3-权限解读

工作组权限

本地工作组

本地工作组的计算机所有账户密码都存放在本地的计算机中，不管计算机有没有网络，只要输入正确的本地账户及密码就可以登录计算机。

组与用户

在计算机中，一般有两种角色，用户和组。一个组中可以有多个用户，一个用户可以属于同一个组，通过给组划分不同的权限，用户就拥有不同 的权限。

本地最高管理员组-administrator

该账户默认状态为禁用

administrator用户在administrators组里面，SID最后为500

本地普通用户

本地普通用户就是在Windows计算机中本地新建的用户，没有管理员权限，很多操作都受到限制，需要管理员认证之后才可以执行。

本地系统最高权限-system

system用户，为Windows中主要作为系统服务或者进程的运行账户

administrator与system权限区别

administrator为系统内置的管理员用户，用于安装或者运行程序，修改设置等操作。

system权限为系统本身的权限，比如任务管理器中的一些进程

另外 注册表中的某些位置需要系统权限才可以访问 ，administrator无法访问。

UAC认证

概述

User-account control（UAC）用户账户控制，微软在Windows Vista和Windows 7 中引用的新技术，主要的功能是在执行一些会影响系统安全的操作时，会自动触发UAC，用户确认之后才可进行执行。

大部分的恶意软件、木马病毒、广告插件等进入计算机时，会将文件复制到Windows 或者 Program files等目录、安装驱动、安装ActiveX 等操作，而这一类的操作都会触发UAC，用户则可以在UAC提示时禁止该类程序执行。

触发条件

• 修改Windows Update配置
• 增加或者修改用户账户
• 改变用户的账户类型
• 安装activeX
• 安装或卸载程序
• 安装设备驱动程序
• 修改和设置家长控制
• 增加或修改注册表
• 将文件移动或复制到Windows或者Program Files目录
• 访问其他用户目录

四种设置要求

win+r调出运行框，输入msconfig

四种等级

user account control-uac，用户账户控制

四种设置要求 msconfig

域内权限

机器加入到域内后，可以使用域内的用户进行登录，域内用户信息存放在DC上，添加或者修改账户等操作都是在域控上进行操作

管理员组

administrators组成员可以不受限制的存取计算机或者域的资源，活动目录和域控制器中默认具有管理员权限的组，该组成员可以更改enterprise adminis、domain adminis组的成员关系，是域森林中强大的服务管理组。

域管理员组

Domain admins组-域管理员，拥有完整的管理员权限，该组会被添加到自己所在域的administrators组中，因此会继承administrators组的所有权限。同时该组会默认被添加到每台域成员计算机的本地administrators组中，这样domain admins组就可以获得域中计算机的所有权限。

企业系统管理员

enterprise admins组为域森林或者根域中的一个组，该组在域森林中的每个域内都是administrators组的成员，因此对所有域控制器都有完全访问权。

域用户组

domain users组中的成员为所有域内成员，默认情况下，任何由管理员创建的用户账号都属于domain users组，该组在域内机器中存在于users组。

域中所有工作站和服务器

domain computers组，任何由管理员创建的计算机账号都属于该组

域内工作组

机器加入到域之后，可以选择使用域内用户登录也可以使用本地用户登录

• 本地用户登录，账户密码是存放在本地文件中，本机进行校验；域内用户登录，是通过DC认证之后才能登录，用户信息存放在域控上面。

• 本地用户登录主要是对比NTLM HASH值，域认证是通过kerberos认证

• 在计算机登录界面可以选择本地登录还是域用户登录

  本地登录：机器名\用户名

  域内用户：域名\用户名

域内最高权限

域内最高管理员权限为 域名\administrator，该账户没有UAC认证，也是每个域机器的本地管理员，和机器名\administrator 具有相同的权限，SID也为500。

域内普通管理员

加入了域中的domain admins组，但不是administrator用户。

该用户虽然也是管理员，但是个别操作也会触发UAC。

机器用户与system区别

机器账户指的是在网络中用户代表计算机或设备的用户，在Windows域环境中，每台计算机都有一个机器账户，用于在网络中进行身份验证和授权。

机器账户的名称通常以计算机名称或者计算机GUID作为前缀，例如WH$。机器账户与具体计算机相关联，用于代表计算机进行域认证和访问域资源。

当计算机加入到域后，机器账户的密码会同步到域控上面，也就是说本地system用户对应域内的机器用户。

system账户为本地计算机的特殊账号，而机器账号是域中的账号。但在某些情况下，例如当本地计算机需要访问域资源时，system账户可能会充当机器账号的角色。在域环境中，本地计算机可以使用system账号作为其身份进行域认证和访问授权。

注意：system账户不是专门为域中的机器账户而创建的。