网络安全基础--第4节-用户与组管理-CSDN博客

本文链接：https://blog.csdn.net/m0_65771743/article/details/141534471

本节我们将学习用户与组的管理，并且有多种不同的方法。

⽤户账户概述

不同的⽤户身份拥有不同的权限
每个⽤户包含⼀个名称和⼀个密码
⽤户帐户拥有唯⼀的安全标识符

在Windows系统中，每个⽤户账户都有⼀个独特的安全标识符（Security Identifier，SID），它在系统内部⽤于控制对各种资源的访问权限。查看⽤户的SID可以通过⼏种不同的⽅法完成：

1. 使⽤命令提示符（CMD）

1. 打开命令提示符（可以在开始菜单搜索“cmd”或“命令提示符”）。
2. 输⼊以下命令来查看当前登录⽤户的SID：

whoami /user

3. 如果需要查看特定⽤户的SID，可以使⽤以下命令：

wmic useraccount where name='⽤户名' get sid

把⽤户名替换成实际的Windows账户名。

2. 使⽤Windows PowerShell

1. 打开PowerShell（可以在开始菜单搜索“PowerShell”）。
2. 输⼊以下命令来查看所有⽤户的SID：

Get-WmiObject Win32_UserAccount | Select-Object Name,SID

3. 如果只需要查看特定⽤户的SID，可以使⽤：

powershell
复制代码
Get-WmiObject Win32_UserAccount | Where-Object {$_.Name -eq '⽤户名'} | Sele
ct-Object SID

同样，将⽤户名替换为⽬标⽤户的账户名。

拓展知识（可以了解一下）

PowerShell和命令提示符（CMD）是Windows环境中两种常⽤的命令⾏界⾯，它们各⾃具有独特的特点和功能。虽然它们在某些基础命令上有重叠，但它们的设计⽬的、能⼒和⽤途⼤有不同。
1. 设计和⽬的
CMD（Command Prompt）是⼀个基于⽂本的命令⾏界⾯，主要⽤于执⾏简单的命令和批处理脚
本。它继承⾃早期的MS-DOS系统。
PowerShell 是⼀个跨平台的任务⾃动化和配置管理框架，包括⼀个命令⾏壳界⾯和脚本语⾔。它是为了解决更复杂的系统管理任务⽽设计的，集成了深层的.NET框架⽀持。
2. 功能和能⼒
CMD 提供的命令相对简单，主要⽤于⽂件操作、系统任务和简单的配置更改。它的命令和语法较为直观，易于学习。
PowerShell 提供了⼀个全⾯的脚本语⾔，⽀持复杂的逻辑、流程控制、函数等。它可以直接调
⽤.NET库的对象和⽅法，能够执⾏复杂的数据操作和系统管理任务。
3. 命令和脚本
CMD 使⽤的是传统的命令⾏语法，如 dir、copy、del 等。
PowerShell 使⽤了基于对象的命令（称为cmdlet），如 Get-ChildItem、Copy-Item、Remove-
Item 等。这些cmdlet 输出的是对象，可以通过管道传递给其他cmdlet进⾏进⼀步操作。
4. 扩展性和集成
CMD 的扩展性相对有限，主要依赖外部脚本或程序来扩展其功能。
PowerShell 可以⽆缝集成.NET框架，允许直接在脚本中创建和操作.NET对象，提供了强⼤的扩展
性和灵活性。此外，PowerShell模块和第三⽅库极⼤地扩展了其功能。
5. 错误处理
CMD 的错误处理相对简单，主要依赖错误代码。
PowerShell 提供了复杂的异常处理机制，可以捕获、处理和传递错误，与现代编程语⾔中的错误处理类似。
6. ⽤户和技术⽀持
CMD 虽然在很多系统和环境中仍被⼴泛使⽤，但微软已明确表示不会在CMD中引⼊新功能，其开
发重⼼已转向PowerShell。
PowerShell 被视为未来的⽅向，得到了微软的积极开发和⽀持，同时拥有⼀个活跃的社区和⼤量的在线资源。

CMD和PowerShell虽然都是Windows命令⾏界⾯，但它们与Windows内核的交互⽅式存在根本区别，主要由它们的架构和设计决定

a. 基本架构和设计

CMD：
直接性：CMD（命令提示符）主要是⼀个命令解释器，直接在⽤户空间运⾏，其与内核的交互主要是通过系统调⽤来执⾏⽂件操作、进程管理等任务。CMD的操作通常⽐较直接，对操作系统资源的控制相对简单。
传统接⼝：CMD继承⾃MS-DOS，许多其命令都是直接与硬件或低级系统服务进⾏交互的简单封装。
PowerShell：
基于.NET Framework：PowerShell建⽴在.NET Framework之上，使其能够利⽤.NET的强⼤功能，如内存管理、异常处理和安全性。PowerShell的命令（cmdlets）实际上是调⽤.NET Framework的类和⽅法，这些类和⽅法再与Windows内核进⾏交互。
对象导向：PowerShell处理的是对象，⽽⾮传统的⽂本输出。这意味着PowerShell cmdlets在执⾏操作时，实际上是创建和操纵.NET对象，然后这些对象可能与内核级的API交互。

b. 内核交互

CMD：
简单封装：CMD命令通常直接映射到系统的API调⽤上，例如⽂件操作命令（如copy、del等）直接调⽤相应的Win32 API，这些API与Windows内核进⾏交互。
效率：由于其简单直接的设计，对于简单任务，CMD在执⾏效率上可能略优于PowerShell。
PowerShell：
复杂调⽤：PowerShell通过.NET Framework间接调⽤内核API。这种间接层增加了额外的处理步骤，但也允许更复杂和灵活的操作。
安全和稳定：PowerShell的.NET基础提供了更好的错误处理和安全特性，这有助于保护系统不受恶意脚本和命令的影响。
执⾏效率：对于简单的系统命令，CMD可能在性能上略胜⼀筹，因为它直接执⾏系统调⽤，⽽没有额外的抽象层。

c. 性能和能⼒

执⾏效率：对于简单的系统命令，CMD可能在性能上略胜⼀筹，因为它直接执⾏系统调⽤，⽽没有额外的抽象层。

然⽽，对于需要复杂数据处理或系统管理的任务，PowerShell的强⼤功能和灵活性通常可以提供更好的效果。

功能强⼤：PowerShell能够执⾏更复杂的任务和⾃动化脚本，尤其是在需要详细的错误处理、⽇志记录或是与其他Windows管理⼯具集成时。
总的来说，CMD和PowerShell在与内核的交互⽅式、设计原则和使⽤场景上都有显著差异。PowerShell以其现代的设计和强⼤的功能成为系统管理员和⾼级⽤户的⾸选⼯具，⽽CMD则依旧适⽤于需要快速执⾏简单命令的场景。

