用户权利指派是服务器安全加固的关键环节，需通过组策略精准收紧高危权限：如限制“从网络访问此计算机”“允许本地登录”“作为服务登录”等权利，坚持最小权限、拒绝优先、组级赋权，并禁用“创建符号链接”等隐性风险权利。
配置用户权利指派是服务器安全加固中直接、高效且常被低估的一环。它不依赖第三方工具，也不修改注册表，而是通过系统原生策略精准控制“谁能在什么条件下执行什么关键操作”。核心在于收缩默认权限、消除冗余组、明确拒绝逻辑，并确保每项变更可验证、可回溯。
聚焦关键权利，优先收紧高危项
并非所有用户权利都需要调整，应优先处理直接影响系统边界和特权提升路径的几项：
- “从网络访问此计算机”：默认允许Authenticated Users，建议仅保留Domain Admins、Server Operators及必要业务组；若服务器不提供文件共享或管理接口，可清空该列表（注意：清空前确认远程管理方式，如WinRM或PSRemoting是否依赖此权限）
- “允许本地登录”：成员服务器上默认含Users组，对安全要求高的环境应移除Users，仅添加Administrators和经审批的运维组；启用RDP时，确保目标用户属于Remote Desktop Users组，而非靠Users组“搭便车”
- “作为服务登录”：禁止普通域用户或低权限组拥有此项；仅授予SQL Server、IIS应用池等必需服务账户，且使用专用托管服务账户（gMSA）或虚拟账户更佳
- “调试程序”：默认仅Administrators拥有；生产服务器上严禁向非开发/排错人员开放，该权限可绕过代码签名与内存保护机制
坚持最小权限原则，避免组级误伤
添加权限时始终用组（如“SRV-DB-Admins”），不用单个账户；删除权限时切勿直接删掉内置组（如Users、Power Users），而应新建专用安全组并精确赋权。特别注意：
- 同一用户若同时出现在“允许本地登录”和“拒绝本地登录”中，后者生效——这是硬性规则，可用于快速封禁个别账户而不影响组策略
- 域控制器上修改“允许本地登录”无效，因其受DC专属策略限制；如需特殊调试，应使用DSRM模式或临时启用“Directory Services Restore Mode”账户
- “更改系统时间”“关闭系统”等权利，对无人值守服务器应全部清空，防止定时任务或恶意脚本滥用
统一策略部署与持续验证
所有配置必须通过组策略（GPO）下发，禁用本地安全策略（secpol.msc）单独设置，确保一致性与可审计性：
- 策略路径：计算机配置 → Windows设置 → 安全设置 → 本地策略 → 用户权利指派
- 发布后执行gpupdate /force，并强制用户重新登录（当前会话不继承新策略）
- 验证方法：在目标服务器运行whoami /priv，检查关键权利（如SeInteractiveLogonRight、SeNetworkLogonRight）是否按预期出现或缺失；结合事件查看器筛选ID 4624（成功登录）与4625（失败登录），关注“登录类型”字段（2=本地交互，10=RDP，3=网络）
配套禁用非必要权利，堵住隐性通道
部分权利虽不常用，但一旦启用即构成严重风险，应显式清空：
- “作为受信任的调用方访问凭据管理器”（SeTrustedCredManAccessPrivilege）：仅系统组件需要，绝不分配给用户
- “创建符号链接”（SeCreateSymbolicLinkPrivilege）：普通用户无需此能力，禁用可缓解提权类漏洞利用
- “绕过遍历检查”（SeChangeNotifyPrivilege）：默认已启用，但若服务器无特殊需求（如某些备份软件），可考虑移除以增强目录访问控制粒度
