本质是通过secpol.msc在“用户权限分配”中精准配置特定系统操作权限，如关机、改时间等，“拒绝类”权限优先于“允许类”，修改后用户下次登录生效。

在 windows 本地安全策略中配置用户权限指派，本质是控制谁能在本机执行特定系统级操作（比如关机、修改时间、远程登录等），而不是简单给账户“开或关”某个功能。关键在于通过 secpol.msc 精准调整“用户权利指派”里的具体条目，且需注意“拒绝类”权限优先于“允许类”。

打开本地安全策略并定位权限设置

以管理员身份运行：

• 按 Win + R，输入 secpol.msc，回车
• 若提示无此命令（如家庭版系统），说明不支持该工具，需改用注册表或升级系统版本
• 左侧依次展开：安全设置 → 本地策略 → 用户权限分配
• 右侧即为全部可配置的用户权限列表，例如“关闭系统”“从网络访问此计算机”“更改系统时间”等

添加或移除用户的某项权限

双击任一权限项（如“关闭系统”），进入成员列表管理界面：

• 点击“添加用户或组”，输入用户名（如 Alice）或点击“高级→立即查找”选择账户
• 若要禁止某用户执行该操作，确保其不在该权限的成员列表中；也可直接选中该用户后点“删除”
• 常见需收紧的权限包括：
  — 关闭系统：仅保留 Administrators 组
  — 更改系统时间：标准用户通常无需此项
  — 从远端系统强制关机：默认只应赋予 Administrators

特别注意两类关键策略

这两项直接影响登录与访问能力，误配易导致无法使用：

• 允许本地登录：控制谁可以用键盘鼠标在本机登录桌面。若目标用户未在此列表中，将无法交互式登录
• 拒绝本地登录：只要用户出现在这里，无论其他设置如何，都立即禁止本地登录（但不影响远程桌面、服务账户等后台运行）
• 两者同时存在时，“拒绝”始终生效——这是Windows最小权限原则的体现

保存与生效规则

所有修改点击“确定”后即时写入策略，但效果触发时机不同：

• 用户下次登录时，新权限才开始应用（已登录会话不受影响）
• 无需重启电脑，但部分策略（如安全选项类）可能需要注销再登录
• 若用户属于多个组（如 Users + Backup Operators），需检查组权限是否覆盖了个人设置