3. 使⽤注册表编辑器

1. 打开注册表编辑器（在开始菜单搜索“regedit”或直接输入“注册表编辑器”）。
2. 导航到以下路径：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList

3. 在 ProfileList 下，你会看到多个以SID命名的⼦键。点击每个⼦键，查看 ProfileImagePat
h 条⽬，它显示了与该SID关联的⽤户的配置⽂件路径，通常包含⽤户名称。
以上⽅法中，使⽤命令提示符或PowerShell查看SID通常更直接且易于操作。注册表⽅法更为繁琐，且直接修改注册表有⻛险，需要谨慎处理。

这三种方法都可以找到用户的SID，下面我们学习一下用户的SID结构

SID 结构

S-1-5-21-18113568-1484407331-670320440-1001

S：这是SID的前缀，表示这是⼀个安全标识符（Security Identifier）。
1：这是SID的版本号。⽬前，Windows SID的版本号始终为1。
5：这是SID的“领域”标识符（也称为权威部分）。数字5代表NT权威机构，这是⼤多数Windows系
统使⽤的标准。
21-18113568-1484407331-670320440：这是域或本地计算机的唯⼀标识符，称为⼦权威部分或
者域标识符。这⼀部分的具体数字代表创建该SID的特定域或本地计算机。每个域或计算机在创建
时，系统会⽣成这样⼀个独特的数字序列，以确保全局的唯⼀性。
1001：这是相对标识符（Relative Identifier, RID）。这是分配给具体⽤户、组或其他安全主体的唯⼀编号。RID⽤于区分同⼀域/计算机内的不同⽤户或组。例如，常⻅的RID有：
500：表示域的管理员账户。
501：表示来宾账户。
1000以上的数字通常表示普通⽤户账户。

域标识符的作⽤：

唯⼀性：这串数字确保了在全⽹络或在多个系统中的唯⼀性。⽆论⽹络内有多少计算机或域，每个域或计算机的标识符都是不同的。
安全性：在权限和安全策略应⽤时，通过这个标识符可以精确地识别出数据或请求来⾃哪个域或计算机。这对于实施访问控制和权限管理⾄关重要。
管理：在⼤型⽹络环境中，管理者可以通过这个标识符来追踪和管理来⾃不同域的资源和⽤户⾏为。

⽤户管理

当⼀台计算机需要提供给多⼈使⽤，或允许其他⼈通过⽹络访问这台计算机，并且需要为不同的使⽤者分配不同的权限，如关闭系统的权限，修改系统时间的权限，访问⽂件的权限（只读或是可修改），就需要创建多个⽤户帐户。

在服务器管理器中管理⽤户可以分为

创建⽤户
为⽤户重置密码
重命名⽤户
启⽤、禁⽤⽤户帐户
删除⽤户帐户
为⽤户设置权限

打开本地组策略编辑器 gpedit.msc 本地组策略

（一般虚拟机中是有的，下面解决办法如果物理机没有的话可加可不加，因为我们是在虚拟机中操作的）

Windows 搜索打开本地组策略编辑器

1. win+s 打开搜索快捷键
2. 输⼊编辑组策略或者gpedit

运⾏命令打开本地组策略编辑器

1. win+R 打开运⾏对话框
2. 输⼊gpedit.msc

CMD 或者powershell 打开本地组策略编辑器

控制台⻚⾯输⼊ gpedit.msc

通过⽂件资源管理器打开本地组策略编辑器

1. win+E 打开⽂件资源管理器
2. 地址栏中输⼊gpedit.msc

C:/Windows/System 32，找到gpedit.msc
控制⾯板打开本地组策略编辑器

可能出现问题

解决⽅法

1.打开记事本，复制粘贴以下代码过去
这段批处理脚本主要⽤于⾃动安装在Windows系统中找到的特定更新包。

@echo off

pushd "%~dp0"

dir /b %systemroot%\Windows\servicing\Packages\Microsoft-Windows-GroupPoli
cy-ClientExtensions-Package~3*.mum >gp.txt

dir /b  %systemroot%\servicing\Packages\Microsoft-Windows-GroupPolicy-Clie
ntTools-Package~3*.mum >>gp.txt
for /f %%i in ('findstr /i . gp.txt 2^>nul') do dism /online /norestart /a
dd-package:"%systemroot%\servicing\Packages\%%i"

pause

这段批处理脚本主要⽤于⾃动安装在Windows系统中找到的特定更新包。

代码解释

1. @echo off
这条命令⽤于关闭命令的回显功能。这意味着在命令提示符窗⼝中执⾏脚本时，命令本身不会被显
示，只会显示命令执⾏的结果。这有助于保持脚本输出的清洁和专业。
2. pushd "%~dp0"
pushd 命令⽤于将⽬录切换到指定的路径，并将当前⽬录推送到⼀个⽬录栈中，以便之后可以使⽤
popd 返回到原始⽬录。
"%~dp0" 是⼀个批处理脚本的特殊变量，代表当前批处理⽂件的完整驱动器路径和⽬录。这⾏命令
的作⽤是将命令提示符的当前⼯作⽬录更改为批处理⽂件所在的⽬录。
3. dir 命令
这两条 dir 命令⽤于列出特定⽬录中符合特定模式的⽂件名，并将结果输出到⽂本⽂件中。
第⼀条命令查找 %systemroot%\Windows\servicing\Packages ⽬录下所有以 Microsoft-
Windows-GroupPolicy-ClientExtensions-Package~3*.mum 开头的⽂件，并将结果写⼊ g
p.txt ⽂件。
第⼆条命令查找同⼀⽬录下所有以 Microsoft-Windows-GroupPolicy-ClientTools-Packag
e~3*.mum 开头的⽂件，并将结果追加到已有的 gp.txt ⽂件中。
4. for /f %%i in ('findstr /i . gp.txt 2^>nul') do dism /online /norestar
t /add-package:"%systemroot%\servicing\Packages\%%i"
这条命令的作⽤是：
使⽤ findstr /i . gp.txt 命令查找 gp.txt ⽂件中的所有⾏（. 表示匹配任意字符），/i
代表不区分⼤⼩写。
2>nul 是将错误输出重定向到空设备，即忽略错误。
对于 gp.txt 中的每⼀⾏（每个找到的 .mum ⽂件），执⾏ dism 命令来安装该更新包。dism
（Deployment Image Servicing and Management）是⼀个强⼤的命令⾏⼯具，⽤于服务和
准备Windows映像。
/online 表示在运⾏的系统上操作。
/norestart 指示安装完成后不⾃动重启系统。
/add-package 参数后⾯跟上⽂件的路径，指定要添加的包。
5. pause
这个命令⽤于在批处理执⾏完毕后暂停执⾏，等待⽤户按任意键继续。这样⽤户可以看到任何消息或
错误信息，了解脚本执⾏的结果。

