Cara mengaktifkan akun administrator tersembunyi di Windows 11

Windows 11 menyertakan akun administrator tersembunyi bawaan yang dinonaktifkan secara default karena alasan keamanan. Akun khusus ini memiliki hak akses yang lebih banyak daripada akun pengguna yang termasuk dalam grup administrator dan terutama digunakan untuk pemeliharaan, perbaikan sistem, atau mempersiapkan komputer sebelum dikirim ke pengguna akhir.

Masalah muncul ketika kita kehilangan akses ke akun dengan hak akses administrator , baik karena salah konfigurasi, lupa kata sandi, atau kesalahan saat membuat akun. Dalam skenario ini, banyak fungsi Windows yang terblokir: program tidak dapat diinstal, Kontrol Akun Pengguna (UAC) mencegah pengguna memasukkan nama pengguna dan kata sandi, dan jenis akun tidak dapat diubah dari Pengaturan. Oleh karena itu, sangat berguna untuk mengetahui semua cara yang mungkin untuk mengaktifkan akun administrator tersembunyi di Windows 11 dan batasan sebenarnya dari setiap metode.

Apa itu akun administrator tersembunyi di Windows 11 dan apa kegunaannya?

Semua instalasi Windows modern menyertakan akun bawaan yang biasanya disebut "Administrator" . Ini bukan akun pengguna biasa, melainkan akun sistem internal dengan hak akses yang lebih tinggi, yang dirancang untuk:

• Lakukan perubahan mendalam pada sistem operasi tanpa intervensi Kontrol Akun Pengguna (UAC).
• Siapkan peralatan baru oleh produsen (OEM) atau integrator sebelum membuat akun pengguna akhir.
• Memecahkan masalah serius Windows ketika akun administratif lainnya tidak berfungsi dengan benar.

Pada versi Windows yang lebih lama (sebelum Vista), akun ini terlihat dan berfungsi secara default , dan mengetahui kata sandinya sudah cukup untuk masuk. Mulai dari Windows Vista dan seterusnya, Microsoft memutuskan untuk menonaktifkannya secara default untuk mengurangi risiko keamanan, sehingga:

Selama instalasi Windows 11, sebuah akun pengguna dibuat dan ditambahkan ke grup "Administrator" , dan akun inilah yang kita gunakan untuk tugas sehari-hari. Ini adalah akun dengan hak akses yang lebih tinggi, tetapi tunduk pada Kontrol Akun Pengguna (UAC), yang memberi tahu kita ketika sebuah program atau tindakan dapat mengubah pengaturan penting.

Di sisi lain, akun administrator bawaan beroperasi tanpa batasan UAC yang biasa . Hampir semua operasi dijalankan tanpa permintaan atau konfirmasi. Ini sangat nyaman untuk tugas administratif yang intensif, tetapi juga sangat berbahaya jika digunakan sebagai akun biasa atau jika jatuh ke tangan yang salah.

Oleh karena itu, disarankan untuk mengaktifkannya hanya jika benar-benar diperlukan , mengatur kata sandi yang kuat, menggunakannya untuk waktu minimum yang dibutuhkan, dan menonaktifkannya kembali segera setelah kita menyelesaikan tugas pemeliharaan atau pemulihan.

Skenario masalah umum: ketika Anda tidak memiliki administrator operasional

Situasi yang sangat menyedihkan adalah hanya memiliki akun standar tanpa hak akses administrator . Misalnya, pada laptop yang menjalankan Windows 11 di mana:

• Dua akun dibuat, satu standar dan satu administrator.
• Akun administrator menjadi tidak dapat diakses (terjadi kesalahan saat membuatnya, lupa kata sandi, profil rusak, dsb.).
• Saat mencoba menginstal program atau membuat perubahan, sistem meminta kredensial administrator, tetapi Kotak untuk memasukkan nama pengguna dan kata sandi tidak muncul.hanya pilihan untuk menekan “Tidak”.

Di Pengaturan > Akun, hanya akun standar yang muncul , tanpa kemungkinan untuk mengubah jenis akun atau membuat akun baru dengan hak akses yang lebih tinggi, justru karena untuk melakukan perubahan tersebut, izin administrator sudah diperlukan.

Dalam situasi ini, banyak pengguna mencari solusi secara online menggunakan perintah seperti "net user" yang dijalankan di CMD , alat grafis, perubahan registri, atau modifikasi kebijakan keamanan. Masalah utamanya adalah sebagian besar metode ini memerlukan hak akses administrator untuk berfungsi, sehingga menciptakan lingkaran setan yang sangat sulit untuk dipecahkan.

