Comment se logguer en Administrateur complet sur Vista

[Jango78]

Edit: tuto révisé et augmenté le 27/10/07


Pour les personnes qui viennent d'arriver sur Vista, il existe dans ce nouveau Windows deux niveaux principaux d’utilisateurs: les utilisateurs standard et les administrateurs:

Les utilisateurs standard sont membres du groupe Utilisateurs et les administrateurs sont membres du groupe Administrateurs.

- Le compte d'utilisateur par défaut appartenant au groupe "Administrateurs" est notamment celui créé à la première installation de Vista. Il fonctionne en Mode Approbation Administrateur ou AAM [Admin Approval Mode].

- Le compte Administrateur complet ou compte d'utilisateur d'administration est désactivé par défaut... il est équivalent à celui créé par défaut sur XP... lorsqu’il est activé, le compte Administrateur possède le contrôle total de l’ordinateur et peut affecter des droits d’utilisateur et des autorisations de contrôles d’accès aux utilisateurs en fonction des besoins. Ce compte ne doit être utilisé que pour les tâches nécessitant des informations d'identification administratives.
Il ne peut jamais être effacé ou supprimé dans le groupe Administrateurs, mais il peut être renommé ou désactivé.

Important: même lorsque le compte Administrateur a été désactivé, il peut toujours être utilisé pour accéder à un ordinateur en mode sans échec


Contrairement aux versions précédentes de Windows, les utilisateurs administrateurs accèdent aux ressources et exécutent les applications dans le contexte de sécurité des utilisateurs standard par défaut.

Lorsqu'un administrateur ouvre une session, deux jetons d’accès distincts sont créés: un jeton d’accès utilisateur standard et un jeton d’accès administrateur. Le jeton d’accès utilisateur standard contient les mêmes informations propres à l’utilisateur que le jeton d’accès administrateur, mais les privilèges d’administration Windows et les identificateurs de sécurité [SID] ont été supprimés.
Le jeton d’accès utilisateur standard sert à démarrer les applications qui n’exécutent pas de tâches d’administration.

Par conséquent, quand l’administrateur doit exécuter des applications impliquant des tâches d’administration, il est invité à changer ou élever son contexte de sécurité du niveau utilisateur standard vers le niveau Administrateur complet [élévation de privilège via le contrôle de compte utilisateur CCU].

D'où les pop-ups et alertes sonores qui se manifestent pour solliciter l'autorisation spécifique d'exécuter une application au même niveau d'accès qu’un Administrateur complet:

La couleur bleue du bandeau indique qu'il s'agit d'un composant Windows signé numériquement par Microsoft logé dans le répertoire système de Windows, et un bandeau gris indique que le fichier est signé numériquement par un tiers... autrement le contrôle d'approbation sera barré d'un bandeau orange en l'absence de toute signature.

Dans une configuration Administrateur complet + Utilisateur standard, une action de ce dernier par ex. pour installer/désinstaller un logiciel, nécessitera la saisie du mot de passe Administrateur:


Ces conditions particulières étant ce qu'elles sont, il y a trois façons de s'y prendre:
- désactiver purement et simplement le contrôle de compte CCU tout en conservant le titre d'utilisateur administrateur, et en assumer les risques,
- modifier les modalités d'interaction du CCU pour l'administrateur utilisateur en mode d’approbation d’Administrateur par suppression de la demande de consentement via la console Stratégie de groupe [uniquement sur les versions Professionnelle et Intégrale],
- se logguer en session Administrateur complet sous laquelle vous serez le seul maître à bord.

Cependant il existe pour toutes les éditions de Vista la solution ultra simple du petit utilitaire gratuit TweakUAC à télécharger ICI.

Pour neutraliser la demande de consentement d'élévation de privilège ciblant les administrateurs standard, cocher l'option "Switch UAC to the quiet mode" et valider... la prise en compte est immédiate.


Les éditions Familiale et Professionnelle ont leurs points communs et leurs différence dans l'administration des comptes d'utilisateurs.

Comme évoqué plus haut, aucune des versions familiales des deux Windows n'intègre les consoles de stratégie de groupe [GPO] et sécurité locale [SECPOL]... plus particulièrement dans Vista Basique et Premium, non seulement le compte Administrateur complet est désactivé, mais la gestion des Utilisateurs et groupes locaux est tout simplement inexistante:


Même l'indispensable clé Administrateur est absente de la base de registre, par conséquent la première action à mener sera donc de la créer.


1/ création de la clé Administrateur dans la base de registre

Dans le menu Démarrer -> Accessoires, ouvrir une fenêtre d'Invite de commandes CMD en mode Administrateur via le menu contextuel du clic-droit -> Exécuter en tant que...

puis lancer l'éditeur par la commande Regedit et dérouler la branche:

HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon

Clic-droit sur Winlogon -> Nouveau -> Clé, lui donner le nom SpecialAccounts et valider.

Ensuite répéter la même opération par clic-droit sur SpecialAccounts pour créer une sous-clé UserList et valider.

Cette fois dans la fenêtre à droite en face de UserList, clic-droit -> Nouveau -> Valeur DWORD 32 bits et lui attribuer le nom Administrateur avec la valeur 1 [clic-droit -> Modifier].


Fermer l'éditeur...


2/ Activation du compte Administrateur

L'étape suivante consiste à activer la présence du compte Admin dans le choix des comptes d'utilisateurs à l'ouverture de session.

Il faut pour cela exécuter une instruction dans une fenêtre d"Invite, toujours en mode Administrateur... autrement en mode normal vous aurez droit à un message d'erreur système.

Donc à l'invite, lancer la commande:

net user administrateur /active:yes

La notifification "La commande s'est terminée correctement" vous confirme sa bonne exécution.

Fermer la fenêtre d'Invite...


Ensuite il est inutile de redémarrer l'ordi pour que la modification prenne effet, une simple fermeture de session suffit pour afficher cet écran:



3/ Activation du compte Administrateur sur les éditions Pro & Intégrale

Alors là c'est extrêmement simple... il y a juste une case à décocher, et hop!!!:



4/ Désactivation du compte Administrateur

Pour désactiver le compte Administrateur, vous pouvez soit lancer la commande:

net user administrateur /active:no

soit mettre à 0 la valeur de la clé Administrateur dans la base de registre,

soit recocher la case adéquate...