2.将记事本另存为 gpedit.bat ⽂件
3.右键以管理员身份运⾏
4.如果UAC提示打开，请选择是。
5.最后，等批处理⽂件的命令执⾏完成后，就可以关闭该窗⼝了。

内置⽤户账户

在Windows系统中，服务可以运⾏在不同的账户下，这些账户被称为“服务账户”或“内置账户”。这些账户是系统内置的，⽤于提供特定的权限和限制，以确保服务可以安全有效地运⾏。下⾯是⼀些常⻅的Windows服务内置账户：
1. Local System Account（本地系统账户）
账户名: LocalSystem 或 SYSTEM
描述: 这是⼀个拥有⼴泛权限的账户，可以访问系统上⼏乎所有资源。它⽐管理员账户拥有更⾼的权限。通常，只有核⼼系统服务才运⾏在此账户下，因为它的权限⾮常⾼，可能带来安全⻛险。
2. Local Service Account（本地服务账户）
账户名: LocalService
描述: 这个账户具有⽐Local System更低的权限，⽤于运⾏不需要⼴泛本地权限的服务。它具有匿名⽹络身份验证能⼒，但不能访问⽹络资源。
3. Network Service Account（⽹络服务账户）
账户名: NetworkService
描述: 这个账户⽤于运⾏需要访问⽹络资源但不需要⼴泛本地权限的服务。它具有较低的权限，但能够以计算机的身份在⽹络上进⾏认证。
4. Virtual Accounts（虚拟账户）
账户名: NT SERVICE{ServiceName}
描述: 虚拟账户是在Windows 7和Windows Server 2008 R2中引⼊的。服务可以运⾏在⼀个特定的
虚拟账户下，该账户⾃动具有服务所需的最⼩权限。每个服务都有其独⽴的虚拟账户，⽆需密码管
理。
5. Managed Service Accounts (MSA) 和 Group Managed Service Accounts (gMSA)
账户名: 根据具体账户⽽定
描述: 这些账户为服务提供⾃动密码管理和更简化的服务主体名称（SPN）管理。MSA适⽤于单⼀系统，⽽gMSA可以在多个系统上使⽤，适合在多服务器环境中提供服务。

使⽤场景
选择哪种服务账户取决于服务的具体需求：
⾼权限需求: 如果服务需要⼴泛的本地系统访问权限，可以使⽤Local System账户。
⽹络资源访问: 如果服务需要访问⽹络资源，可以使⽤Network Service账户。
安全性较⾼: 如果服务对安全性要求⾼，但不需要⼴泛权限，可以使⽤Local Service账户或虚拟账户。

⽤户增删改查

查看账户

1. 使⽤计算机管理

计算机管理是⼀个图形界⾯⼯具，可以⽤来查看和管理本地⽤户和组，包括内置账户。

步骤如下：

        1. 在“开始”菜单搜索“计算机管理”并打开它。
        2. 展开“系统⼯具”部分，然后选择“本地⽤户和组”。
        3. 点击“⽤户”或“组”⽂件夹，你可以在这⾥看到所有的⽤户账户和组，包括内置的如 Administrator 、 Guest 等。

问题：家庭版，在系统管理中没有本地⽤户和组（同样与本地组策略编辑器一样，物理机加不加根据自己需求）

如何添加⽤户和组。
1.在搜索框内输⼊“运⾏”，然后点击打开。（或者按“win+R”键也会出现运⾏的弹框。）
弹出对话框，输⼊mmc,然后点击确定。
2.弹出对话框，打开⽂件下拉菜单，点击添加/删除管理单元。
3.弹出对话框，选中本地⽤户和组，点击添加。
4. 弹出对话框，选中本地计算机，点击完成。本地⽤户和组添加完成。

5.如果是win10家庭版会弹出下图对话框，提示此版本不能添加，要管理⽤户可以在控制⾯板中操作。

2. 使⽤命令提示符

可以使⽤命令⾏⼯具查看特定的服务账户详情。

例如，使⽤ net user 命令：

1. 打开命令提示符（CMD）。
2. 输⼊以下命令查看所有本地⽤户账户，包括内置账户：

net user

可以看到我的win7有3个账户，allen是我自己，那一般会有哪些账户呢?

每个账户的⽤途和性质进⾏说明：

1. Administrator

⽤途：这是系统的管理员账户，具有最⾼的系统权限。默认情况下，此账户在安装操作系统时创
建，且通常被禁⽤直⾄⼿动启⽤。
权限：可以安装软件、修改系统设置、管理其他⽤户账户等。

2. DefaultAccount
⽤途：这是⼀个系统账户，通常⽤于系统操作，并⾮⽤于⽇常⽤户登录。这个账户通常是禁⽤的，
且不应被⽤于常规操作。
权限：⾮常有限，主要⽤于系统级任务。

3. Guest

用途：访客账户允许⼈们在没有密码的情况下访问计算机，但权限⾮常有限。
权限：可以进⾏基本的任务，如浏览互联⽹，但不能安装应⽤程序或更改系统设置，通常⽤于临时
访问。

4. WDAGUtilityAccount
⽤途：这是Windows Defender Application Guard（WDAG）的⼀个系统账户。当启⽤并使⽤
Application Guard功能时，系统会使⽤此账户来提供隔离的浏览环境，从⽽提⾼安全性。
权限：这是⼀个系统账户，⽤户通常不与其交互，其权限专⻔为运⾏隔离的浏览环境设计。

这些账户各有其特定的⽤途和权限级别，是Windows系统为了不同的功能和安全需求⽽设计的。⽽其他如 WDAGUtilityAccount 和DefaultAccount 则是为了系统的特定功能和安全⽽存在的系统账户。