Para ahli dukungan Microsoft menjelaskan dengan gamblang: Windows 11 seharusnya tidak mengizinkan sistem dibiarkan tanpa administrator aktif , tetapi jika itu terjadi dan satu-satunya akun yang tersisa adalah akun standar, biasanya tidak ada solusi mudah. ​​Solusi sementara yang mungkin Anda lihat di tempat lain seringkali tidak akan berhasil karena:

• Anda tidak dapat membuka command prompt ditinggikan (CMD sebagai administrator).
• Alat administratif tidak dapat diluncurkan seperti lusrmgr.msc atau secpol.msc dengan hak istimewa.
• UAC sendiri mencegah Anda memasukkan kredensial dari akun lain. karena antarmuka kredensial tidak ditampilkan.

Jika sistem sudah berhasil melakukan booting secara normal dan tidak ada administrator yang tersedia , satu-satunya cara yang benar-benar andal biasanya adalah dengan mencadangkan file pribadi dan melanjutkan dengan instalasi Windows 11 yang bersih , dengan melakukan booting dari USB instalasi yang dibuat menggunakan alat resmi Microsoft (Media Creation Tool).

Namun, jika kita masih dapat mengakses akun administrator atau melakukan booting ke mode khusus ( WinRE , mode audit, dll.) , kita dapat menggunakan metode di bawah ini untuk mengaktifkan akun administrator yang tersembunyi dan mendapatkan kembali kendali penuh atas sistem.

Aktifkan akun administrator dengan perintah net user

Metode paling langsung dan terkenal untuk mengaktifkan akun administrator bawaan di Windows 11 Ini terdiri dari penggunaan alat baris perintah net user dari prompt perintah dengan hak istimewa yang ditinggikan.

Langkah pertama adalah membuka Command Prompt sebagai administrator . Untuk melakukannya:

• Tekan tombol Windows dan ketik cmd di bilah pencarian menu Start.
• Klik kanan pada “Command Prompt” dan pilih opsi "Jalankan sebagai administrator" (Jalankan sebagai administrator).
• Terima perintah UAC dengan mengklik Ya.

Jika langkah ini tidak dapat diselesaikan (karena akun pengguna Anda adalah akun standar dan Anda tidak memiliki cara untuk memasukkan kredensial administrator) , maka metode ini tidak lagi dapat diterapkan pada komputer tersebut. Anda memerlukan akun administrator lain atau menginstal ulang sistem.

Dengan konsol CMD yang sudah terbuka dengan hak administrator , untuk mengaktifkan akun administrator bawaan di Windows 11 Anda dapat menggunakan dua pendekatan:

1. Aktifkan akun tanpa mengatur kata sandi terlebih dahulu (biasanya pada sistem berbahasa Inggris, dengan nama "Administrator"):

Perintah: net user administrator /active:yes

Dalam sistem berbahasa Spanyol, nama akun biasanya adalah "Administrator" , jadi perintahnya misalnya:

Perintah (ES): net user administrador /active:yes

Jika perintah berhasil dieksekusi, Windows akan menampilkan pesan seperti "Perintah berhasil diselesaikan ." Mulai saat itu, akun terintegrasi akan muncul sebagai aktif dan Anda dapat masuk dengannya dari layar masuk.

2. Aktifkan akun dan tetapkan kata sandi dalam satu langkah , yang lebih aman karena kami mencegah akun dibiarkan tanpa perlindungan:

Kata sandi diperlukan: net user administrador TuContraseñaSegura /active:yes

Ganti “YourSecurePassword” dengan kata sandi yang ingin Anda atur . Anda juga dapat menentukan atau mengubah kata sandi secara terpisah dengan:

Tetapkan kata sandi: net user administrador *

Pada kasus terakhir ini, konsol akan meminta Anda untuk memasukkan kata sandi baru dan mengkonfirmasinya . Anda tidak akan melihat karakter apa pun di layar saat Anda mengetik (ini normal karena alasan keamanan). Jika semuanya berjalan lancar, Anda akan kembali menerima pesan yang menunjukkan bahwa perintah telah berhasil diselesaikan.

Jika sewaktu-waktu Anda ingin menonaktifkan kembali akun administrator tersembunyi , cukup jalankan perintah berikut:

Menonaktifkan: net user administrador /active:no

Anda juga dapat memeriksa status akun Anda dengan:

Memeriksa: net user administrador

Pada output perintah, Anda akan melihat informasi yang relevan , seperti:

• Akun aktif: Ya ​​/ Tidak, yang menunjukkan apakah itu diaktifkan atau dinonaktifkan.
• Kata sandi diperlukan: Ya / Tidak, yang menunjukkan apakah akun tersebut memiliki kata sandi yang ditetapkan.

