विंडोज 10 में एडमिनिस्ट्रेटिव शेयर्स (Admin$, IPC$, C$, D$) प्रबंधित करना

एडमिनिस्ट्रेटिव शेयर्स का उपयोग विंडोज में कंप्यूटर को रिमोटली एक्सेस और प्रबंधित करने के लिए किया जाता है। यदि आप कंप्यूटर मैनेजमेंट कंसोल (compmgmt.msc) खोलते हैं, सिस्टम टूल्स -> शेयर्ड फोल्डर्स -> शेयर्स का विस्तार करते हैं, या net share कमांड चलाते हैं, तो आपको एडमिन शेयर्ड फोल्डर्स की एक सूची दिखाई देगी (ये फ़ोल्डर नेटवर्क नेबरहुड में छिपे होते हैं और उन तक पहुंच प्रतिबंधित होती है)।

विंडोज पर एडमिनिस्ट्रेटिव हिडन शेयर्स क्या हैं?

डिफ़ॉल्ट रूप से, विंडोज निम्न एडमिन शेयर्स बनाता है:

• Admin$ — रिमोट एडमिन (यह %SystemRoot% डायरेक्टरी है)
• IPC$ — रिमोट IPC (नेम्ड पाइप्स में उपयोग किया जाता है)
• C$ — डिफ़ॉल्ट ड्राइव शेयर

यदि कंप्यूटर पर अन्य पार्टीशन हैं जिन्हें ड्राइव लेटर असाइन किया गया है, तो वे भी स्वचालित रूप से एडमिन शेयर्स के रूप में प्रकाशित होते हैं (D$, E$, आदि)। यदि आप शेयर्ड प्रिंटर का उपयोग कर रहे हैं, तो Print$, या FAX$ शेयर होना चाहिए यदि आप फैक्स सर्वर का उपयोग कर रहे हैं।

ध्यान दें कि प्रशासनिक शेयरों के नाम $ से समाप्त होते हैं। यह चिह्न LanmanServer को इन SMB संसाधनों को नेटवर्क पर एक्सेस करते समय छिपाने का कारण बनता है (शेयर्ड नेटवर्क फ़ोल्डर में विशिष्ट फ़ाइलों और फ़ोल्डर्स को एक्सेस-बेस्ड एन्यूमरेशन का उपयोग करके छिपाया जा सकता है)। यदि आप फाइल एक्सप्लोरर (\\computername) में कंप्यूटर पर उपलब्ध शेयर्ड नेटवर्क फ़ोल्डर्स की सूची देखने का प्रयास करते हैं, तो आप उन्हें उपलब्ध SMB शेयर्स की सूची में नहीं देखेंगे।

आप कमांड का उपयोग करके रिमोट कंप्यूटर पर उपलब्ध एडमिन शेयर्स की सूची प्राप्त कर सकते हैं:

net view \\computername /all

विंडोज के लिए अधिकांश थर्ड-पार्टी फाइल मैनेजर्स के पास नेटवर्क ब्राउज़ करते समय रिमोट कंप्यूटर्स पर उपलब्ध एडमिन संसाधनों को स्वचालित रूप से प्रदर्शित करने के विकल्प होते हैं।

फाइल एक्सप्लोरर से एडमिन शेयर की सामग्री देखने के लिए, आपको उसका पूरा नाम निर्दिष्ट करना होगा। उदाहरण के लिए, \\computername\c$। यह कमांड लोकल ड्राइव C की सामग्री खोलेगा और आपको रिमोट कंप्यूटर के सिस्टम ड्राइव के फाइल सिस्टम तक पहुंचने की अनुमति देगा।

केवल स्थानीय कंप्यूटर Administrators ग्रुप के सदस्य (और Backup Operators ग्रुप) एडमिनिस्ट्रेटिव शेयर्स तक पहुंच प्राप्त कर सकते हैं, बशर्ते कि SMB सक्षम हो, फाइल और प्रिंटर शेयरिंग चालू हो और TCP पोर्ट 445 तक पहुंच विंडोज डिफेंडर फ़ायरवॉल नियमों द्वारा अवरुद्ध न हो।

विंडोज 10 पर एडमिन शेयर्स को कैसे अक्षम/सक्षम करें?

विंडोज एडमिनिस्ट्रेटिव शेयर्स रिमोट कंप्यूटर प्रशासन के लिए सुविधाजनक हैं, लेकिन वे अतिरिक्त सुरक्षा जोखिम उठाते हैं (कम से कम, आपको सभी कंप्यूटर्स पर एक ही स्थानीय एडमिनिस्ट्रेटर पासवर्ड का उपयोग नहीं करना चाहिए। पासवर्ड को यूनिक बनाने के लिए LAPS का उपयोग करें)। आप विंडोज को इन हिडन एडमिन शेयर्स को बनाने से पूरी तरह से रोक सकते हैं।

एडमिन शेयर को हटाने का सबसे आसान तरीका है कंप्यूटर मैनेजमेंट स्नैप-इन में शेयर नाम पर राइट-क्लिक करना और Stop sharing चुनना (या net share Admin$ /delete कमांड का उपयोग करना)। हालांकि, विंडोज रीस्टार्ट होने के बाद, Admin$ शेयर स्वचालित रूप से फिर से बनाया जाएगा।

विंडोज 10 को प्रशासनिक शेयर प्रकाशित करने से रोकने के लिए, आपको रजिस्ट्री एडिटर (regedit.exe) खोलना होगा, रजिस्ट्री कुंजी HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters पर जाना होगा और AutoShareWks (विंडोज के डेस्कटॉप संस्करणों के लिए) या AutoShareServer (विंडोज सर्वर के लिए) नाम का एक Dword पैरामीटर जोड़ना होगा जिसका मान 0 हो।