若要查看特定账户的详细信息，可以使⽤：

net user 账户名

3. 使⽤PowerShell

PowerShell提供了更为强⼤的命令来管理和查看账户信息。
列出所有本地账户的PowerShell命令：

注意:在Windows Server中，Get-LocalUser 命令不可⽤。
这是因为该命令是PowerShell 5.1中的⼀部分，随Windows Management Framework (WMF) 5.1提供，⽽Windows Server 2012默认安装的是PowerShell 3.0。

解决⽅案

要在Windows Server 上使⽤ Get-LocalUser 命令，你可以：
1. 升级PowerShell：
        安装或升级到Windows Management Framework (WMF) 5.1。WMF 5.1兼容Windows Server
2012 R2，并提供PowerShell 5.1的功能。
        下载并安装WMF 5.1的具体步骤和资源可以在微软官⽹找到。
2. 使⽤其他⽅法：
        如果不升级PowerShell，可以使⽤其他命令或⼯具来管理本地⽤户。例如，可以使⽤ net use
        r 命令，这是⼀个在所有版本的Windows中都可⽤的命令⾏⼯具，⽤于管理⽤户账户。

1. 打开PowerShell。
2. 输⼊以下命令：

Get-LocalUser

这将列出所有本地⽤户账户。

查看特定⽤户的详细信息：

Get-LocalUser -Name "账户名"

例如，查看Administrator账户的详细信息：

Get-LocalUser -Name "Administrator"

如果你想查看运⾏特定服务的账户，可以通过服务管理界⾯或使⽤命令⾏⼯具。
使⽤服务管理界⾯：
1. 在“开始”菜单搜索“服务”并打开它。
2. 在服务列表中，右击任何服务并选择“属性”。
3. 在“登录”标签中可以看到该服务使⽤的账户。
使⽤命令⾏查看服务账户： 打开CMD或PowerShell，然后使⽤以下命令：

sc qc 服务名

这将显示服务的配置，包括使⽤的服务账户。
这些⽅法可以帮助你查看和管理Windows Server上的内置账户和服务账户，根据需要选择适合的⼯具和命令。

增加⽤户（这里的增删改查和数据库很像）

⽅法1：使⽤计算机管理

这是通过图形界⾯添加⽤户的⼀种⽅法。
1. 打开计算机管理：
        右键点击“此电脑”（或“计算机”），选择“管理”。
        或者，您可以通过按 Win + R 键打开运⾏对话框，输⼊ compmgmt.msc 并按 Enter 键。
2. 访问本地⽤户和组：
        在计算机管理窗⼝的左侧树形菜单中，展开“系统⼯具”--"计算机管理"。
        点击“本地⽤户和组”，然后点击“⽤户”⽂件夹。
3. 新建⽤户：
        在“⽤户”⽂件夹的空⽩区域右键点击，选择“新⽤户…”。
        填写新⽤户的详细信息，如⽤户名、全名、描述和密码。
        根据需要选择其他选项，如⽤户密码永不过期等。
        点击“创建”按钮，然后点击“关闭”。

Windows Server 默认情况下⾃带⼀个名为 Guest 的⽤户账户。这个⽤户账户通常⽤于允许不需要身份验证的⽤户进⾏基本的访问，但权限⾮常有限。

Guest ⽤户账户的特点：

1. 禁⽤状态：在⼤多数 Windows Server 版本中，Guest ⽤户账户默认是禁⽤的。它的⽬的是提供⼀种有限权限的访问⽅式，但由于安全隐患，默认不启⽤。
2. 权限受限：Guest 账户的权限受到严格限制。它不能执⾏管理操作，不能安装软件，也⽆法对系统做出重⼤更改。
3. 安全性考虑：由于 Guest 账户可能为攻击者提供⼀个低权限的⼊⼝，微软在安全性⽅⾯⾮常谨慎，通常建议在不需要时保持 Guest 账户禁⽤状态。

如何查看或启⽤ Guest ⽤户账户：

1. 查看 Guest 账户状态：
        打开“计算机管理”（右键点击“此电脑” -> “管理”）。
        在左侧导航栏中，展开“本地⽤户和组” -> “⽤户”。
        在⽤户列表中找到“Guest”账户，你可以看到其状态（启⽤或禁⽤）。
2. 启⽤ Guest 账户：
        右键点击“Guest”⽤户，选择“属性”。
        在“常规”选项卡中，取消勾选“帐户已禁⽤”选项，然后点击“确定”。
3. 为 Guest 账户设置密码：
        为了提⾼安全性，即使启⽤了 Guest 账户，也应为其设置密码。右键点击“Guest”账户，选
        择“设置密码”，然后按照提示进⾏操作。

安全性建议：

启⽤ Guest 账户可能带来安全⻛险，尤其是在服务器环境中。建议除⾮有特别需求，否则保持该账户禁⽤。如果需要为访客提供访问权限，考虑创建⼀个受限的⾃定义⽤户账户并严格控制其权限。

⽤户名（Username）

定义：⽤户名是⽤来登录系统的唯⼀标识符。它是系统内部⽤来区分不同账户的关键字段，⽤户需
要在登录过程中输⼊这个名字。
重要性：⽤户名必须在系统中是唯⼀的，因为它关联着⽤户的个⼈设置、⽂件、权限等。
格式：通常，⽤户名短⼩、易于记忆，有时候可以是简单的字⺟组合、数字或⼆者结合。在企业或
教育机构中，⽤户名可能遵循⼀定的命名规则，如姓⽒加名字的⾸字⺟等。

全名（Full Name）
定义：全名通常是⽤户的真实姓名，可以包括名、中间名和姓。全名⽤于更正式或更⼈性化的标
识。
重要性：全名主要⽤于显示⽬的，使得系统管理员或其他⽤户可以更容易地识别是谁在使⽤该账
户，尤其是在发邮件或报告中。
格式：全名没有特定的格式限制，它应该反映出⽤户的实际姓名。这对于⽤户界⾯和外部通信⾮常
有⽤，因为它提供了⽐⽤户名更丰富的信息。

应⽤场景示例
系统登录：⽤户需要输⼊他们的⽤户名（有时候是域名\⽤户名或邮箱格式的⽤户名）和密码来登录系统。
邮件和⽂档：在发送电⼦邮件或⽣成系统报告时，通常会使⽤⽤户的全名来更正式地表示⽤户身
份。

总结

总的来说，⽤户名和全名服务于不同的⽬的：⽤户名⽤于系统认证和账户管理，⽽全名⽤于⼈际交往和
⽤户识别。理解这两者的区别对于管理⼤型⽤户数据库或设置⽤户友好的系统环境⾮常重要。

