组策略权限最小化核心是明确“必须开哪些”，需将每条策略映射至真实业务动作和最小必要权限，避免一刀切；须厘清作用域、对象粒度、服务级与用户权限分配的精准控制，并建立可比对基线与变更审计机制。

组策略实施中的权限最小化，核心不是“能关多少”，而是“必须开哪些”。基准评估的关键，在于把每一条策略映射到真实业务动作和最小必要权限上，避免用“一刀切”策略覆盖所有场景。

明确策略作用域与对象粒度

组策略（GPO）本身不直接授予权限，它通过修改注册表、安全设置或文件系统ACL来间接影响权限。评估第一步是确认该策略实际作用的对象：

• 是面向计算机配置（如服务权限、用户权限分配），还是用户配置（如软件安装、驱动部署）
• 是否限定在特定OU下生效？跨OU继承是否被意外启用？
• 策略中配置的“系统服务”“用户权限分配”或“文件系统”项，是否只针对具体服务名（如Spooler）、具体权限项（如拒绝从网络访问此计算机），而非整类对象（如“所有服务”）

验证服务级权限控制是否精准

以限制普通用户查看/操作某服务为例，基准评估需检查三点：

• 在GPO的“系统服务”节点中，目标服务是否已显式配置，且仅保留Administrators或指定运维组的“读取+查询状态+启动+停止”权限，移除了Users和Authenticated Users
• 是否同步检查了该服务的显示名称与服务名称一致性（例如sc qc Spooler确认无误），防止策略配错对象
• 是否配合“用户权限分配”做辅助控制——比如禁用RDP登录，就自然阻断远程打开services.msc的路径

审查用户权限分配是否收敛

Windows内置的“用户权限分配”（User Rights Assignment）是高杠杆控制点。基准评估应聚焦以下几项是否收紧：

• 从网络访问此计算机：默认包含Everyone，建议改为仅含必要组（如Domain Admins、特定运维组）
• 允许本地登录：服务器环境通常应禁用普通域用户，仅保留管理员和服务账户
• 作为服务登录：必须严格限定为专用服务账户，禁止泛化授予
• 绕过遍历检查、更改系统时间等敏感权限，除非有强业务依据，否则一律不分配

建立可比对的基线与变更审计机制

没有基线就无法评估最小化效果。建议落地两个动作：

• 用gpresult /h report.html定期导出各OU下生效的GPO报告，重点关注“安全设置”“系统服务”“用户权限分配”三类策略的实际应用值
• 对关键GPO，用dcgpofix /target:Domain或PowerShell的Get-GPResultantSetOfPolicy生成基线快照，后续变更前先比对ACL或权限项增减
• 启用GPO更改审核（通过Advanced Audit Policy → System Audit Policies → Policy Change），确保任何策略修改都被记录到域控安全日志