Вы можете добавить в контекстное меню пункт, который будет открывать файлы с полными правами, например, в текстовом редакторе. Это можно сделать наряду с пунктом для обычного запуска или вместо него.

Если программа умеет интегрироваться в контекстное меню, логично добавлять только пункт для запуска с полными правами. При этом его можно скрыть по умолчанию, а отображать только при вызове контекстного меню с нажатой клавишей SHIFT.

Я не рекомендую отказываться от запуска с обычными правами по двум причинам. Во-первых, вовсе необязательно всегда открывать программу с правами администратора, а во-вторых, существует ограничение, на котором я остановлюсь отдельно.

Повышение прав можно организовать несколькиим способами: первый из них не требует сторонних утилит, зато остальные – более универсальны.

Повышение прав из раздела реестра “runas”

Все делается почти так же, как в случае с обычными правами. Основное отличие в том, что подразделу реестра задается не произвольное название, а фиксированное — runas. Этот так называемый «глагол» (verb) форсирует запрос на повышение прав для выполняемой команды.

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\*\shell\runas]
"MUIVerb"="Открыть в Блокноте от имени администратора"
"HasLUAShield"=""
"Icon"="notepad.exe"
;"Position"="Bottom"
"Extended"=""

[HKEY_CLASSES_ROOT\*\shell\runas\command]
;Блокнот
@="notepad.exe %1"
;Notepad++
;@="C:\\Program Files\\Notepad++\\notepad++.exe %1"

Обратите внимание, что добавлен параметр HasLUAShield для отображения щита на значке программы. В реестре это выглядит примерно так:

Увеличить рисунок

В контекстном меню появился пункт Открыть в Блокноте от имени администратора. Он запускает редактор, предварительно отображая запрос контроля учетных записей. Одобрив запрос, вы сможете редактировать файл, даже если он расположен в системной папке.

У этого способа есть два недостатка:

• Для каждого типа файлов, в том числе в разделе HKEY_CLASSES_ROOT\*, может быть только один подраздел runas. Если вы хотите встроить в контекстное меню несколько разных программ, нужно организовать повышение прав альтернативными способами.
• Для некоторых типов файлов глагол runas уже задан, и в этом случае он преобладает над разделом для всех типов файлов (*). Посмотрите, например, в разделе HKEY_CLASSES_ROOT\cmdfile\shell. CMD-файлы иногда нужно запускать с полными правами, и пункт меню «Запуск от имени администратора» реализован именно способом runas. При таком раскладе ваш пункт не отобразится.

Если вам неудобны такие ограничения, добро пожаловать в мир альтернативных решений!

Повышение прав сторонними средствами

Для решения этой задачи есть несколько вариантов, но все они похожи.

NirCmd

В утилите NirCmd предусмотрен ключ elevate, который организует запрос на повышение прав.

В общем случае команда такая:

nircmd.exe elevate program.exe

Правка реестра выполняется аналогично, но теперь вы можете указать любое имя для раздела программы, например, EditorElevated. В подразделе command указывается полный путь к утилите NirCmd, если только она не лежит в системной папке, например, System32.

nircmd.exe elevate notepad "%1"

В реестре это выглядит примерно так (на рисунке показан мой полный путь к утилите):

Увеличить рисунок

Если вы используете сторонний редактор, укажите полный  путь к нему в кавычках вместо notepad.

nircmd.exe elevate "C:\Program Files\Notepad++\notepad++.exe" "%1"

Обратите внимание, что передаваемый программе параметр %1 (путь к файлу) также заключается в кавычки, поскольку он выступает уже в роли параметра утилиты NirCmd (кавычки решают проблему пробелов в путях)

ELE

ELE похожа на утилиту elevate, о которой я рассказывал в статье про ложные страхи перед UAC. Разница в том, что ELE открывает новую командую строку в той же папке, где была открыта старая.

Утилиту можно положить в системную папку, и команда будет похожа на nircmd, даже короче:

ele.exe notepad "%1"

В отличие от NirCmd, при запуске ELE появляется на миг окно командной строки, но это не имеет особого значения, т.к. за ним все равно следует запрос контроля учетных записей.