⽅法2：使⽤PowerShell

PowerShell也提供了创建新⽤户账户的命令，但需要注意的是，在PowerShell 3.0（默认安装在
Windows Server 2012 R2上）中并不直接⽀持像 New-LocalUser 这样的命令。因此，我们将使⽤ net user 命令。

1. 打开PowerShell：
在开始菜单中搜索“PowerShell”，右键点击“Windows PowerShell”，选择“以管理员身份运
⾏”。
2. 运⾏命令创建新⽤户：
使⽤以下命令创建新⽤户：

net user ⽤户名 密码 /add

例如，要创建⼀个⽤户名为“newuser”和密码为“password123”的⽤户，可以运⾏：

net user newuser password123 /add

注意：密码不满⾜密码策略的要求。检查最⼩密码⻓度、密码复杂性和密码历史的要求。

3. 配置⽤户属性：

⼀旦⽤户创建成功，您可以进⼀步配置⽤户属性。例如，要使密码永不过期，可以使⽤：

wmic useraccount where name='newuser' set PasswordExpires=false

⽅法3：使⽤Active Directory ⽤户和计算机（如果是域环境）

如果您的服务器是作为域控制器配置的，或者您需要在域环境中创建⽤户，可以使⽤“Active Directory⽤户和计算机”管理⼯具。

1. 打开Active Directory ⽤户和计算机：
        在“⼯具”菜单中找到并打开“Active Directory ⽤户和计算机”。
2. 选择正确的OU（组织单位）：
        在适当的OU上右键点击，选择“新建” -> “⽤户”。
3. 填写⽤户信息：
        输⼊⽤户的名字、⽤户登录名等信息，然后点击“下⼀步”。
        设置⼀个初始密码，并根据需要选择密码选项，如“⽤户下次登录时必须更改密码”。
        点击“完成”来创建⽤户。

修改⽤户属性

⽅法 1: 使⽤计算机管理（对于本地⽤户）

如果要修改本地⽤户的属性，可以使⽤计算机管理⼯具。

1. 打开计算机管理:
        右键点击“此电脑”（或“计算机”），选择“管理”。
        或者，按 Win + R 键打开运⾏对话框，输⼊ compmgmt.msc 并按 Enter 键。
2. 访问本地⽤户和组:
        在计算机管理窗⼝的左侧树形菜单中，展开“系统⼯具”。
        点击“本地⽤户和组”，然后点击“⽤户”⽂件夹。
3. 修改⽤户属性:
        在“⽤户”列表中找到并双击要修改的⽤户账户。
        在打开的⽤户属性窗⼝中，你可以修改⽤户名、全名、描述、密码选项等。
        启⽤禁⽤账户
        完成修改后点击“应⽤”再点击“确定”。

⽅法 2: 使⽤命令提示符

通过命令提示符也可以修改⽤户属性，尤其是密码。
1. 打开命令提示符（管理员）:
在开始菜单搜索“cmd”，右键点击“命令提示符”，选择“以管理员身份运⾏”。
2. 修改密码:
使⽤以下命令修改⽤户密码：

net user ⽤户名 新密码

⽅法 3: 使⽤PowerShell

PowerShell提供了更多选项来修改⽤户属性。
1. 打开 PowerShell（管理员）:
在开始菜单搜索“PowerShell”，右键点击“Windows PowerShell”，选择“以管理员身份运
⾏”。
2. 修改⽤户属性:
若要修改⽤户属性，你需要使⽤类似于以下的命令：

$user = Get-LocalUser -Name "exampleuser"
$user.FullName = "New Full Name"
$user.Description = "New Description"
$user | Set-LocalUser

注意事项

修改⽤户密码或其他敏感信息时，应确保遵循组织的安全政策。
在修改域⽤户属性时，如果服务器是域控制器，应使⽤“Active Directory ⽤户和计算机”管理⼯具。
PowerShell 在Windows Server 2012 R2默认安装的版本可能不⽀持⼀些本地⽤户管理的cmdlet。如需使⽤上述PowerShell示例，请确保已升级到较新版本的PowerShell。

本地安全策略

打开“本地安全策略”管理⼯具：
按 Win + R 键，输⼊ secpol.msc 并按 Enter 键。
在左侧窗格中，展开“账户策略”查看和修改密码策略和账户锁定策略；展开“本地策略”并点击“⽤户
权限分配”来查看和修改⽤户权限。

账户策略

账户策略主要涉及密码策略和账户锁定策略，这些设置⽤于增强⽤户账户的安全性。

1. 密码策略
密码策略规定了密码的复杂性和⽣命周期。这些策略包括：
        密码历史记录⼤⼩：决定⽤户更改密码时必须避免重复使⽤的旧密码的数量。
        最⼤密码使⽤期限：⽤户必须更改其密码之前的最⻓时间。
        最⼩密码使⽤期限：⽤户更改密码之后必须使⽤该密码的最短时间，以防⽌⽤户连续更改密码以绕过密码历史策略。
        最⼩密码⻓度：必须达到的密码的最短字符数。
        密码必须符合复杂性要求：要求密码必须由字⺟、数字和特殊字符的组合构成。

2. 账户锁定策略
账户锁定策略可以帮助防⽌未授权访问，特别是通过⾃动化的密码猜测尝试。
        账户锁定阈值：在账户被锁定之前允许的⽆效登录尝试的次数。
        账户锁定时间：账户在被锁定后⾃动解锁前必须等待的时间。
        锁定期间复位账户锁定计数器：在此期间内发⽣失败尝试，将导致账户锁定计数器的时间重置。

⽤户权限分配
⽤户权限分配定义了⽤户或⽤户组可以执⾏的特定任务和操作。这些权限⾮常具体，并直接影响操作系统的安全性和功能性。

⼀些常⻅的⽤户权限分配包括：
        以管理员身份访问此计算机：允许⽤户以系统管理员的身份登录到服务器。
        备份⽂件和⽬录：允许⽤户备份服务器上的⽂件和⽬录。
        更改系统时间：允许⽤户更改系统的时间。
        从⽹络访问此计算机：允许或禁⽌通过⽹络访问此计算机。
        执⾏批处理作业：允许⽤户执⾏批处理作业。
        关闭系统：允许⽤户关闭或重启服务器。

