本地用户权利指派是Windows服务器安全加固的核心策略，需严格限制“从远端强制关机”“关闭系统”“取得所有权”“调试程序”“作为服务登录”五项高危权限，默认仅授予Administrators组。

设置本地用户权利指派是加固 windows 服务器安全的关键一步，核心在于按需授权、收紧高危权限、阻断未授权操作路径。它不依赖文件或共享权限，而是直接控制用户能否执行系统级动作（如关机、改时间、远程登录），属于策略层防护。

明确哪些权利必须严格限制

以下几项权限若被普通用户或非必要组持有，极易引发越权或破坏行为，应默认仅保留 Administrators 组：

• 从远端系统强制关机：防止非管理员远程重启/关闭服务器，避免服务中断
• 关闭系统：限制本地交互式关机权限，避免误操作或恶意终止
• 取得文件或其它对象的所有权：禁用普通用户绕过 ACL 获取敏感资源控制权的能力
• 调试程序：该权限可读取进程内存，常被提权工具利用，非开发/运维人员不应拥有
• 作为服务登录：仅授予实际需运行 Windows 服务的专用账户，避免滥用为持久化后门

正确进入并修改用户权利指派

使用本地策略管理工具操作，确保配置生效于本机：

• 按 Win + R 输入 secpol.msc 打开本地安全策略（适用于专业版/服务器版）
• 导航至 本地策略 → 用户权利指派
• 双击目标策略（如“从网络访问此计算机”），点击“添加用户或组”
• 输入合法用户或组名（推荐使用组，如“RemoteUsers”），确认后删除默认的“Everyone”或“Users”条目
• 对“拒绝从网络访问此计算机”策略，可显式添加需隔离的账户或组（如测试账号、临时访客）

配合最小权限原则做权限收口

用户权利指派不是孤立配置，需与账号、组和登录方式协同：

• 禁用或重命名内置 Administrator 账户，新建具有管理员组成员身份的专用运维账号
• 将日常操作账号加入 Users 组，不加入 Administrators，再通过用户权利指派单独授予必要能力（如“备份文件和目录”）
• 远程桌面登录权限由 允许通过远程桌面服务登录 策略控制，不要仅靠远程桌面用户组设置
• 若启用网络共享，确保 从网络访问此计算机 包含所需组，同时 拒绝从网络访问此计算机 明确排除高风险账户

验证与持续维护要点

配置后需验证效果，并建立检查机制：

• 用测试账号尝试执行受限操作（如远程 shutdown /i），确认被拒绝且事件查看器中记录 4670 或 4704 类安全日志
• 定期导出当前用户权利分配快照（可用 secedit /export /cfg rights.inf），比对变更
• 避免在生产环境直接编辑，先在测试机验证策略组合是否影响业务服务（如某些旧软件依赖“调整进程的内存配额”）
• 域环境中优先使用组策略对象（GPO）统一部署，本地策略仅用于独立服务器或紧急临时调整