必须启用“用户账户控制：以管理员批准模式运行所有管理员”等三项核心策略，并禁用附件管理器、自动播放等绕过路径，通过gpresult和注册表（EnableLUA=1、ConsentPromptBehaviorAdmin=5）验证生效，再联动LAPS与JIT实现纵深防御。
要通过组策略对象（gpo）在域环境中强制开启全网终端的用户账户控制（uac），关键不是简单“打开开关”，而是启用并锁定一组相互依赖的核心策略，确保即使用户手动调低控制面板中的滑块，系统仍按安全基线运行。uac是否真正生效，取决于底层组策略是否覆盖了注册表级行为，而非仅依赖图形界面设置。
必须启用的核心UAC策略
这些策略位于“计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项”中，缺一不可：
- 用户账户控制：以管理员批准模式运行所有管理员 — 设为“已启用”。这是UAC的总开关，禁用它等于完全关闭UAC防护能力。
- 用户账户控制：检测应用程序安装并提示提升 — 设为“已启用”。防止静默安装类提权行为（如恶意MSI、EXE自解压包）。
- 用户账户控制：用于内置管理员账户的管理员批准模式 — 建议设为“已启用”。避免域内遗留的Administrator账户退化为Windows XP式无防护运行模式。
同步禁用常见绕过路径
仅开UAC不够，攻击者常通过附件、自动播放、COM劫持等方式绕过提示。需在GPO中主动封堵：
- 附件管理器 → 启用附件管理器：对来自Internet Zone的文件（如邮件附件、下载项）强制标记为不安全，触发UAC二次确认。
- 文件资源管理器 → 关闭驱动器的自动播放：阻止Autorun.inf、USB恶意载荷等无需交互的提权入口。
- Windows Defender SmartScreen → 配置Windows Defender SmartScreen：设为“启用”，对未签名或低信誉应用弹出强警告，与UAC提示协同拦截。
验证策略是否真正落地
GPO推送后不能只看“已配置”，必须验证终端是否实际生效：
- 在目标终端执行 gpresult /h uac_report.html，打开HTML报告，确认上述策略在“应用的组策略对象”列表中且状态为“已应用”。
- 检查注册表键值：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA 必须为 1；ConsentPromptBehaviorAdmin 建议设为 5（安全桌面凭据提示）或 2（安全桌面同意提示），避免设为0或1。
- 观察事件日志：筛选“安全”日志中事件ID 4672（特权分配）和 4688（进程创建），确认提权动作被记录且符合预期提示行为。
配套加固建议
UAC不是孤立功能，需与其他机制联动才能发挥最大效用：
- 部署LAPS（本地管理员密码解决方案），确保每台终端的本地管理员账户密码唯一、定期轮换、权限受控，切断UAC绕过后的横向移动链路。
- 禁用“将用户加入本地管理员组”的自动化脚本，改用JIT（即时授权）流程，最小化高权限账户暴露面。
- 在域策略中统一禁用IE增强安全配置（IE ESC）前，务必确认其不会弱化SmartScreen或附件管理器策略——二者存在策略耦合关系。
