Windows权限控制分身份鉴别与授权两阶段：前者用Kerberos/NTLM或现代协议（如FIDO2）基于AD或Entra ID验证身份并生成SID，后者依据SID匹配ACL实施精细化访问控制；需遵循最小特权、动态授权与持续审计原则。
windows 权限控制中的身份鉴别与授权是两个分阶段但紧密衔接的安全机制：前者确认“你是谁”，后者决定“你能做什么”。实际部署中，不能只靠密码登录就放行，也不能在未验证身份的前提下直接分配权限。关键在于用可信凭证完成身份核验，再基于策略精准授予权限。
身份鉴别：从登录到可信凭据的建立
Windows 主要依赖 Kerberos（域环境）和 NTLM（工作组或旧系统）实现身份鉴别，核心是将用户凭据映射为唯一安全标识符（SID）。Active Directory 是默认且必需的身份存储，所有用户、组和计算机账户都由它统一管理。现代环境中，Microsoft Entra ID 可替代或扩展本地 AD，支持 OpenID Connect 和 FIDO2 等标准协议。
- 推荐启用 Windows Hello for Business——它用设备绑定的 PIN 或生物识别代替密码，同时满足多重身份验证（MFA）要求，且防钓鱼
- 禁用纯密码登录路径（如关闭 NTLMv1、限制 LM 哈希存储），强制使用 Kerberos 或现代认证协议
- 对高权限账户（如域管理员）启用条件访问策略，例如要求从指定设备或网络段登录才允许鉴别成功
授权：基于 SID 的精细化资源控制
身份鉴别通过后，Windows 依据安全主体（用户/组）的 SID 查询对象的访问控制列表（ACL），从中匹配显式授予或继承的权限。每个文件、注册表项、服务甚至 Active Directory 对象都有自己的 DACL（自主访问控制列表）。
- 优先使用组策略（GPO）统一分配权限，避免逐台手动设置；例如通过“从网络访问此计算机”策略控制远程登录权限
- 启用权限继承并谨慎使用“阻止继承”——多数场景下应让子对象自动继承父级 ACL，降低配置遗漏风险
- 对敏感资源（如 SYSVOL、NTDS.DIT）启用 SACL（系统访问控制列表）进行审核，记录谁在何时尝试了何种访问操作
最小特权与动态授权增强
静态授权容易过载或不足。Windows 支持结合条件访问与实时风险评估实现动态授权决策。例如，当检测到异常登录时间、地理位置或设备健康状态时，可临时降权或触发二次验证。
- 为普通用户默认分配“用户”组权限，仅对特定任务添加额外组（如“备份操作员”“性能监视器用户”）
- 利用 Microsoft Entra 条件访问策略，设定“若登录设备未加入 Azure AD 且无 BitLocker 加密，则禁止访问 SharePoint 敏感文档库”
- 启用连续访问评估（CAE），使令牌在会话中持续校验风险状态，而非仅依赖初始签发时的判断
审计与验证机制不可省略
再严密的方案也需要可观测性支撑。Windows 内置的安全日志（事件 ID 4624/4625 表示登录成功/失败，4662 记录对象访问）是排查越权行为的第一手依据。
- 定期导出并分析安全日志，重点关注失败登录暴增、高权限账户非工作时间活动、ACL 异常变更等信号
- 使用 PowerShell 的 Get-Acl 和 icacls 命令验证关键路径权限是否符合最小特权原则
- 对域控制器启用“SACL 继承”并开启“审核对象访问”，确保所有策略执行效果可追溯
