核心是实施最小权限与服务隔离：为关键服务创建专用域账户或使用MSA/gMSA，禁用交互式及远程登录权限，关闭IPC$/ADMIN$共享与SMBv1，严格限制Kerberos委派，并启用审计监控越权行为。
为关键系统服务配置专用运行账户，核心是平衡安全性与功能性：既避免使用高权限的 localsystem 带来的风险，又确保服务能访问所需资源。重点不在“给最高权限”，而在“给刚好够用的权限”。
明确服务类型，选对账户类别
Windows Server 提供多种服务账户选项，适用场景不同：
- 虚拟账户（如 NT SERVICE\W3SVC）：自动创建、自动管理密码、权限隔离好，适用于 IIS、DNS 等内置服务，无需手动赋权，推荐优先选用。
- 组托管服务账户（gMSA）：适用于跨多台服务器的负载均衡服务（如 SQL AlwaysOn、SharePoint 场），由域控制器统一管理密码和 SPN，适合企业级域环境。
- 本地专用用户账户：适用于单机部署、无域环境或需精细控制权限的服务（如自定义 .NET 服务），需手动创建并显式授权。
- LocalSystem：仅用于调试或极少数依赖内核级资源的服务，生产环境应避免用于非系统核心服务。
创建并授权本地专用服务账户（无域环境适用）
以新建本地账户 svc_backup 运行 VSS 相关备份服务为例：
- 管理员身份运行命令提示符，执行：
net user svc_backup P@ssw0rd2026 /add /expires:never - 运行
secpol.msc→ “本地策略” → “用户权利指派” → 双击“作为服务登录”，添加 svc_backup； - 同样在“用户权利指派”中，将该账户加入“替换进程级别令牌”和“调整内存配额”两项（VSS 和部分备份工具必需）；
- 打开
services.msc，找到对应服务（如 Volume Shadow Copy），右键 → 属性 → “登录”选项卡 → 选择“此账户”，输入 .\svc_backup 及密码； - 点击“应用”，系统会验证凭据并刷新服务上下文，之后重启服务生效。
用 AccessChk 验证权限是否到位
配置完账户后，不能只靠“启动成功”判断权限正确——很多服务启动时看似正常，运行中访问特定路径或注册表项时才报错。建议用微软官方工具 AccessChk 快速检查：
- 下载 Sysinternals AccessChk 工具，以管理员身份运行：
accesschk.exe -uwcqv "svc_backup" "HKLM\SYSTEM\CurrentControlSet\Services\VSS"（检查注册表权限） - 检查服务写入日志目录权限：
accesschk.exe -dqv "svc_backup" "C:\Program Files\MyBackup\Log" - 若返回 ACCESS DENIED 或缺失 WRITE/READ 权限，需用
icacls或图形界面补充 ACL，例如：icacls "C:\Program Files\MyBackup\Log" /grant "svc_backup:(OI)(CI)RX"
域环境中优先启用 gMSA（推荐企业部署）
若服务器已加入域，且服务需在多台机器运行（如 Web 场、SQL 故障转移实例），gMSA 是更安全、更可维护的选择：
- 在域控制器上，用 PowerShell 创建 gMSA：
New-ADServiceAccount -Name svc_webfarm -DnsHostName svc-webfarm.contoso.com -ServicePrincipalNames http/svc-webfarm.contoso.com - 在目标服务器上安装 gMSA：
Install-AdServiceAccount -Identity svc_webfarm - 在服务属性中直接指定账户为 contoso.com\svc_webfarm$（注意末尾 $ 符号），无需输入密码；
- 系统自动处理密码轮换、SPN 注册和 Kerberos 身份验证，管理员无需干预。
