[g]Principaux droits des groupes[/g]
 
Il existe trois niveaux de sécurité fondamentaux accordés aux utilisateurs. Ceux-ci sont accordés aux utilisateurs finaux par le biais des groupes d'appartenance Utilisateurs, Utilisateurs avec pouvoir ou Administrateurs.
 
[g]Administrateurs [/g]
L'ajout d'utilisateurs au groupe Utilisateurs est l'option la plus sécurisée, parce que les autorisations par défaut allouées à ce groupe n'autorisent pas les membres à modifier les paramètres du système d'exploitation ou d'autres données utilisateur. Toutefois, les autorisations de niveau utilisateur ne permettent pas toujours aux utilisateurs d'exécuter correctement des applications héritées Les membres du groupe Utilisateurs sont uniquement assurés de pouvoir exécuter des programmes certifiés Windows.
Par conséquent, seules des personnes dignes de confiance dans l'entreprise doivent être membres de ce groupe.  
Idéalement, l'accès administratif ne doit être utilisé que pour :
· Installer le système d'exploitation et ses composants (comme les pilotes de matériel, les périphériques du système et ainsi de suite).  
· Installer Service Packs et Windows Packs.  
· Mettre à niveau le système d'exploitation.  
· Réparer le système d'exploitation.  
· Configurer des paramètres critiques du système d'exploitation (tels que la stratégie de mot de passe, le contrôle d'accès, la stratégie d'audit, la configuration du pilote en mode noyau et ainsi de suite).  
· S?approprier des fichiers devenus inaccessibles.  
· Gérer les journaux d'audit et de sécurité.  
· Sauvegarder et restaurer le système.  
En pratique, les comptes Administrateur doivent souvent être utilisés pour installer et exécuter des programmes écrits pour des versions de Windows antérieures à Windows 2000.
 
[g]Utilisateurs avec pouvoir [/g]
Le groupe Utilisateurs avec pouvoir fournit principalement une compatibilité ascendante pour l'exécution d'applications non certifiées. Les autorisations par défaut allouées à ce groupe permettent à ses membres de modifier les paramètres d'ordinateur. Si des applications non certifiées doivent être prises en charge, les utilisateurs finaux doivent faire partie du groupe Utilisateurs avec pouvoir.
Les membres du groupe Utilisateurs avec pouvoir possèdent plus d'autorisations que ceux du groupe Utilisateurs et moins que ceux du groupe Administrateurs. Les utilisateurs avec pouvoir peuvent exécuter toutes les tâches du système d'exploitation sauf celles réservées au groupe Administrateurs.  
Les Utilisateurs avec pouvoir peuvent :
· exécuter des applications héritées, en plus des applications certifiées Windows XP Professionnel ;
· installer des programmes qui ne modifient pas les fichier du système d'exploitation ou installer des services système ;  
· personnaliser des ressources système, telles que les imprimantes, l'heure, la date, les options d'énergie et d'autres ressources du Panneau de configuration ;  
· créer et gérer des comptes d'utilisateur et des groupes locaux ;  
· arrêter et démarrer les services système qui ne sont pas démarrés par défaut.  
Les Utilisateurs avec pouvoir n'ont pas l'autorisation de s'ajouter eux-mêmes au groupe Administrateurs. Les Utilisateurs avec pouvoir n'ont pas accès aux données des autres utilisateurs sur un volume NTFS, sauf lorsque ces utilisateurs leur accordent l'autorisation.
 
Attention
· Si vous exécutez des programmes hérités sous Windows XP Professionnel, cela vous oblige souvent à modifier l'accès à certains paramètres système. Les mêmes autorisations par défaut qui permettent aux Utilisateurs avec pouvoir d'exécuter des programmes hérités donnent également à un Utilisateur avec pouvoir la possibilité d'acquérir des privilèges supplémentaires sur le système, voire d'exercer un contrôle administratif complet. Il est donc important de déployer des programmes certifiés Windows XP Professionnel pour optimiser la sécurité sans renoncer aux fonctionnalités des programmes.
· Étant donné que les Utilisateurs avec pouvoir peuvent installer ou modifier des programmes, l'exécution en tant qu'Utilisateur avec pouvoir dans le cadre d'une connexion à Internet peut rendre le système vulnérable face aux programmes de type cheval de Troie et aux autres risques relatifs à la sécurité.  
 
[g]Utilisateurs [/g]
Le groupe Utilisateurs est le plus sécurisé, parce que les autorisations par défaut allouées à ce groupe n'autorisent pas les membres à modifier les paramètres du système d'exploitation ou d'autres données utilisateur.  
Le groupe Utilisateurs fournit l'environnement le plus sûr dans lequel exécuter des applications. Sur un volume au format NTFS, les paramètres de sécurité par défaut sur un système nouvellement installé (et non mis à niveau) sont conçus pour que les membres de ce groupe ne puissent par compromettre l?intégrité du système d?exploitation et des applications installées. Les utilisateurs ne peuvent pas modifier les paramètres de registre système, les fichiers du système d'exploitation ou les fichiers de programme. Ils peuvent fermer des postes de travail, mais pas des serveurs. Ils ont la possibilité de créer des groupes locaux, mais ne peuvent gérer que les groupes locaux qu'ils ont créés. Ils peuvent exécuter des programmes certifiés Windows XP Professionnel qui ont été installés ou déployés par des administrateurs. Les Utilisateurs bénéficient d'un contrôle complet sur la totalité de leurs propres fichiers de données (%userprofile%) et sur la partie du registre les concernant (HKEY_CURRENT_USER).