Setelah akun terintegrasi diaktifkan, entri baru bernama "Administrator" akan muncul di layar masuk Windows 11. Anda dapat memilihnya, memasukkan kata sandi yang telah Anda tetapkan (atau membiarkannya kosong jika Anda belum menetapkannya, yang tidak disarankan), dan masuk untuk pertama kalinya dengan akun administrator super ini.

Setelah login pertama, ada baiknya Anda mengubah atau mengatur kata sandi dari akun administrator itu sendiri., mendesak Ctrl + lain + Menghapus dan memilih Ubah kata sandi (Ubah kata sandi).

Aktifkan akun administrator menggunakan alat grafis tingkat lanjut

Jika Anda lebih suka tidak menggunakan perintah, Windows 11 menawarkan beberapa alat grafis untuk bekerja dengan akun pengguna dan kebijakan keamanan. Namun, dalam hampir semua kasus, Anda perlu menjalankannya dengan hak akses administrator.

Pengguna dan grup lokal (lusrmgr.msc)

Konsol "Pengguna dan Grup Lokal" (lusrmgr.msc) adalah alat yang sangat ampuh untuk mengelola akun dan grup pada komputer yang bukan bagian dari domain (dan terutama pada versi Pro/Enterprise).

Untuk membukanya, Anda dapat menggunakan kotak dialog Jalankan (Windows + R) dan ketik:

Buka: lusrmgr.msc

Sebuah jendela akan terbuka yang terbagi menjadi tiga panel , di mana di sebelah kiri Anda akan melihat folder Pengguna dan Grup . Memilih Pengguna akan menampilkan semua akun lokal di panel tengah, termasuk akun Administrator.

Saat akun administrator bawaan dinonaktifkan, akan muncul ikon kecil berisi panah putih di pojok kanan bawah. Untuk mengubah propertinya:

• Klik kanan pada akun Administrator dan pilih Properti.
• Tab Umumhapus centang pada kotak “Akun dinonaktifkan”.
• Klik pada menerima.

Saat Anda kembali ke daftar, panah hitam pada ikon akan hilang , menandakan bahwa akun tersebut sekarang aktif. Untuk menambahkan kata sandi:

• Klik kanan lagi pada Administrator dan pilih “Tetapkan kata sandi…”.
• Peringatan akan muncul yang menunjukkan bahwa mengubah kata sandi dapat menyebabkan pengguna kehilangan akses ke data yang dienkripsi dengan kata sandi sebelumnya.

Dalam kasus akun terintegrasi yang belum pernah digunakan, tidak ada risiko kehilangan data yang nyata , jadi Anda dapat melanjutkan dengan tenang, masukkan kata sandi baru dua kali, dan selesaikan panduannya.

Setelah itu, akun terintegrasi akan diaktifkan dan dilindungi kata sandi , siap digunakan dari layar masuk atau untuk bekerja dengan UAC tanpa penguncian.

Arahan Keamanan Lokal (secpol.msc)

Cara lain untuk mengontrol status akun administrator adalah dengan menggunakan Kebijakan Keamanan Lokal , yang dapat diakses melalui:

Lari: secpol.msc

Setelah membukanya (juga dengan hak administrator), di panel sebelah kiri Anda perlu menavigasi ke :

• Arahan lokal > Opsi keamanan.

Di panel sebelah kanan, temukan kebijakan yang bernama “Akun: Status akun administrator” . Klik kanan padanya dan pilih Properti akan menampilkan dua opsi dasar:

• Diaktifkan
• dengan disabilitas

Memilih “Diaktifkan” dan menyimpan perubahanAkun administrator terintegrasi akan menjadi aktif tanpa perlu menggunakan perintah net userOpsi ini terutama berguna dalam lingkungan tempat banyak kebijakan keamanan terpusat dikelola.

Bagaimanapun, bahkan jika Anda menggunakan secpol.msc untuk mengaktifkannyaItu tetap penting tetapkan kata sandi yang kuat ke akun, baik dari lusrmgr.msc, atau dari CMD yang ditinggikan dengan net user administrador *, atau langsung setelah masuk menggunakannya.

Aktifkan akun administrator selama instalasi tanpa pengawasan (file respons)

Dalam skenario yang lebih canggih, terutama di lingkungan bisnis atau untuk produsen peralatan , umum untuk menggunakan instalasi Windows 11 tanpa pengawasan menggunakan file jawaban (unattend.xml). Dalam kasus ini, akun administrator bawaan dapat diaktifkan secara otomatis.

