[TR] Belirli Bir Programı Kullanıcıya Admin Yetkisi Vermeden Çalıştırmak

Kurumsal veya bireysel bilgisayar kullanımında bazı uygulamalar, çalışabilmek için yönetici yetkisine ihtiyaç duyabilir. Özellikle kamera izleme yazılımları, eski nesil muhasebe programları, donanım yönetim araçları, teknik servis uygulamaları veya sistem seviyesinde işlem yapan bazı programlar standart kullanıcı hesabı ile açıldığında hata verebilir.

Bu tür durumlarda en kolay çözüm gibi görünen yöntem, kullanıcıya yerel yönetici yetkisi vermektir. Ancak bu yaklaşım güvenlik açısından ciddi riskler doğurabilir. Çünkü bir kullanıcıya lokal admin yetkisi verildiğinde, yalnızca ilgili programı çalıştırma izni verilmiş olmaz; aynı zamanda sistem ayarlarını değiştirme, yazılım kurma/kaldırma, servisleri yönetme, güvenlik ayarlarını değiştirme ve bazı durumlarda zararlı yazılımların daha geniş yetkilerle çalışmasına zemin hazırlama gibi birçok farklı yetki de verilmiş olur.

Bu nedenle, yalnızca belirli bir uygulamanın yönetici yetkisiyle çalıştırılması gereken senaryolarda, kullanıcıya doğrudan admin yetkisi vermeden alternatif yöntemler tercih edilebilir. Bu yöntemlerden biri de Windows üzerinde bulunan runas.exe komutunu kullanarak uygulamayı farklı bir kullanıcı hesabı üzerinden çalıştırmaktır.

Runas.exe Nedir?

runas.exe, Windows işletim sistemlerinde yerleşik olarak bulunan bir komut satırı aracıdır. Bu araç sayesinde bir uygulama, oturum açmış mevcut kullanıcıdan farklı bir kullanıcı hesabı ile çalıştırılabilir.

Örneğin, bilgisayarda standart kullanıcı hesabıyla oturum açılmış olsa bile, belirli bir program lokal Administrator hesabı veya yetkili başka bir kullanıcı hesabı üzerinden başlatılabilir.

Bu yöntem özellikle şu senaryolarda tercih edilebilir:

Kullanıcıya lokal admin yetkisi verilmek istenmiyorsa, belirli bir uygulama yönetici yetkisi istiyorsa, kullanıcıya yönetici parolası sürekli söylenmek istenmiyorsa, uygulamanın yalnızca belirli bir yetkili hesapla açılması gerekiyorsa veya eski bir yazılım standart kullanıcı hesabında düzgün çalışmıyorsa kullanılabilir.

Örnek Kullanım Senaryosu

Örneğin SmartPSS gibi kamera izleme yazılımları bazı sistemlerde yönetici yetkisi isteyebilir. Kullanıcı standart hesapla oturum açtığında uygulama açılmayabilir, hata verebilir veya bazı fonksiyonları çalışmayabilir.

Bu durumda kullanıcıya doğrudan lokal admin yetkisi vermek yerine, uygulamanın belirli bir yönetici hesabı üzerinden çalıştırılması sağlanabilir.

Kullanılabilecek örnek komut aşağıdaki gibidir:

C:\Windows\System32\runas.exe /user:BILGISAYAR_ADI\Administrator /savecred "cmd /c cd /d \"C:\Program Files\Program Klasörü\" && start \"\" Program.exe"

Bu komut, ilgili programı belirtilen kullanıcı hesabı üzerinden çalıştırır. İlk çalıştırmada ilgili hesabın parolası istenir. /savecred parametresi kullanıldığı için parola daha sonra Windows tarafından kaydedilir ve sonraki çalıştırmalarda kullanıcıdan tekrar parola istenmeden uygulama açılabilir.

Komutun Bölümleri Ne Anlama Geliyor?

Komutun daha iyi anlaşılması için parçalar halinde inceleyelim.

C:\Windows\System32\runas.exe

Bu bölüm, Windows’un yerleşik runas.exe aracını çalıştırır.

/user:BILGISAYAR_ADI\Administrator

Bu bölümde uygulamanın hangi kullanıcı hesabı ile çalıştırılacağı belirtilir.

Buradaki BILGISAYAR_ADI kısmı ilgili cihazın bilgisayar adı ile değiştirilmelidir. Administrator kısmı ise uygulamayı çalıştıracak yetkili kullanıcı hesabıdır.

Örneğin bilgisayar adınız PC-001 ise komut şu şekilde düzenlenebilir:

/user:PC-001\Administrator

Domain ortamında ise lokal kullanıcı yerine domain kullanıcısı da belirtilebilir:

/user:DOMAIN_ADI\YetkiliKullanici

/savecred

Bu parametre, ilk çalıştırmada girilen parolanın Windows Credential Manager üzerinde saklanmasını sağlar. Böylece sonraki çalıştırmalarda kullanıcıdan tekrar parola istenmez.

