uac虚拟化作用

用户帐户控制 (User Account Control) 是Windows Vista（及微软更高版本操作系统，比如Win7）中一组新的核心技术，可以帮助阻止恶意程序（有时也称为“恶意软件”）损坏系统，同时也可以帮助组织部署更易于管理的平台。使用 UAC，应用程序和任务总是在非管理员帐户的安全上下文中运行，但管理员专门给系统授予管理员级别的访问权限时除外。UAC会阻止未经授权应用程序的自动安装，防止无意中对系统设置进行更改。

1、UAC是如何工作的呢？

在Windows Vista中，如果用户使用管理员这样一个被授予高特权的账户登录，那么操作系统除了创建一个与这个账户对应的安全令牌外，还会创建一个经过筛选的令牌（filtered token），后者将只被授予标准用户的权限。以后，从包括资源管理器（explorer.exe）在内的第一个进程开始，这个筛选后的令牌会与系统代表最终用户启动的所有新进程关联。因此，不管是使用管理员账户还是标准用户账户，其所有的应用程序都只有标准用户的权限集。那么，有一个问题，我们如何才能访问受限制的资源呢？比较简短的一个回答是：权限受限的进程无法访问需要更高权限才能访问的安全资源。这句话如何理解呢？默认情况下，一个进程启动时，他会与当前登录用户筛选的令牌关联起来，当这个进程要访问受限制的资源时，就必须要求操作系统为进程授予更多的权限，但是要注意，提升权限的前提是进程具备该权限，只是访问令牌中没有启用该权限，如果进程本身不具备该权限，那就不能访问安全资源。
当进程需要提升权限时，会先友好地征得最终用户的同意，操作系统会弹出UAC提醒窗口，但是频繁的UAC窗口会使用户者不爽，于是微软为了大幅降低UAC对用户造成的干扰，Win7系统优化了UAC并增加四级提醒选项，努力在安全与流畅应用之间达成平衡。下面我们仔细看看Win7系统UAC四级提醒选项的具体设置。

2、UAC四级提醒选项设置

在对计算机进行更改（需要管理员级别的权限）之前，用户帐户控制 (UAC) 会通知您。默认 UAC 设置会在程序尝试对计算机进行更改时通知您，但您可以通过调整设置来控制 UAC 通知您的频率。在“控制面板”中找到”更改用户账户控制设置”,会出现下面这个界面，

下表描述了 UAC 设置以及每个设置对计算机安全的潜在影响。

设置	描述	安全影响
始终通知	在程序对计算机或 Windows 设置进行更改（需要管理员权限）之前，系统会通知您。 您收到通知后，桌面将会变暗，您必须先批准或拒绝 UAC 对话框中的请求，然后才能在计算机上执行其他操作。变暗的桌面称为安全桌面，因为其他程序在桌面变暗时无法运行。	这是最安全的设置。 您收到通知后，应该先仔细阅读每个对话框中的内容，然后再允许对计算机进行更改。
仅在程序尝试对我的计算机进行更改时通知我	在程序对计算机进行更改（需要管理员权限）之前，系统会通知您。 如果您尝试对 Windows 设置进行更改（需要管理员权限），系统将不会通知您。 如果 Windows 外部的程序尝试对 Windows 设置进行更改，系统会通知您。	通常允许对 Windows 设置进行更改而不通知您是很安全的。但是，Windows 附带的某些程序可以传递命令或数据，某些恶意软件可能会通过使用这些程序安装文件或更改计算机上的设置来利用这一点。您应该始终小心对待允许在计算机上运行的程序。
仅当程序尝试更改计算机时通知我(不降低桌面亮度)	在程序对计算机进行更改（需要管理员权限）之前，系统会通知您。 如果您尝试对 Windows 设置进行更改（需要管理员权限），系统将不会通知您。 如果 Windows 外部的程序尝试对 Windows 设置进行更改，系统会通知您。	此设置与“仅当程序尝试更改计算机时通知我”相同，但您不会在安全桌面上收到通知。 由于 UAC 对话框不在带有此设置的安全桌面上，因此其他程序可能会影响对话框的可视外观。如果已有一个恶意程序在您的计算机上运行，这会是一个较小的安全风险。
从不通知	在对您的计算机进行任何更改之前，您都不会收到通知。如果您以管理员的身份登录，则程序可以在在您不知道的情况下对计算机进行更改。 如果您以标准用户身份登录，则任何需要管理员权限的更改都会被自动拒绝。 如果选择此设置，将需要重新启动计算机来完成关闭 UAC 的过程。UAC 关闭后，以管理员身份登录的人员将始终具有管理员权限。	这是最不安全的设置。如果将 UAC 设置为从不通知，您在打开计算机时会有潜在的安全风险。 如果您将 UAC 设置为从不通知，则应该小心对待您所运行的程序，因为这些程序与您一样有权访问计算机。这包括读取和更改受保护的系统区域、您的个人数据、保存的文件和存储在计算机上的任何其他内容。这些程序还能够与您的计算机所连接的任何网络（包括 Internet）进行通信。