删除⽤户

⽅法 1: 使⽤计算机管理

这是⼀种通过图形界⾯删除⽤户的⽅法。

1. 打开计算机管理：
        右键点击“此电脑”（或“计算机”），选择“管理”。
        或者，您可以通过按 Win + R 键打开运⾏对话框，输⼊ compmgmt.msc 并按 Enter
键。
2. 访问本地⽤户和组：
        在计算机管理窗⼝的左侧树形菜单中，展开“系统⼯具”。
        点击“本地⽤户和组”，然后点击“⽤户”⽂件夹。
3. 删除⽤户：
        在“⽤户”列表中找到并右键点击要删除的⽤户账户。
        选择“删除”。
        确认删除操作。

⽅法 2: 使⽤命令提示符
使⽤命令提示符也可以删除⽤户，这适⽤于那些更习惯使⽤命令⾏的⽤户。
1. 打开命令提示符（管理员）：
在开始菜单搜索“cmd”，右键点击“命令提示符”，选择“以管理员身份运⾏”。
2. 运⾏删除命令：
使⽤以下命令删除⽤户：

net user ⽤户名 /delete

⽅法 3: 使⽤PowerShell

PowerShell 提供了⼀种更强⼤的⽅式来管理Windows服务器，包括⽤户管理。
1. 打开 PowerShell（管理员）：
在开始菜单搜索“PowerShell”，右键点击“Windows PowerShell”，选择“以管理员身份运
⾏”。
2. 执⾏删除⽤户的命令：
使⽤以下命令删除⽤户：

Remove-LocalUser -Name "⽤户名"

注意：在Windows Server 2012 R2中，默认的PowerShell版本是3.0，它不⽀持 Remove-
LocalUser 命令。因此，您需要使⽤ net user 命令或者升级到更⾼版本的PowerShell。

注意事项 :

        在删除⽤户之前，请确保该⽤户的所有重要数据都已经备份或迁移。
        如果⽤户正在运⾏某些关键任务或服务，直接删除⽤户可能会导致系统或应⽤程序错误。
        ⼀些⽤户可能与特定的系统服务或任务相关联，删除这些⽤户前应仔细检查其关联性。

组账户概述

组是⼀些⽤户的集合
组内的⽤户⾃动具备为组所设置的权限

组账户类型

在Windows Server 2012 R2中，主要有两种类型的组账户：本地组和域组。

1. 本地组

本地组是在单个计算机上定义的。它们⽤于管理在该服务器上的权限和资源访问。即使在域环境中，本地组也可以⽤来管理对特定服务器资源的访问。
⽤途：通常⽤于管理那些只影响单个服务器的权限。
示例：管理员组、备份操作员组、⽤户组。

2. 域组
域组在Active Directory环境中定义，并可在所有加⼊该域的计算机中使⽤。域组允许跨多台计算机统⼀管理⽤户的权限。
⽤途：⽤于管理跨多台计算机或服务器的访问权限。
示例：域管理员、企业管理员、域⽤户。

需要⼿动添加成员的内置组
这类组通常是固定的，管理员需要显式地将⽤户账户添加到这些组中。这样做的⽬的是给予⽤户相应的权限，⽤于执⾏特定的任务或访问特定的资源。这包括：
        Administrators：拥有最⾼级权限，可以对系统进⾏全⾯控制，包括安装软件、更改系统设置、管理所有⽤户账户等。
        Guests：通常权限⾮常限制，⽤于临时访问，⽆法更改系统设置或安装应⽤程序。
        Power Users（在较新版本的Windows中已基本弃⽤）：有⼀些管理员权限，但少于
Administrators。
        Users：标准⽤户权限，限制进⾏对系统关键部分的更改。

动态包含成员的内置组
这类组的成员身份是由系统⾃动管理的，根据⽤户的当前状态动态调整。例如，当⽤户登录到系统时，系统会⾃动将其添加到某些组中，以便授予临时的权限或访问权限。这些动态管理的组包括但不限于：
        Authenticated Users：包含所有已验证的⽤户账户，这意味着只要⽤户成功登录，就会⾃动成为此组的成员。
        Interactive Users：包含直接与系统交互的⽤户，通常指通过物理或远程桌⾯登录的⽤户。
        Network Users：通过⽹络访问系统资源的⽤户⾃动成为此组的成员。
        Everyone：

        描述：这个组包含了所有的⽤户，包括来宾和匿名⽤户。不管⽤户是否通过身份验证，只要在系统上有活动，就属于这个组。
        包含：所有⽤户，包括来宾账户和通过⽹络以匿名身份访问的⽤户。
        ⽤途：这个组通常⽤于分配最基本的访问权限。例如，在需要对所有⽤户都开放的资源上设置权限时，可以使⽤"Everyone"组。然⽽，使⽤这个组需要⼩⼼，因为它允许任何⽤户包括匿名⽤户访问，可能会引⼊安全⻛险。
安全注意事项
使⽤"Everyone"组时应格外⼩⼼，特别是在涉及敏感或关键资源的情况下。仅在确实需要让所有⽤
户，包括未认证的⽤户访问某些资源时使⽤。
对于需要确保数据保密和安全的资源，应考虑使⽤"Authenticated Users"组或更具体的⽤户组，这
有助于限制访问权限，确保只有验证过的⽤户才能访问。

组账户的作⽤
权限管理：通过将⽤户添加到具有特定权限的组中，可以简化权限管理过程。例如，将⽤户添加
到“域管理员”组中，可以让这些⽤户在域中的所有计算机上拥有管理员权限。
资源访问：可以控制组成员访问⽹络资源（如共享⽂件夹、打印机等）的权限。
策略实施：组策略可以应⽤于特定的组，允许管理员为组内的所有⽤户统⼀配置安全策略和操作环
境。

管理组账户
创建和管理组：可以通过Active Directory ⽤户和计算机（对于域组）或计算机管理（对于本地组）来创建和管理组。
添加和移除成员：通过相应的管理⼯具，可以向组中添加或从组中移除⽤户。这些变更将⾃动应⽤
到⽤户的权限设置中。
组嵌套：组嵌套是将⼀个组作为另⼀个组的成员的做法。这可以⽤来创建复杂的权限层级和灵活的
管理策略。

如何访问组账户管理

对于本地组：
打开“计算机管理”（ compmgmt.msc ），然后导航⾄“本地⽤户和组 > 组”。

对于域组：
使⽤“Active Directory ⽤户和计算机”（ dsa.msc ）来访问和管理域组。

组账户增删改查

查看组账户
在Windows Server 2012 R2中，查看组账户可以通过⼏种不同的⽅法进⾏，取决于您是想查看本地组账户还是域组账户。这⾥将为您提供在这两种环境下查看组账户的⽅法。