Hal ini melibatkan penggunaan, antara lain, “Microsoft-Windows-Shell-Setup” di dalam file respons. Dengan menggunakan alat seperti Windows System Image Manager (Windows SIM), bagian dari Assessment and Development Kit (ADK), dimungkinkan untuk menentukan parameter untuk:

• Masuk Otomatis, sehingga sistem secara otomatis masuk dengan akun administrator bawaan untuk sejumlah startup yang ditentukan.
• Akun Pengguna\Kata Sandi Administrator, untuk mengatur kata sandi administrator bawaan.

Cuplikan konfigurasi umum untuk mengaktifkan dan menggunakan akun ini selama fase penyiapan mungkin mencakup elemen-elemen seperti:

• Nama pengguna = Administrator dalam AutoLogon.
• Diaktifkan = benar untuk mengizinkan login otomatis.
• Jumlah Logon untuk menentukan berapa kali logon otomatis akan terjadi.
• Nilai dan PlainText dalam AdministratorPassword untuk menentukan kunci akses.

Oleh karena itu, saat menerapkan citra Windows 11, akun bawaan diaktifkan dan diakses secara otomatis selama mode audit atau pada tahap instalasi tertentu, bahkan jika kata sandi administrator yang dibuat secara manual belum diatur.

Jika kita ingin menghindari permintaan kata sandi administrator terenkripsi lagi setelah pengalaman awal (out-of-the-box/OOBE) tanpa menentukan kata sandi terlebih dahulu , penting untuk mengatur nilai UserAccounts\AdministratorPassword pada langkah konfigurasi oobeSystem . Ini memastikan bahwa akun tersebut memiliki kata sandi yang diketahui, bahkan jika akun tersebut kemudian dinonaktifkan sebelum komputer diserahkan kepada pengguna akhir.

Menggunakan akun administrator dalam mode audit dan sistem server

Saat Out-of-Box Experience (OOBE) belum selesai , Windows memungkinkan Anda untuk melakukan booting ke mode audit . Mode ini terutama ditujukan untuk OEM dan administrator yang menyiapkan image kustom, driver , aplikasi pra-instal, dll.

Jika sistem belum melalui OOBE (Out-of-Box Experience), Anda dapat masuk kembali ke mode audit dan mengakses akun administrator bawaan dari sana. Ini adalah lingkungan yang sempurna untuk menjalankan skrip, menginstal perangkat lunak dasar, atau menerapkan konfigurasi tanpa gangguan dari akun pengguna biasa.

Pada server Windows, pengelolaan akun administrator bawaan sering dilakukan dari MMC "Pengguna dan Grup Lokal" , serupa dengan yang dijelaskan di lusrmgr.msc. Pada sistem-sistem ini:

• Konsol MMC terbuka dan add-on telah ditambahkan Pengguna dan grup lokal.
• Akun diakses Administrator, propertinya diedit dan kotaknya tidak dicentang Akun dinonaktifkan.
• Konfigurasi disimpan dan MMC ditutup, sehingga memungkinkan akses administratif terintegrasi.

Pada edisi server ini, sangat umum untuk menggunakan akun administrator bawaan pada fase konfigurasi awal tertentu, meskipun rekomendasi keamanannya tetap membatasi penggunaan sehari-hari dan melindunginya dengan kata sandi yang sangat kuat.

Nonaktifkan akun administrator bawaan dan kelola kata sandinya

Setelah pekerjaan pemeliharaan atau persiapan peralatan selesai , hal yang paling bijaksana adalah menonaktifkan kembali akun administrator bawaan, terutama pada peralatan yang akan digunakan oleh pengguna akhir yang bukan ahli teknis.

Pada instalasi Windows 11 yang baru, setelah membuat akun pengguna pertama di OOBE, akun bawaan dinonaktifkan secara default . Namun, pada peningkatan dari versi sebelumnya, hal berikut mungkin terjadi:

• Akun administrator terintegrasi tetap diaktifkan jika tidak ada administrator lokal aktif lainnya.
• Komputer tidak tergabung ke domain.Ini memperkuat keputusan untuk tetap mengoperasikannya agar sistem tidak dibiarkan tanpa administrasi.

Untuk menonaktifkannya secara manual kapan saja, kita dapat menggunakan perintah atau alat grafis . Misalnya:

• dengan net user administrator /active:no (atau “administrator” dalam sistem bahasa Spanyol).
• Memeriksa kotak “Akun dinonaktifkan” di lusrmgr.msc.
• Menetapkan arahan “Akun: Status akun administrator” en dengan disabilitas dari secpol.msc.

