本地安全策略（secpol.msc）不支持用户操作审计，仅管控权限准入；审计需通过gpedit.msc配置高级审核策略并结合事件查看器实现，登录事件（如4624/4625）等日志由“高级审核策略配置”启用，secpol.msc中审核策略已弃用。
本地安全策略本身不支持用户操作审计，它只管“能不能做”，不管“谁在什么时候做了什么”；审计必须靠 windows 审计策略（高级安全审核配置）+ 事件查看器联动实现。
为什么 secpol.msc 里找不到“登录成功/失败”日志开关
因为 secpol.msc（本地安全策略）只管理账户策略、本地策略和公钥策略三类基础设置，所有与“记录行为”相关的选项（如审核登录事件、审核对象访问）都归入更底层的“高级安全审核策略”，需通过 gpedit.msc → 计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置 来启用。
-
secpol.msc中的“审核策略”页面是旧版兼容入口，实际已弃用，勾选后不会生效 - 真正起作用的是
AdvancedAuditPolicyConfiguration下的子项，例如Logon、Account Logon、Object Access - 启用某类审核后，对应事件会写入
Security日志，需用事件查看器（eventvwr.msc）查看，ID 通常为 4624（登录成功）、4625（登录失败）、4662（对象访问）
给普通用户分配最小必要权限：别碰“管理员组”，改用专用组 + 细粒度权限
直接把用户加进 Administrators 组是最常见也最危险的做法。本地安全策略无法分配文件或注册表权限，这类控制必须通过 NTFS 权限或注册表权限单独设置，并配合组策略（gpedit.msc）下发。
- 创建专用安全组（如
BackupOperatorsLimited），仅赋予其备份文件和目录用户权限（在secpol.msc→ 本地策略 → 用户权限分配中配置） - 对特定文件夹右键 → 属性 → 安全 → 编辑，为该组添加
读取和执行或修改权限，避免使用完全控制 - 若需允许运行某工具（如
diskmgmt.msc），不要给本地管理员，而是通过组策略启用允许卸载磁盘管理单元（路径：计算机配置 → 管理模板 → Windows 组件 → Microsoft 管理控制台）
权限分配后没生效？检查这三点
Windows 权限叠加逻辑复杂，常见失效不是配置错了，而是被更高优先级策略覆盖或缓存未刷新。
- 运行
gpupdate /force后必须重启或至少注销重登录，部分用户权限（如“从网络访问此计算机”）不会热生效 - 确认用户是否同时属于多个组——权限是累加的，但“拒绝”权限永远优先生效；哪怕只在一个组里被显式拒绝了
登录本地，整个登录就会失败 - 检查
secpol.msc中“用户权限分配”里的冲突项，例如同一用户既被赋了允许本地登录，又被某个组继承了拒绝本地登录，后者会胜出
真正难的不是打开哪个开关，而是厘清“策略来源”：本地安全策略（secpol.msc）、组策略（gpedit.msc）、NTFS 权限、注册表权限、UAC 虚拟化，四层叠加下，一个操作失败往往要逆向查三处配置。审计日志里看到 4625 错误，别急着调策略，先用 whoami /all 看当前令牌里实际有哪些组和特权。