Elevation PowerToys

До NirCmd я использовал Elevation PowerToys, которые легли в основу рассказа о том, как открыть командную строку от имени администратора в нужной папке. Любопытно, что для решения этой задачи в INF-файле применяется все-таки способ runas, который я описал выше. Но в архиве также лежат файлы для организации повышения.

Достаточно распаковать архив в любую папку и скопировать файлы elevate.cmd и elevate.vbs в папку %WinDir%\System32. В общем случае повышение выполняется командой:

elevate program.exe

Консольное окно тоже появляется на миг. Этот способ интересен тем, что повышение прав осуществляется с помощью VBS. Здесь рассматривается этот вариант в подробностях. Как вы думаете, что там в коде главное? Конечно, глагол runas :)

Тонкости, которые нужно учитывать, при работе с UAC

В контексте UAC я выделю два момента, которые вам нужно учесть при открытии файлов из контекстного меню с полными правами.

Открытие файлов во вкладках программы

В отличие от блокнота, многие текстовые редакторы (например, Notepad++) открывают файлы во вкладках уже запущенного приложения. Описанный выше способ запуска редактора с полными правами сработает правильно только в том случае, если редактор еще не запущен. А когда он уже открыт, запрос UAC появится, но файл все равно откроется в виде вкладки в редакторе, который изначально был запущен с обычными правами.

В этом случае сохранить файл после правки не получится. Я не могу отвечать за все редакторы, но в Notepad++ происходит именно так, причем сообщение об ошибке не раскрывает суть проблемы.

Если вы столкнулись с такой ситуацией, выход заключается в том, чтобы вызывать с полными правами новый экземпляр приложения (в случае с блокнотом так всегда и происходит, кстати).

Скорее всего, у редактора найдется параметр командной строки, позволяющий запустить новый экземпляр программы. У Notepad++ этим параметром является multiInst. В этом случае в реестре нужно прописать такую команду:

nircmd.exe elevate "C:\Program Files\Notepad++\notepad++.exe" -multiInst “%1”

Одновременное открытие нескольких файлов

Описанные выше пункты контекстного меню позволяют открывать сразу несколько выделенных файлов. При правке файлов, не требующих повышения, все проходит нормально. Но попытка одновременно открыть большое количество файлов от имени администратора может не сработать на безопасном рабочем столе.

Стандартным уровнем контроля учетных записей является отображение запроса на фоне затемненного экрана.

На самом деле система делает скриншот рабочего стола, затемняет полученную картинку и отображает запрос на ее фоне. Это и есть безопасный рабочий стол.

Вообще, вы его видите каждый раз при входе в систему, но там всегда используется фиксированный фон.

Поскольку для каждого файла нужно вывести запрос UAC, возникает нетривиальная ситуация – система реагирует на первый файл отображением запроса, а в это время выполняется запуск следующих файлов. В результате, не все файлы открываются.

Я не нашел, как это обойти, кроме как снижением уровня UAC на один пункт ниже стандартного.

Вообще, возможность отключить затемнение экрана была еще в Vista в виде групповой политики, а в графическом интерфейсе появилась только в Windows 7, чтобы упростить оптимизацию работы владельцам слабых видеокарт.

Лучше работать со стандартным уровнем UAC, т.к. безопасный рабочий стол дает дополнительную визуальную информацию о легитимности запущенного процесса (фальшивый фон труднее подсунуть).

Я не припомню ситуации, когда мне приходилось одновременно открывать сразу несколько файлов в системной папке (в крайнем случае, их можно открыть по одному).

Практика: создание архива с полными правами из контекстного меню

Наверняка, у вас в контекстное меню интегрирован архиватор 7-Zip или WinRar. Недавно в форуме TechNet один участник сетовал на невозможность создания архива в корне диска или системной папке. Например, у него есть папка Logs, которую очень удобно архивировать из контекстного меню с помощью каскадного меню архиватора.

В корне диска можно создавать папки с обычными правами, но для записи туда файлов нужны права администратора — помните мою загадку в викторине?