查看本地组账户
如果您想查看本地服务器上的组账户，您可以使⽤“计算机管理”⼯具，这是⼀个图形界⾯⼯具，也可以使⽤命令⾏⼯具如命令提示符或PowerShell。

使⽤命令提示符
1. 打开命令提示符:
右键点击“开始”按钮，选择“命令提示符（管理员）”，或通过运⾏ cmd 来打开。
2. 列出所有本地组:
输⼊命令 net localgroup 并按Enter键，这将列出所有本地组账户。

分析组账户

核⼼内置⽤户组

1. Administrators
        具有完全且不受限制的访问权限，可以执⾏所有管理任务。
2. Users
        标准⽤户账户，拥有执⾏基本任务的权限，但⽆法修改系统关键部分。
3. Guests
        权限⾮常有限，通常⽤于临时访问，不允许更改系统设置或安装软件。
4. Power Users
        拥有⽐普通⽤户更多的权限，但少于管理员。可以运⾏旧版应⽤程序及其他任务，但不能修改系统关键设置。

安全与监控相关组
1. Backup Operators
可以绕过⽂件系统权限以备份和恢复⽂件。
2. Cryptographic Operators

        管理加密设置和加密服务。
3. Event Log Readers
        允许读取事件⽇志。
4. Performance Log Users
        可以管理性能⽇志和警报。
5. Performance Monitor Users
        允许查看系统性能计数器。

⽹络和分布式系统操作组

1. Network Configuration Operators
        允许⽤户对⽹络配置进⾏更改。
2. Distributed COM Users
        允许分布式组件对象模型(DCOM)应⽤程序通过⽹络通信。
3. Certificate Service DCOM Access
        允许⽤户连接到证书服务使⽤DCOM。

远程访问和服务组
1. Remote Desktop Users
        允许⽤户通过远程桌⾯连接到服务器。
2. Remote Management Users
        允许⽤户远程管理服务器。
3. WinRMRemoteWMIUsers__
        允许通过Windows远程管理服务进⾏WMI操作。

特殊功能和服务相关组
1. Hyper-V Administrators
        允许管理Hyper-V和执⾏所有虚拟化任务。
2. IIS_IUSRS
        IIS服务的⽤户组，⽤于管理Internet信息服务。
3. Print Operators
        管理打印队列和控制打印服务器。
4. Replicator

⽤于⽂件复制服务。

RDS（远程桌⾯服务）相关组

1. RDS Endpoint Servers
2. RDS Management Servers
3. RDS Remote Access Servers
这些是与远程桌⾯服务相关的特定组，分别⽤于管理RDS端点、RDS服务器和远程访问。

特殊注意
Access Control Assistance Operators
此组的成员可以更改⽤户或组的安全权限。

使⽤计算机管理
1. 打开计算机管理:
        右键点击“开始”按钮，选择“计算机管理”，或者通过运⾏ compmgmt.msc 来打开。
2. 访问本地⽤户和组:
        在计算机管理的左侧⾯板中，展开“系统⼯具”。
        选择“本地⽤户和组”，然后点击“组”。
3. 查看组列表:
        在“组”⽂件夹中，您可以看到所有的本地组账户列表。双击任何⼀个组可以查看其成员详情。

使⽤PowerShell

1. 打开PowerShell:
右键点击“开始”按钮，选择“Windows PowerShell（管理员）”，或通过运⾏ powershell 来
打开。
2. 列出所有本地组:
输⼊命令 Get-LocalGroup 并按Enter键，这将列出所有本地组账户。

查看域组账户（如果在域环境中）
如果您的服务器是域控制器，或者已加⼊到⼀个域，您可以使⽤“Active Directory ⽤户和计算机”⼯具来查看域组账户。
1. 打开Active Directory ⽤户和计算机:
在“服务器管理器”中选择“⼯具”菜单，然后选择“Active Directory ⽤户和计算机”。
2. 浏览到相应的OU:
在AD结构中浏览到您想要查看的组所在的OU。

3. 查看组:
找到并双击任何组来查看其属性，包括组成员。

创建组账户

创建组账户是⼀个常⻅的任务，⽤于管理和分配权限给多个⽤户。创建组账户可以在本地计算机上完成，也可以在域环境中进⾏，如果服务器是⼀个域控制器或者连接到⼀个域。

创建本地组账户
如果您想在本地计算机上创建⼀个组账户，可以使⽤“计算机管理”⼯具来完成：
1. 打开计算机管理:
        右键点击“开始”按钮，选择“计算机管理”，或者通过运⾏ compmgmt.msc 来打开。
2. 访问本地⽤户和组:
        在计算机管理的左侧⾯板中，展开“系统⼯具”。
        选择“本地⽤户和组”，然后点击“组”。
3. 创建新组:
        右键点击“组”⽂件夹，选择“新建组...”。
        输⼊组的名称和描述。组名应当简洁明了，描述则说明该组的⽤途或成员类型。
        点击“创建”，然后点击“关闭”。
4. 添加成员到组:
        双击新创建的组，在打开的窗⼝中选择“添加”。
        输⼊要添加的⽤户名称，然后点击“检查名称”确认⽤户存在。
        确认后点击“确定”添加⽤户。

创建域组账户（如果在域环境中）

如果服务器加⼊了域，或者是域控制器，应该通过Active Directory ⽤户和计算机来创建组账户：
1. 打开Active Directory ⽤户和计算机:
        在“服务器管理器”中选择“⼯具”菜单，然后选择“Active Directory ⽤户和计算机”。
2. 定位到合适的组织单位（OU）:
        在AD结构中找到您想要创建组的位置。通常，组账户放在⼀个专⻔的OU中，以便于管理。
3. 创建新组:
        右键点击OU或者在空⽩处右键，选择“新建” > “组”。
        输⼊组的名称和描述，并选择组的范围（全局、域本地或通⽤）和类型（安全组或分配组）。
        点击“确定”完成创建。
4. 添加成员到组:
        双击新创建的组，点击“成员”标签。
        点击“添加”以将⽤户或其他组添加为成员。

