sygnałem jest zniknięcie mapowania po ponownym logowaniu albo pojawianie się komunikatu, że określona litera dysku nie istnieje. Czasem program widzi literę, ale odmawia dostępu przy próbie odczytu lub zapisu. W takim przypadku problem nie musi dotyczyć wyłącznie UAC, ponieważ znaczenie mają także prawa do udziału i systemu plików.

Do błędów diagnostycznych należy zaliczenie każdej niewidocznej litery dysku do awarii sieci. Najpierw powinno się sprawdzić, czy komputer odpowiada, czy ścieżka udziału jest osiągalna, czy dostęp został wykonany na właściwym koncie oraz czy zasób nie został odłączony po zmianie hasła. Należy też uwzględnić opóźnione uruchamianie połączenia sieciowego. Jeśli mapowanie jest odtwarzane przy logowaniu, aplikacja uruchomiona wcześniej może wystartować zanim system zdąży przygotować dostęp.

Znaczenie może mieć również różnica między aplikacją 32-bitową i 64-bitową, działaniem jako usługa a działaniem w profilu użytkownika oraz korzystaniem z zapisu poświadczeń. Nie powinno się usuwać wszystkich zapisanych danych dostępowych ani losowo zmieniać ustawień kontroli konta, ponieważ może to spowodować utratę dostępu do innych zasobów. Bezpieczniejsze jest zebranie informacji o momencie wystąpienia problemu, nazwie programu, używanej literze, rodzaju operacji oraz dokładnym komunikacie.

Jeżeli dostęp działa w Eksploratorze, ale nie działa w jednym konkretnym programie, prawdopodobna jest różnica w sposobie uruchomienia lub obsługi ścieżek. Jeżeli nie działa także ścieżka UNC, należy rozszerzyć sprawdzanie o łączność, rozpoznawanie nazwy, uwierzytelnienie i uprawnienia. Jeżeli problem pojawia się wyłącznie po podniesieniu uprawnień, szczególną uwagę poświęca się relacji między sesją zwykłą i administracyjną, zamiast od razu reinstalować aplikację.

Kiedy warto umówić wizytę serwisową - Problem z integracją mapowania i UAC

Zgłoszenie do serwisu jest uzasadnione, gdy mapowanie znika cyklicznie, działa tylko w wybranych programach, wymaga każdorazowego ponownego ustawiania albo koliduje z pracą aplikacji wymagającej podwyższonych uprawnień. Warto przekazać informację, czy problem dotyczy jednej litery czy wielu mapowań, czy dostęp przez ścieżkę UNC działa oraz czy po restarcie zachowanie ulega zmianie. Przydatne są także zrzuty komunikatów, nazwa używanego programu i opis czynności wykonywanej tuż przed wystąpieniem błędu.

W ramach analizy można sprawdzić kolejność uruchamiania, sposób tworzenia mapowania, zakres konta użytkownika, zasady UAC, zapisane poświadczenia i prawa dostępu do udziału. Następnie można uporządkować konfigurację tak, aby aplikacja korzystała z właściwego rodzaju ścieżki i nie wymagała niepotrzebnego podnoszenia uprawnień. Jeżeli konieczna jest zmiana ustawień systemowych, powinna zostać dobrana do konkretnego przypadku i wykonana z uwzględnieniem wpływu na bezpieczeństwo.

Warszawskie Pogotowie Komputerowe 24/7 zajmuje się tego rodzaju problemami na miejscu, a na potrzeby ustalenia przyczyny dostępna jest darmowa diagnoza laptopa. Przed przekazaniem sprzętu dobrze jest zanotować konto, na którym występuje błąd, nazwę zasobu sieciowego oraz to, czy aplikacja jest uruchamiana zwyczajnie, czy z potwierdzeniem UAC. Tak przygotowany opis skraca drogę do odtworzenia problemu i pozwala oddzielić błąd konfiguracji mapowania od kłopotów z siecią, kontem lub samym programem.