macOS中本地账户与网络账户本质不同：本地账户数据存于本机、权限固化不可变；网络账户由目录服务托管、权限由服务器统一派发，本地仅作映射。
macOS 中本地账户与网络账户本质不同，管理方式也需区分对待。本地账户数据存在本机，权限控制直接；网络账户依赖目录服务（如 Active Directory 或 Open Directory），权限由服务器统一派发，本地只做映射与同步。搞清这个区别，才能避免权限错配、策略失效或登录异常。
本地账户：按角色划分类型，权限固化不可更改
本地账户在“系统设置 → 用户与群组”中创建，分为三类，创建时即锁定权限范围：
- 管理员账户：可安装软件、修改系统设置、管理其他账户、访问所有用户文件夹。适合设备维护者。
- 标准账户：日常使用无问题，但无法安装App、更改网络配置、重设他人密码。可配合“屏幕使用时间”进一步限制应用、网站和使用时长。
- 仅限共享账户：不生成个人主目录，仅支持通过 SMB/AFP 访问共享文件夹，不能本地登录桌面。适合临时协作者或轻量网络访客。
注意：账户类型创建后无法转换，如需调整，只能新建账户并迁移数据。
网络账户：权限由目录服务驱动，本地仅作映射
网络账户本身不存于本机，而是由 AD、Open Directory 或 Apple Business Manager 等服务托管。Mac 通过绑定获取其身份，并根据策略决定能否登录、以何种权限运行：
- 绑定 AD 后，可用 目录实用工具将域群组（如 ADS\Domain Admins）直接赋予本地 admin 群组权限，实现批量提权。
- 通过 系统设置 → 用户与群组 → 登录选项 → 网络账户服务器 → 编辑，可启用“允许网络用户管理这台电脑”，让特定网络用户获得本地管理员能力。
- 网络账户的密码策略（如过期周期、复杂度）由域服务器强制下发，Mac 会定期查询并执行，本地无法绕过。
混合场景下的关键管控点
当一台 Mac 同时存在本地账户和已绑定的网络账户时，需特别注意以下实际问题：
- 本地 admin 群组与网络群组权限叠加生效，不互斥。例如某用户既是本地管理员，又属于 AD 的 Domain Admins，则权限为二者并集。
- 网络账户首次登录会创建移动账户（含本地缓存），其家目录权限默认归属该用户，但 ACL 可能受限于目录服务策略，需用 终端命令 chmod -R +a 或 getfacl/setfacl 手动强化隔离。
- iCloud 账户属于互联网账户，不参与本地或网络权限体系，仅同步数据；它不能用于登录系统，也不影响文件访问控制。
企业级自动化补充手段
对批量部署场景，纯手动配置效率低且易出错，推荐结合平台能力：
- 使用 Apple Business Manager + ADE 注册，配合 Intune 的 LAPS 功能，可预置强密码管理员账户，并自动轮换，避免硬编码密码风险。
- 通过 MDM（如 Jamf、Intune）推送配置描述文件，统一设定密码策略、禁用自动登录、限制控制中心访问等，覆盖本地与网络账户。
- 对服务器环境，用 服务器 App → 用户 面板直接编辑 Open Directory 用户的密码策略、Shell 访问权限及群组隶属关系，比本地设置更集中可控。
