Como impedir o acesso ao prompt de comando para usuários específicos

Às vezes, você pode querer impedir que um determinado usuário abra a janela do prompt de comando (cmd.exe) por vários motivos válidos. Este artigo explica como evitar que usuários específicos abram o Prompt de Comando ou executem arquivos em lote do Windows.

Impedir o acesso ao prompt de comando para usuários específicos

O bloqueio do prompt de comando pode ser feito usando permissões NTFS, adicionando um Negar Entrada de permissão (para cmd.exe) para um usuário ou grupo específico. Isso pode ser feito usando a ferramenta de console embutida icacls.exe ou a caixa de diálogo Configurações de segurança avançada.

Método 1: usando o utilitário de linha de comando ICacls.exe

De um elevado ou Prompt de comando do administrador janela e execute estes comandos:

takeown / f cmd.exe. icacls cmd.exe / deny ramesh: RX

.. onde “ramesh” é o nome de usuário que você deseja impedir de acessar cmd.exe. Para obter mais informações sobre os comandos takeown.exe e icacls.exe, consulte o artigo Obtenha a propriedade de um arquivo ou pasta usando a linha de comando no Windows.

---

Método 2: usando a caixa de diálogo de permissões avançadas

1. Abra o C: \ Windows \ System32 pasta.
2. Clique com o botão direito em cmd.exe e clique em Propriedades. Alternativamente, clique no Propriedades botão na faixa de opções.
   
3. Selecione a guia Segurança na caixa de diálogo de propriedades do arquivo e clique no botão Avançado. Isso abre a caixa de diálogo Configurações de segurança avançadas.
   
4. Por padrão Instalador confiável possui cmd.exe. Clique em “Alterar” para alterar a propriedade do arquivo.
   
5. Digite “Administradores” e pressione ENTER.
   
6. Você verá a seguinte mensagem. Basta fechar a caixa de diálogo Permissões avançadas e abri-la novamente.

   Se você acabou de adquirir a propriedade deste objeto, precisará fechar e reabrir as propriedades do objeto antes de visualizar ou alterar as permissões.

7. O grupo Administradores agora é o proprietário do arquivo. Agora você pode adicionar entradas de permissão conforme necessário. Clique Alterar permissões, que agora mudará para Adicionar.
   
8. Clique Adicionar
   
   
9. Clique Selecione um principal
10. Digite o nome do usuário (por exemplo, ramesh) e clique em OK.
    
11. De Modelo caixa de diálogo, selecione Negar
    
    
12. Ative as caixas de seleção para Ler, Ler e executare clique em OK.

    Esta é a aparência da caixa de diálogo Configurações de segurança avançadas:
    

13. Na caixa de diálogo Configurações de segurança avançadas, clique em OK. Você verá as seguintes mensagens. Clique sim para prosseguir.

    Você está definindo uma entrada de permissão de negação. As entradas negadas têm precedência sobre as entradas permitidas. Isso significa que se um usuário for membro de dois grupos, um que tem permissão e outro que não tem a mesma permissão, o usuário tem essa permissão negada. Você quer continuar? Você está prestes a alterar as configurações de permissão nas pastas do sistema. Isso pode reduzir a segurança do seu computador e fazer com que os usuários tenham problemas para acessar os arquivos. Você quer continuar?

Teste se funciona

Para testar se o bloco funciona, use Executar como (ou runas.exe) para iniciar cmd.exe como esse usuário específico.

runas / usuário: ramesh c: \ windows \ system32 \ cmd.exe

Isso geraria o seguinte erro:

Incapaz de executar - cmd.exe → 5: Acesso negado

Ou simplesmente faça login nessa conta de usuário e tente iniciar o cmd.exe. O usuário “ramesh” não poderá ler ou executar o arquivo.

Isso é tudo. Agora você desabilitou o acesso ao Prompt de Comando (cmd.exe) para esse usuário específico.