Dalam lingkungan penyebaran massal, cara lain untuk menonaktifkannya adalah dengan menjalankan perintah “sysprep /generalize” . Saat dijalankan

Sysprep: sysprep /generalize

Dalam konteks tersebut, saat melakukan booting setelah sysprep, sistem mungkin menampilkan peringatan untuk mengkonfigurasi ulang kata sandi , tergantung pada edisi dan bagaimana file respons yang digunakan dalam penyebaran tersebut dibuat.

Produsen peralatan asli (OEM) dan perakit diharuskan mengirimkan peralatan dengan akun administrator bawaan yang dinonaktifkan . Mereka dapat melakukan ini dengan cara:

• Gunakan sysprep /generalize dalam proses manufaktur Anda.
• Jalankan “net user administrator /active:no” sebelum menyerahkan perangkat.

Mengenai kata sandi, sangat penting untuk memahami bahwa Sysprep dapat mengatur ulang dan mengosongkannya di versi tertentu . Oleh karena itu, selalu disarankan untuk mengatur kata sandi yang kuat setelah proses apa pun yang dapat memengaruhi akun terintegrasi , jika akun tersebut akan tetap diaktifkan, bahkan untuk sementara waktu.

Batasan dan risiko menyembunyikan atau memblokir akun administrator

Ada skenario yang sangat spesifik di mana akun administrator lokal dibutuhkan , yaitu akun yang tidak digunakan untuk login langsung tetapi tetap valid untuk memasukkan kata sandi saat diminta oleh Kontrol Akun Pengguna (UAC). Hal ini umum terjadi di perusahaan yang ingin:

• Mencegah pengguna masuk langsung sebagai administrator.
• Izinkan pengguna standar melakukan tindakan lebih lanjut dengan memasukkan kata sandi untuk akun tersebut. ketika Anda membuka kotak kredensial UAC.

Salah satu cara umum untuk menyembunyikan akun administrator dari layar login adalah dengan memodifikasi kunci registri “WinLogon\SpecialAccounts\UserList” dan menandai akun tersebut sebagai tersembunyi. Masalahnya, seperti yang telah ditemukan oleh banyak administrator, adalah hal ini juga menyebabkan akun tersebut menghilang dari prompt Kontrol Akun Pengguna (UAC) , sehingga mencegah penggunaannya untuk peningkatan hak akses dan menghambat deteksi proses tersembunyi.

Pendekatan lain adalah menggunakan Kebijakan Keamanan Lokal untuk menolak akses masuk lokal ke akun administrator tersebut (misalnya, dari secpol.msc, dengan menambahkannya ke “Tolak akses masuk lokal”). Namun:

Dengan melakukan hal tersebut, meskipun akun tersebut masih ada dan memiliki kata sandi, ketika kredensial dimasukkan dalam prompt UAC, sistem akhirnya menolak operasi tersebut dengan penolakan akses, karena kebijakan tersebut mencegah login lokal apa pun, termasuk yang terkait dengan peningkatan hak akses.

Windows tidak dirancang untuk mengizinkan akun administrator lokal digunakan hanya untuk Kontrol Akun Pengguna (UAC) tetapi tidak untuk masuk sama sekali . Upaya untuk memaksakan hal ini sering menyebabkan perilaku yang tidak menentu atau kerusakan sistem, jadi disarankan untuk mempertimbangkan dengan cermat model keamanan yang ingin Anda terapkan sebelum menerapkan pembatasan jenis ini.

Yang masuk akal, dan disarankan di banyak lingkungan, adalah agar akun administrator bawaan tetap dinonaktifkan hampir sepanjang waktu , hanya diaktifkan saat dibutuhkan untuk tugas pemeliharaan tertentu dan dinonaktifkan kembali setelahnya, selalu dengan kebijakan kata sandi yang baik dan, jika memungkinkan, dengan audit penggunaan.

Dengan mengetahui semua kemungkinan ini, mulai dari perintah dasar "net user" hingga file respons, mode audit, lusrmgr.msc, secpol.msc, dan sysprep , akan jauh lebih mudah untuk membuat keputusan yang cerdas saat mengaktifkan atau menonaktifkan akun administrator tersembunyi di Windows 11, memecahkan masalah yang timbul karena kurangnya administrator yang berfungsi, dan, yang terpenting, menjaga keseimbangan yang wajar antara kenyamanan dan keamanan dalam kehidupan sehari-hari.