Из контекстного меню архиватор запускается с обычными правами, и на создание архива в системном расположении у него не хватает полномочий. В Windows 7 и Vista предусмотрена такая ситуация, и архив создается, хотя в корне диска файл не отображается. Впрочем, достаточно нажать в проводнике кнопку Файлы совместимости, чтобы все увидеть.

Увеличить рисунок

Я считаю, что раз UAC включен, нужно следовать лучшим практикам работы в Windows. Это значит, что файлы нужно хранить в профиле, а не в корне диска, и тогда не будет таких проблем.

При острой необходимости вы можете добавить в меню свой пункт полноправного архиватора, что будет работать с некоторыми ограничениями.

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\AllFilesystemObjects\shell]

[HKEY_CLASSES_ROOT\AllFilesystemObjects\shell\7zElevated]
"MUIVerb"="Архивировать с правами администратора"
"HasLUAShield"=""
"Icon"="\"C:\\Program Files\\7-Zip\\7zFM.exe\""
"Extended"=""

[HKEY_CLASSES_ROOT\AllFilesystemObjects\shell\7zElevated\command]
@="nircmd elevate \"C:\\Program Files\\7-Zip\\7z.exe\" a \"%1\".7z \"%1\""

При вызове контекстного меню папки с нажатой клавишей SHIFT это выглядит так:

Обратите внимание на два момента:

1. Параметры добавляются в подраздел AllFilesystemObjects. Раньше мы имели дело с файлами, но нередко нужно добавить в архив папку. Этот подраздел отвечает за все объекты файловой системы, т.е. файлы и папки.
2. Команда выглядит запутанной из-за двойных и экранирующих кавычки слэшей в REG-файле, но в реестре она смотрится понятнее:

   nircmd elevate "C:\Program Files\7-Zip\7z.exe" a "%1".7z "%1"

   Первый параметр %1 задает полный путь к расположению 7z архива, при этом его имя будет таким же, как у архивируемого объекта. Другими словами, архив создается на одном уровне с архивируемой папкой или файлом с таким же именем. Второй параметр %1 указывает на папку или файл, добавляемые в архив.

Ограничения этого способа

К сожалению, такой пункт меню работает неидеально. Если выделить несколько папок или файлов, каждый объект помещается в отдельный архив. Оболочка (проводник) последовательно передает архиватору в качестве имени архива первый параметр %1, т.е. полный путь к каждому файлу или папке.

Это можно обойти, указав вместо первого экземпляра %1 фиксированное имя архива (например, archive.7z).

nircmd elevate "C:\Program Files\7-Zip\7z.exe" a archive.7z "%1"

В этом случае архив будет последовательно обновлен при добавлении каждого файла.

Постоянное имя архива, конечно, не очень удобно, но с этим можно было бы мириться, если бы не второе ограничение. Оно связано с одновременным обращением к нескольким объектам, т.е. для каждого выводится запрос UAC. Эту проблему я уже рассматривал выше. В контексте архиватора она выражается в том, что некоторые выделенные объекты не попадают в архив.

Таким образом, при рекомендуемом уровне UAC (с безопасным рабочим столом) этот способ не подвержен сбоям лишь при архивации одной папки или одного файла.

Как видите, самодельный пункт контекстного меню, добавленный в реестр, не столь удобен, как полноценные расширения оболочки, с помощью которых архиваторы интегрируются в проводник. Однако в них вообще не предусматривается запуск архиватора с полными правами.

---

Вы заметили, в чем основная проблема с запуском файлов из контекстного меню с полными правами? Все дело в том, что проводник запущен с обычными правами, и команды контекстного меню их наследуют.  Казалось бы, решение лежит на поверхности – нужно запустить проводник с правами администратора, дело в шляпе!

Однако сделать это сложнее, чем кажется, и описанные выше методы тут не помогут. На следующей неделе я приглашаю вас на экскурсию по… театральному залу Windows, где процессы занимают места согласно купленным билетам. Она послужит прелюдией к рассказу о том, как запускать проводник с полными правами.

А как часто вы сохраняете файлы в корне системного диска или правите файлы в системных папках? Отвечая на вопрос, не забудьте указать, включен ли у вас UAC :)