網絡安全系列之三十一 組政策中的使用者權限配置設定

在Win2003系統中打開組政策編輯器，展開【計算機配置\Windows設定\安全設定\本地政策\使用者權限配置設定】。

通過使用者權限配置設定，可以為某些使用者群組授予或拒絕一些特殊的權限，如關閉系統、更改系統時間、拒絕本地登入、允許在本地登入等。

常用的使用者權限配置設定政策主要有以下幾個：

（1）“從網絡通路此計算機”

預設情況下任何使用者都可以從網絡通路計算機，可以根據實際需要撤銷某使用者或某組使用者從網絡通路計算機的權限。

<a href="http://yttitan.blog.51cto.com/attachment/201411/8/70821_1415490672RzWr.png" target="_blank"></a>

（2）“拒絕從網絡通路這台計算機”

某些使用者隻在本地使用，不允許其通過網絡通路此計算機，就可以将該使用者加入此政策中。

如果某使用者同時出現在“從網絡通路此計算機”和“拒絕從網絡通路這台計算機”兩個政策中，那麼當然是以拒絕優先。

<a href="http://yttitan.blog.51cto.com/attachment/201411/8/70821_1415490673JjVY.png" target="_blank"></a>

（3）“允許在本地登入”

此登入權限确定了可互動式登入到該計算機的使用者，要在計算機所連接配接的鍵盤上按Ctrl+Alt+Del組合鍵登入，就需要使用者擁有此登入權限。另外，一些能使使用者進行登入的服務或管理應用程式可能也需要此登入權限。

<a href="http://yttitan.blog.51cto.com/attachment/201411/8/70821_1415490673zjr5.png" target="_blank"></a>

（4）“拒絕本地登入”

設定拒絕哪些使用者登入到該計算機。如果一個使用者賬戶既出現在“允許在本地登入”清單中，又在“拒絕本地登入”清單中，那麼将以拒絕優先。

什麼情況下會用到拒絕本地登入呢？比如建立了一個賬号test，這個賬号的目的是用來通路網絡共享，而不希望他能夠登入到計算機，那麼就可以将賬号test加入到這項政策中。

<a href="http://yttitan.blog.51cto.com/attachment/201411/8/70821_14154906737gr2.png" target="_blank"></a>

（5）“關閉系統”

如果希望普通使用者具有關閉計算機的權限，可以将其加入該項設定。

<a href="http://yttitan.blog.51cto.com/attachment/201411/8/70821_1415490674fKC9.png" target="_blank"></a>

可以看到，users組并沒有關機的權限，如果希望某個普通使用者能夠關機，隻要将該使用者添加到此項設定中即可。

（6）“從遠端系統強制關機”

設定使用者在通過遠端桌面通路時，是否可以關閉伺服器。預設隻有管理者組有此權限。

<a href="http://s3.51cto.com/wyfs02/M02/53/7C/wKioL1RpPtWTNfmGAADVHTvbJkk088.jpg" target="_blank"></a>

（7）“更改系統時間”

無論是在本地還是遠端登入，預設隻有Administrators和Powre Users組的成員可以更改時間。

本文轉自 yttitan 51CTO部落格，原文連結:http://blog.51cto.com/yttitan/1574508