Ancak bu parametre güvenlik açısından dikkatli değerlendirilmelidir. Çünkü kaydedilen kimlik bilgileri, ilgili kullanıcı oturumunda tekrar kullanılabilir hale gelir. Bu nedenle her ortamda önerilen bir yöntem değildir.

"cmd /c cd /d \"C:\Program Files\Program Klasörü\" && start \"\" Program.exe"

Bu bölümde önce uygulamanın bulunduğu klasöre gidilir, ardından ilgili çalıştırılabilir dosya başlatılır.

cd /d komutu, belirtilen dizine geçiş yapar. /d parametresi, farklı bir sürücüye geçiş yapılması gerektiğinde de işlemin sorunsuz gerçekleşmesini sağlar.

start "" Program.exe komutu ise ilgili programı başlatır. Buradaki boş tırnak işareti, start komutunun pencere başlığı parametresidir. Özellikle dosya yollarında boşluk olduğunda komutun doğru çalışması için bu yapı önemlidir.

Nasıl Uygulanır?

Bu yöntemi kullanmak için öncelikle çalıştırmak istediğiniz uygulamanın kurulu olduğu dizini ve çalıştırılabilir dosya adını bilmeniz gerekir.

Örneğin uygulama aşağıdaki dizinde yer alıyorsa:

C:\Program Files\SmartPSS

ve çalıştırılabilir dosya adı:

SmartPSS.exe

komut şu şekilde düzenlenebilir:

C:\Windows\System32\runas.exe /user:PC-001\Administrator /savecred "cmd /c cd /d \"C:\Program Files\SmartPSS\" && start \"\" SmartPSS.exe"

Bu komutu bir .bat dosyasına kaydedebilir veya masaüstünde bir kısayol olarak oluşturabilirsiniz.

BAT Dosyası Olarak Kullanımı

Komutu bir BAT dosyası haline getirmek için aşağıdaki adımlar izlenebilir:

Öncelikle Not Defteri açılır. Ardından hazırlanan komut Not Defteri içerisine yapıştırılır.

Örnek:

@echo off
C:\Windows\System32\runas.exe /user:PC-001\Administrator /savecred "cmd /c cd /d \"C:\Program Files\SmartPSS\" && start \"\" SmartPSS.exe"
exit

Daha sonra dosya farklı kaydet seçeneği ile örneğin aşağıdaki isimle kaydedilir:

SmartPSS_Calistir.bat

Dosya türü olarak “Tüm Dosyalar” seçilmeli ve dosya uzantısının .bat olduğundan emin olunmalıdır.

İlk çalıştırmada ilgili yönetici hesabının parolası istenir. Parola doğru girildiğinde uygulama çalışır. Sonraki çalıştırmalarda /savecred sayesinde parola tekrar sorulmadan uygulama açılabilir.

Masaüstü Kısayolu Olarak Kullanım

BAT dosyası yerine doğrudan masaüstü kısayolu da oluşturulabilir.

Bunun için masaüstünde sağ tıklanır, “Yeni > Kısayol” seçilir ve komut hedef alanına yazılır.

Örneğin:

C:\Windows\System32\runas.exe /user:PC-001\Administrator /savecred "cmd /c cd /d \"C:\Program Files\SmartPSS\" && start \"\" SmartPSS.exe"

Kısayola anlaşılır bir isim verilebilir:

SmartPSS Yönetici Yetkisiyle Aç

İsteğe bağlı olarak kısayol simgesi de değiştirilebilir.

Bu Yöntemin Avantajları

Bu yöntemin en önemli avantajı, kullanıcıya doğrudan lokal admin yetkisi vermeden belirli bir uygulamanın çalıştırılabilmesidir.

Kullanıcı günlük işlerini standart kullanıcı hesabı ile yapmaya devam eder. Bu da sistem güvenliği açısından daha kontrollü bir yapı sağlar.

Ayrıca yönetici parolasının kullanıcıya sürekli olarak söylenmesine gerek kalmaz. İlk çalıştırmada yetkili kişi parolayı girer ve sonraki çalıştırmalarda uygulama kayıtlı kimlik bilgileri ile açılır.

Özellikle küçük ofislerde, kamera izleme bilgisayarlarında, resepsiyon sistemlerinde veya belirli bir uygulamaya sınırlı erişim gereken ortamlarda pratik bir çözüm sunabilir.

Güvenlik Açısından Dikkat Edilmesi Gerekenler

Her ne kadar bu yöntem pratik olsa da güvenlik açısından dikkatli kullanılmalıdır. Özellikle /savecred parametresi, bazı ortamlarda risk oluşturabilir.

Çünkü bu parametre ile girilen kimlik bilgileri Windows üzerinde kaydedilir. Bu durum, ilgili bilgisayarda aynı kullanıcı oturumunda farklı işlemlerin de kayıtlı kimlik bilgileri ile çalıştırılmasına neden olabilir.