आप इस रजिस्ट्री पैरामीटर को मैन्युअली, कमांड लाइन टूल reg add से, या PowerShell के माध्यम से बना सकते हैं:

reg add HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /f /v AutoShareWks /t REG_DWORD /d 0

या

New-ItemProperty -Name AutoShareWks -Path HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters -Type DWORD -Value 0

आप इस रजिस्ट्री पैरामीटर को GPO के माध्यम से सभी डोमेन कंप्यूटर्स पर डिप्लॉय कर सकते हैं।

अब, रीबूट के बाद, प्रशासनिक शेयर नहीं बनाए जाएंगे। इस मामले में, रिमोट कंप्यूटर प्रबंधन के उपकरण, जिनमें psexec शामिल है, काम करना बंद कर देंगे।

यदि आप विंडोज पर एडमिन शेयर्स को सक्षम करना चाहते हैं, तो आपको पैरामीटर मान को 1 पर बदलना होगा या इसे हटाना होगा:

Set-ItemProperty -Name AutoShareWks -Path HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters -Value 1

विंडोज को हिडन एडमिन शेयर्स को फिर से बनाने के लिए, बस Server सर्विस को निम्न कमांड के साथ रीस्टार्ट करें:

Get-service LanmanServer | restart-service -verbose

LocalAccountTokenFilterPolicy का उपयोग करके विंडोज 10 पर एडमिन शेयर्स पर रिमोट एक्सेस सक्षम करें

एक्टिव डायरेक्टरी डोमेन से जुड़े कंप्यूटर (वर्कग्रुप का हिस्सा) पर विंडोज एडमिन शेयर्ड फ़ोल्डर्स के साथ काम करते समय एक महत्वपूर्ण समस्या है। विंडोज 10, डिफ़ॉल्ट रूप से, स्थानीय Administrators ग्रुप के सदस्य उपयोगकर्ता के लिए प्रशासनिक शेयर्स पर रिमोट एक्सेस को प्रतिबंधित करता है। रिमोट एक्सेस केवल बिल्ट-इन लोकल Administrator खाते के तहत उपलब्ध है (यह डिफ़ॉल्ट रूप से अक्षम है)।

यहां समस्या विस्तार से दिखती है। मैं एक वर्कग्रुप के सदस्य विंडोज 10 चलाने वाले कंप्यूटर पर बिल्ट-इन एडमिन शेयर्स को रिमोटली एक्सेस करने का प्रयास कर रहा हूं (फ़ायरवॉल बंद के साथ) इस प्रकार:

• \\w10_pc\C$
• \\w10_pc\D$
• \\w10_pc\IPC$
• \\w10_pc\Admin$

प्राधिकरण विंडो में, मैं उस खाते की क्रेडेंशियल्स निर्दिष्ट करता हूं जो विंडोज 10 पर स्थानीय Administrators ग्रुप का सदस्य है, और "Access is denied" त्रुटि प्राप्त करता हूं। साथ ही, मैं विंडोज 10 पर सभी नेटवर्क शेयर्स और शेयर्ड प्रिंटर्स तक पहुंच सकता हूं (कंप्यूटर नेटवर्क नेबरहुड में छिपा नहीं है)। साथ ही, मैं बिल्ट-इन Administrator खाते के तहत प्रशासनिक शेयर्स तक पहुंच सकता हूं। यदि यह कंप्यूटर एक्टिव डायरेक्टरी डोमेन से जुड़ा हुआ है, तो प्रशासनिक विशेषाधिकारों वाले डोमेन खातों से एडमिन शेयर्स तक पहुंच अवरुद्ध नहीं होती है।

बिंदु सुरक्षा नीति के एक अन्य पहलू में है जो UAC में दिखाई दिया - तथाकथित Remote UAC (रिमोट कनेक्शन के लिए यूजर अकाउंट कंट्रोल) जो स्थानीय और Microsoft खातों के टोकन को फ़िल्टर करता है और ऐसे खातों के तहत एडमिन शेयर्स पर रिमोट एक्सेस को ब्लॉक करता है। डोमेन खातों के तहत एक्सेस करते समय, यह प्रतिबंध लागू नहीं होता है।

आप रजिस्ट्री में LocalAccountTokenFilterPolicy पैरामीटर बनाकर Remote UAC को अक्षम कर सकते हैं

1. रजिस्ट्री एडिटर खोलें (regedit.exe);
2. निम्न रजिस्ट्री कुंजी पर जाएं HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System;
3. LocalAccountTokenFilterPolicy नाम से एक नया DWORD (32-बिट) पैरामीटर बनाएं;
4. LocalAccountTokenFilterPolicy पैरामीटर मान को 1 पर सेट करें;
5. परिवर्तनों को लागू करने के लिए अपने कंप्यूटर को रीस्टार्ट करें।

reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "LocalAccountTokenFilterPolicy" /t REG_DWORD /d 1 /f

रीबूट करने के बाद, विंडोज 10 चलाने वाले कंप्यूटर पर C$ एडमिन शेयर को रिमोटली खोलने का प्रयास करें। उस खाते का उपयोग करके लॉग इन करें जो स्थानीय Administrators ग्रुप का सदस्य है। एक फाइल एक्सप्लोरर विंडो खुलनी चाहिए जिसमें C:\ ड्राइव की सामग्री हो।

तो, हमने देखा कि LocalAccountTokenFilterPolicy कुंजी का उपयोग करके विंडोज 10 चलाने वाले कंप्यूटर के सभी स्थानीय प्रशासकों के लिए हिडन एडमिन शेयर्स पर रिमोट एक्सेस कैसे अनुमति दें। यह गाइड विंडोज 8.1, 7 और विंडोज सर्वर पर भी लागू है।