Windows Server安装后需立即配置本地用户与组权限：创建启用标准管理员账户、设置强密码策略、授权远程桌面与服务管理权限，并遵循最小权限原则严格控制Administrators组成员。

windows server 安装完成后，本地用户与组的管理权限配置不是自动完成的，需要管理员主动设置。核心目标是：让指定用户能安全登录、执行必要操作（如远程桌面、服务管理），又不赋予过度权限。关键不在“安装时”做，而是在首次进入系统后立即完成基础配置。

创建并启用标准本地管理员账户

安装过程默认创建 Administrator 账户，但出于安全惯例，它通常被禁用或重命名。应另建一个具备管理员权限的本地账户作为日常管理使用：

• 打开“计算机管理” → “本地用户和组” → “用户”，右键新建用户（如 admin01）
• 勾选“密码永不过期”“用户不能更改密码”（可选，适合固定运维账号）
• 创建后，右键该用户 → “属性” → “隶属于”选项卡 → 添加到 Administrators 组
• 确保内置 Administrator 账户处于启用状态（若需备用），或至少确认新账户已成功获得提升权限

设置符合安全要求的密码策略

密码策略直接影响所有本地账户的安全基线，需通过“本地安全策略”统一管控：

Windows-Android_SSH_Remote_Control

通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。

下载

• 运行 secpol.msc 打开本地安全策略
• 展开“账户策略” → “密码策略”：强制启用“密码必须符合复杂性要求”，设置“密码最短使用期限”为1天、“最长使用期限”为90天、“强制密码历史”为24个密码
• 在“账户锁定策略”中启用“账户锁定阈值”（建议5次失败即锁定）、“账户锁定时间”（30分钟）和“重置账户锁定计数器”（30分钟）
• 注意：这些策略对域环境无效，仅作用于本机本地账户

授予特定用户远程桌面与服务管理权限

普通用户默认无权远程登录或控制服务，需显式授权：

• 远程桌面权限：打开“系统属性” → “远程”选项卡 → 勾选“允许远程连接到此计算机”，点击“选择用户” → 添加目标用户或组（如 Remote Desktop Users）
• 服务管理权限：使用组策略（gpedit.msc）→ 计算机配置 → Windows 设置 → 安全设置 → 系统服务 → 找到对应服务（如 Dhcp、DNS）→ 双击 → “安全”选项卡 → “编辑安全性” → 添加用户并勾选“启动”“停止”“暂停”等所需权限
• 也可用命令行快速添加用户到远程桌面组：net localgroup "Remote Desktop Users" username /add

限制高危组成员与最小权限原则

Administrators 组权限过大，应严格控制其成员数量，并为日常操作分配更细粒度权限：

• 检查 Administrators 组成员：仅保留必需的1–2个运维账户，删除测试账号或临时账号
• 对只需重启某项服务的用户，不要加进 Administrators 组，而是用上一步方法单独授权该服务
• 禁用或重命名 Guest 账户；避免使用 Administrator 账户直接运行应用或浏览网页
• 新建专用组（如 BackupOperators 或自定义 ServiceManagers），将对应权限分配给组而非个人，便于后期批量调整