Адміністратори
Додавання користувачів до групи Користувачі - це найбезпечніший варіант, оскільки дозволи, призначені за замовчуванням, призначені для цієї групи, не дозволяють членам змінювати налаштування операційної системи чи дані інших користувачів. Однак дозволи на рівні користувача часто не дозволяють користувачеві успішно запускати застарілі програми. Члени групи Користувачі гарантовано зможуть запускати програми, сертифіковані для Windows. Для отримання додаткової інформації про програму Certified for Windows див. Веб-сайт Microsoft. Як результат, тільки довірений персонал повинен бути членами цієї групи.
В ідеалі адміністративний доступ слід використовувати лише для:
Встановіть операційну систему та компоненти (наприклад, драйвери апаратного забезпечення, системні служби тощо).
Встановіть пакети обслуговування та пакети Windows.
Оновіть операційну систему.
Відремонтуйте операційну систему.
Налаштування критичних параметрів операційної системи (таких як політика паролів, контроль доступу, політика аудиту, конфігурація драйвера режиму ядра тощо).
Отримайте право власності на файли, які стали недоступними.
Керуйте журналами безпеки та аудиту.
Створіть резервну копію та відновіть систему.
Користувачі
Група Користувачів є найбільш захищеною, оскільки дозволи, призначені для цієї групи за замовчуванням, не дозволяють членам змінювати налаштування операційної системи або дані інших користувачів.
Група Користувачі забезпечує найбільш безпечне середовище, в якому можна запускати програми. У томі, відформатованому за допомогою NTFS, налаштування безпеки за замовчуванням для щойно встановленої системи (але не для оновленої системи)створений для того, щоб члени цієї групи не могли порушити цілісність операційної системи та встановлених програм. Користувачі не можуть змінювати настройки системного реєстру, файли операційної системи або файли програм. Користувачі можуть вимикати робочі станції, але не сервери. Користувачі можуть створювати локальні групи, але можуть керувати лише локальними групами, які вони створили. Вони можуть запускати сертифіковані програми Windows 2000 або Windows XP Professional, які були встановлені або розгорнуті адміністраторами. Користувачі мають повний контроль над усіма власними файлами даних (% userprofile%) та власною частиною реєстру (HKEY_CURRENT_USER) .
Акцент додано
@ Відповідь TheUser1024 видає це досить добре.