使用者帳戶控制 (UAC) 深度解析：原理、調整、關閉風險與最佳實踐

UAC (User Account Control) 自 Windows Vista 引入至今，仍被許多用戶視為「煩人的彈窗」而選擇關閉。實則 UAC 是 Windows 強制執行最小權限原則、阻擋惡意軟體靜默提權的關鍵防線。本文解析 UAC 運作機制、四個通知等級差異、安全關閉前提、企業部署最佳實踐。

UAC 核心機制：雙權杖與虛擬化

管理員登入時，Windows 產生兩個存取權杖：
• 完整權杖：含 Administrators 群組 SID、所有特權，僅在用戶同意提權 (點擊「是」/輸入密碼) 時授予進程。
• 已篩選權杖：移除 Administrators SID、高風險特權，視為標準使用者權杖，啟動器 (explorer.exe) 及其子進程預設使用此權杖。
檔案/註冊表虛擬化： 標準權杖進程嘗試寫入受保護區域 (Program Files, HKLM\Software) 時，系統透明重導向至使用者私有虛擬存儲 (%LocalAppData%\VirtualStore, HKCU\Software\Classes\VirtualStore)，避免舊版應用崩潰同時保護系統完整性。

四個通知等級詳細對比

關閉 UAC 的風險與補償性控制（必讀）

若業務必須關閉 UAC (等級 4)，必須同時滿足以下條件，否則嚴禁關閉：

1. 全磁碟加密：BitLocker (TPM+PIN) 或第三方 FDE，防止實體存取繞過登入。
2. 端點防護 (EDR/NGAV)：含行為分析、漏洞利用防護、勒索軟體疫苗，即時攔截提權嘗試。
3. 應用程式控制 (AppLocker/WDAC)：僅允許簽名受信應用執行，封鎖未簽名/惡意腳本/可執行檔。
4. 標準使用者日常操作：管理員帳戶僅用於維護，日常使用標準帳戶 (Run as administrator 按需提權)。
5. 自動修補管理：WSUS/Intune/第三方修補系統，確保 OS/瀏覽器/Office/第三方軟體 0-day 修補 < 48 小時部署。
6. 網路分段與最小權限：防火牆微分段、跳板機、特權存取管理 (PAM)，限制橫向移動。

驗證： 關閉 UAC 後執行 whoami /priv，確認 SeAssignPrimaryTokenPrivilege, SeDebugPrivilege 等高危特權處於啟用狀態，評估風險可接受性。

企業部署最佳實踐（群組原則）

電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 安全性選項
• "User Account Control: Admin Approval Mode for the Built-in Administrator account" = Enabled (內建 Administrator 也受 UAC 管制)
• "User Account Control: Behavior of the elevation prompt for administrators in Admin Approval Mode" = Prompt for consent (等級 1/2)
• "User Account Control: Detect application installations and prompt for elevation" = Enabled
• "User Account Control: Run all administrators in Admin Approval Mode" = Enabled
• "User Account Control: Only elevate UIAccess applications that are installed in secure locations" = Enabled
• "User Account Control: Switch to the secure desktop when prompting for elevation" = Enabled (強制安全桌面)

開發者/高階用戶：程式化提權與自動化

• 應用程式清單檔 (Manifest) 宣告 <requestedExecutionLevel level="requireAdministrator" uiAccess="false" />，系統自動提示提權。
• PowerShell 啟動提權：Start-Process powershell -Verb RunAs。
• 排程任務「使用最高權限執行」替代常駐服務提權。
• AutoIt/Python (pywin32) 自動化腳本遇到 UAC 提示：
  - 簽名腳本 + 受信任發行者 → 等級 2 可靜默提權。
  - UIAutomation 模擬點擊「是」(不推薦，脆弱且有安全風險)。

常見誤區

「UAC 是防毒軟體」

錯。UAC 是權限邊界執行點，防止未授權提權；防毒軟體是惡意代碼檢測引擎。兩者互補，缺一不可。

「關閉 UAC 後系統變快」

錯。UAC 本身無效能開銷 (僅權杖建立微秒級)。感覺變快是因為省去提示等待時間，實則犧牲安全邊界。

「標準用戶不需要 UAC」

標準用戶觸發提權需輸入管理員密碼 (Over-the-shoulder elevation)，UAC 同樣保護標準用戶免受惡意軟體誘騙輸入密碼。

UAC 不是敵人，是守門員。正確配置等級、搭配應用程式控制與端點防護，才能在易用性與安全性間取得最佳平衡。除非有極其特殊的補償控制，否則請保持 UAC 啟用 (至少等級 2)。