本地安全策略（secpol.msc）不支持用户操作审计，仅管控权限准入；审计需通过gpedit.msc配置高级审核策略并结合事件查看器实现，登录事件（如4624/4625）等日志由“高级审核策略配置”启用，secpol.msc中审核策略已弃用。

本地安全策略本身不支持用户操作审计，它只管“能不能做”，不管“谁在什么时候做了什么”；审计必须靠 windows 审计策略（高级安全审核配置）+ 事件查看器联动实现。

为什么 secpol.msc 里找不到“登录成功/失败”日志开关

因为 secpol.msc（本地安全策略）只管理账户策略、本地策略和公钥策略三类基础设置，所有与“记录行为”相关的选项（如审核登录事件、审核对象访问）都归入更底层的“高级安全审核策略”，需通过 gpedit.msc → 计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置 来启用。

• secpol.msc 中的“审核策略”页面是旧版兼容入口，实际已弃用，勾选后不会生效
• 真正起作用的是 AdvancedAuditPolicyConfiguration 下的子项，例如 Logon、Account Logon、Object Access
• 启用某类审核后，对应事件会写入 Security 日志，需用事件查看器（eventvwr.msc）查看，ID 通常为 4624（登录成功）、4625（登录失败）、4662（对象访问）

给普通用户分配最小必要权限：别碰“管理员组”，改用专用组 + 细粒度权限

直接把用户加进 Administrators 组是最常见也最危险的做法。本地安全策略无法分配文件或注册表权限，这类控制必须通过 NTFS 权限或注册表权限单独设置，并配合组策略（gpedit.msc）下发。

• 创建专用安全组（如 BackupOperatorsLimited），仅赋予其 备份文件和目录 用户权限（在 secpol.msc → 本地策略 → 用户权限分配中配置）
• 对特定文件夹右键 → 属性 → 安全 → 编辑，为该组添加 读取和执行 或 修改 权限，避免使用 完全控制
• 若需允许运行某工具（如 diskmgmt.msc），不要给 本地管理员，而是通过组策略启用 允许卸载磁盘管理单元（路径：计算机配置 → 管理模板 → Windows 组件 → Microsoft 管理控制台）

权限分配后没生效？检查这三点

Windows 权限叠加逻辑复杂，常见失效不是配置错了，而是被更高优先级策略覆盖或缓存未刷新。

• 运行 gpupdate /force 后必须重启或至少注销重登录，部分用户权限（如“从网络访问此计算机”）不会热生效
• 确认用户是否同时属于多个组——权限是累加的，但“拒绝”权限永远优先生效；哪怕只在一个组里被显式拒绝了 登录本地，整个登录就会失败
• 检查 secpol.msc 中“用户权限分配”里的冲突项，例如同一用户既被赋了 允许本地登录，又被某个组继承了 拒绝本地登录，后者会胜出

真正难的不是打开哪个开关，而是厘清“策略来源”：本地安全策略（secpol.msc）、组策略（gpedit.msc）、NTFS 权限、注册表权限、UAC 虚拟化，四层叠加下，一个操作失败往往要逆向查三处配置。审计日志里看到 4625 错误，别急着调策略，先用 whoami /all 看当前令牌里实际有哪些组和特权。