修改组账户

使⽤计算机管理修改本地组

对于本地组账户的修改，您可以使⽤“计算机管理”：
1. 打开计算机管理:
        右键点击“开始”按钮，选择“计算机管理”，或者通过运⾏ compmgmt.msc 来打开。
2. 访问本地⽤户和组:
        在计算机管理的左侧⾯板中，展开“系统⼯具”。
        选择“本地⽤户和组”，然后点击“组”。
3. 选择要修改的组:
        找到并双击您想要修改的组。
4. 修改组属性:
        在打开的组属性窗⼝中，您可以添加或删除成员，更改组的描述等。
        点击“添加”以增加新成员，或选择成员后点击“删除”移除成员。
        修改完成后，点击“应⽤”并选择“确定”以保存更改。

使⽤Active Directory ⽤户和计算机修改域组
        如果您的服务器是域控制器，或者服务器已加⼊到域，您可以通过“Active Directory ⽤户和计算机”管理⼯具来修改域组：
1. 打开Active Directory ⽤户和计算机:
        在“服务器管理器”中选择“⼯具”菜单，然后选择“Active Directory ⽤户和计算机”。
2. 找到组:
        在AD结构中找到并双击您想要修改的组。
3. 修改组属性:
        在组的属性窗⼝中，您可以编辑组的描述，添加或删除成员等。
        使⽤“添加”或“删除”按钮来管理组成员。
        保存更改后关闭属性窗⼝。

使⽤PowerShell修改组账户

PowerShell提供了⼀个强⼤的命令⾏界⾯来修改组账户：

# 添加成员到组
Add-ADGroupMember -Identity "GroupName" -Members "username"
# 从组中移除成员
Remove-ADGroupMember -Identity "GroupName" -Members "username" -Confirm:$false
# 修改组描述
Set-ADGroup -Identity "GroupName" -Description "New Description"

确保替换“GroupName”和“username”为实际的组名和⽤户名。这些命令⽤于域环境中的组管理。对于本地组，可以使⽤类似的命令但不涉及Active Directory的cmdlets。

注意事项

在修改组成员或属性前，确保了解这些修改对系统安全和运⾏的潜在影响。
为防⽌错误操作，使⽤PowerShell进⾏群组操作时通常建议添加“-Confirm:$false”参数，以避免每
次操作都需要确认。

命令提示符（CMD）也可以进⾏组账户的修改
虽然CMD不提供直接修改组描述或其他复杂属性的功能，它可以有效地⽤于添加或删除组的成员。以下是如何使⽤命令提示符来修改本地组账户的成员：

添加成员到本地组
你可以使⽤ net localgroup 命令来添加⽤户到本地组：

net localgroup GroupName UserName /add

从本地组中删除成员

同样，你可以使⽤ net localgroup 命令来从本地组中删除⽤户：

net localgroup GroupName UserName /delete

注意事项

        确保你以管理员身份运⾏CMD，因为修改组成员通常需要管理员权限。
        net localgroup 命令主要⽤于本地组的管理。对于域组的管理，通常需要使⽤Active
Directory的PowerShell cmdlets或其他⼯具。
        使⽤这些命令时，确保正确输⼊⽤户名和组名，错误的输⼊可能导致命令执⾏失败或不正确的⽤户被添加或删除。

使⽤CMD来管理组账户虽然不如图形界⾯直观或功能全⾯，但它在进⾏简单的操作时⾮常快速和有效，特别是当你需要在脚本中⾃动化这些任务时。

删除组

要使⽤命令提示符删除⼀个本地组，请按照以下步骤操作：
1. 打开命令提示符（管理员）:
在开始菜单搜索“cmd”，右键点击“命令提示符”，选择“以管理员身份运⾏”。
2. 使⽤ net localgroup 命令删除组:
输⼊以下命令格式来删除本地⽤户组：

net localgroup [组名] /delete

将 [组名] 替换为你想要删除的组的名称。

注意事项
权限要求：执⾏删除组的操作通常需要管理员权限，因为这会影响系统的安全设置。
确认组名：在执⾏删除操作前，请确保输⼊的组名正确，避免误删除其他重要的组。
使⽤ PowerShell：如果你更喜欢使⽤更现代的命令⾏⼯具，PowerShell 也提供了类似的功能。例
如，删除⼀个本地组可以使⽤ PowerShell 的 Remove-LocalGroup 命令，这需要在较新版本的
PowerShell环境中运⾏。
删除组操作是不可逆的，⼀旦执⾏，组中的所有成员关系和相关的权限设置将会丢失。因此，在执⾏删除操作之前，请确保这⼀操作是安全的，并且不会对系统的正常运⾏造成影响。如果不确定，建议先进⾏备份或咨询更有经验的系统管理员。

使⽤计算机管理删除本地组
使⽤计算机管理⼯具是管理本地⽤户和组的⼀种直观⽅式。操作如下：
1. 打开计算机管理:
右键点击“开始”按钮，选择“计算机管理”，或者通过运⾏ compmgmt.msc 来打开。
2. 访问本地⽤户和组:

        在计算机管理的左侧⾯板中，展开“系统⼯具”。
        选择“本地⽤户和组”，然后点击“组”。
3. 删除组:
        在“组”⽂件夹中，找到并右键点击你想要删除的组。
        选择“删除”选项。
        系统会询问你是否确定要删除该组，确认后，该组将被删除。

使⽤PowerShell删除本地组
对于更⾼级的⽤户，PowerShell 提供了⼀个强⼤的命令⾏⼯具来管理Windows资源，包括⽤户组。
1. 打开PowerShell:
右键点击“开始”按钮，选择“Windows PowerShell（管理员）”，或通过运⾏ powershell 来打开。
2. 删除本地组:
使⽤以下PowerShell命令删除⼀个本地组：

Remove-LocalGroup -Name "GroupName"

将 "GroupName" 替换为你想要删除的组的名称。

使⽤Active Directory ⽤户和计算机删除域组

如果你是在域环境中⼯作，可能需要删除域组。这可以通过“Active Directory ⽤户和计算机”⼯具完成。
1. 打开Active Directory ⽤户和计算机:
        在“服务器管理器”中选择“⼯具”菜单，然后选择“Active Directory ⽤户和计算机”。
2. 找到并删除组:
        浏览到包含该组的组织单位（OU）。
        找到并右键点击你想要删除的组。
        选择“删除”，然后确认删除操作。

注意事项

删除⽤户组是⼀个敏感操作，可能会影响到依赖这个组进⾏权限管理的⽤户或服务。在删除任何组之前，确保此操作不会对系统安全或运⾏造成负⾯影响。考虑到可能的依赖性和权限问题，最好在进⾏此类更改前进⾏适当的审查和备份。