Bu nedenle bu yöntem uygulanmadan önce şu sorular değerlendirilmelidir:

Uygulamayı gerçekten yönetici yetkisiyle çalıştırmak zorunlu mu? Kullanıcıya admin yetkisi vermeden daha güvenli bir çözüm mümkün mü? Uygulama klasörü veya registry izinleri düzenlenerek sorun çözülebilir mi? Kullanılan yönetici hesabının yetkileri sınırlandırılabilir mi? Ortam domain yapısında mı yoksa workgroup yapısında mı çalışıyor? Bilgisayar başka kullanıcılar tarafından da kullanılıyor mu? Kullanıcının kayıtlı kimlik bilgilerini kötüye kullanma ihtimali var mı?

Bu değerlendirmeler yapılmadan /savecred kullanılması önerilmez.

Alternatif Çözümler

Bu yöntem her ortam için en ideal çözüm olmayabilir. Kurumsal yapılarda daha güvenli ve merkezi yönetilebilir alternatifler tercih edilmelidir.

Örneğin uygulamanın çalışması için gerekli olan klasör, dosya veya registry izinleri analiz edilerek sadece ihtiyaç duyulan izinler verilebilir. Böylece uygulama standart kullanıcı hesabıyla çalışabilir hale getirilebilir.

Bazı durumlarda Application Compatibility Toolkit, Microsoft Endpoint Manager, Intune, Group Policy, AppLocker, Windows Defender Application Control veya Privileged Access Management çözümleri değerlendirilebilir.

Ayrıca üçüncü taraf Privileged Access Management veya Endpoint Privilege Management çözümleri ile yalnızca belirli uygulamalara yükseltilmiş yetki verilebilir. Bu yaklaşım, kullanıcıya tam lokal admin yetkisi vermeden daha kontrollü bir yönetim sağlar.

Daha Güvenli Kullanım İçin Öneriler

Bu yöntemi kullanmanız gerekiyorsa, mümkünse varsayılan Administrator hesabı yerine sadece ilgili uygulama için oluşturulmuş ayrı bir lokal kullanıcı hesabı kullanılmalıdır.

Bu hesabın yetkileri mümkün olduğunca sınırlandırılmalı, karmaşık bir parola kullanılmalı ve hesap yalnızca ilgili uygulamanın çalışması için gerekli izinlere sahip olmalıdır.

Ayrıca kullanılan BAT dosyası veya kısayol herkes tarafından değiştirilebilir bir konumda bırakılmamalıdır. Kullanıcıların komut içeriğini değiştirerek farklı uygulamaları aynı kayıtlı kimlik bilgileriyle çalıştırmasının önüne geçilmelidir.

Bunun yanında Credential Manager üzerinde kayıtlı kimlik bilgileri düzenli olarak kontrol edilmeli ve artık ihtiyaç duyulmayan kayıtlar temizlenmelidir.

Kayıtlı Kimlik Bilgileri Nasıl Kontrol Edilir?

Windows üzerinde kayıtlı kimlik bilgileri Credential Manager üzerinden kontrol edilebilir.

Bunun için Denetim Masası üzerinden aşağıdaki menüye gidilebilir:

Control Panel > Credential Manager > Windows Credentials

Burada kayıtlı Windows kimlik bilgileri görüntülenebilir ve gerekirse kaldırılabilir.

Alternatif olarak komut satırı üzerinden aşağıdaki komutla kayıtlı kimlik bilgileri listelenebilir:

cmdkey /list

Belirli bir kayıt silinmek istenirse aşağıdaki komut kullanılabilir:

cmdkey /delete:HEDEF_ADI

Bu işlemler yapılırken dikkatli olunmalı, sistem veya uygulamalar tarafından kullanılan gerekli kimlik bilgileri yanlışlıkla silinmemelidir.

Belirli bir programın yönetici yetkisiyle çalışması gereken durumlarda kullanıcıya doğrudan lokal admin yetkisi vermek her zaman doğru bir yaklaşım değildir. Çünkü lokal admin yetkisi, yalnızca ilgili uygulama için değil, tüm sistem üzerinde geniş yetkiler anlamına gelir.

runas.exe ve /savecred parametresi ile belirli bir uygulamanın farklı bir kullanıcı hesabı üzerinden çalıştırılması pratik bir çözüm sunabilir. Özellikle SmartPSS gibi kamera izleme yazılımları veya benzer şekilde yönetici yetkisi isteyen uygulamalarda bu yöntem kısa vadede işlevsel olabilir.

Ancak bu yöntemin güvenlik etkileri mutlaka değerlendirilmelidir. /savecred parametresi nedeniyle kayıtlı kimlik bilgilerinin kötüye kullanılması riski vardır. Bu nedenle yöntem uygulanmadan önce kurumun güvenlik politikaları, kullanıcı yetkileri, cihazın kullanım amacı ve alternatif çözümler dikkatlice analiz edilmelidir.

En doğru yaklaşım, kullanıcıya gereğinden fazla yetki vermeden yalnızca ihtiyaç duyulan uygulamanın çalışmasını sağlayacak kontrollü ve güvenli bir yapı oluşturmaktır.