角色分离原则要求系统、安全、审计三类管理员权限严格隔离：系统管理员管配置但不碰用户与日志，安全管理员管账号权限但不改系统，审计管理员仅读日志且无操作权，三者不得由同一人兼任。
角色分离原则在 windows 权限管理中不是摆设，而是控制风险的实际手段。核心在于把“谁管配置”“谁管权限”“谁管监督”拆开，避免一个人能同时做决定、执行操作、又擦掉痕迹。
明确三类角色及其边界
按国家规范与企业实践，Windows 系统应划分出三个逻辑独立的管理角色：
- 系统管理员：负责服务器、域控、操作系统、数据库、应用系统的安装、配置、升级和日常维护；可重置密码，但不能新建或删除用户，也不能查看审计日志
- 安全管理员：专管账号生命周期和权限分配，可创建/停用用户、分配业务角色、设置组策略，但不能修改系统参数，也不得访问审计日志
- 审计管理员：仅拥有读取事件日志（如 Security、System、Application 日志）和审计策略配置的权限，不得执行任何配置或授权操作
避免权限交叉的实操要点
即使建了三个账号，如果组成员关系没理清，照样会失效。关键操作包括：
- 禁用内置 Administrator 账户，改用命名清晰的专用账号（如 sysadm、secadm、auditadm）
- 每个账号只加入严格对应的用户组：例如 auditadm 仅加入 Event Log Readers，不加 Administrators 或 Backup Operators
- 关闭远程桌面会话中的“允许此用户远程连接”以外的高级权限（如远程协助、远程注册表）
- 通过组策略（GPO）禁用“以管理员身份运行”对非 admin 账号的提示，防止提权绕过
配合最小权限与职责制衡
角色分离必须和最小权限、职责制衡联动才有效：
- 一个用户可同时拥有多个角色（如某人是销售+财务经理），但三类管理员角色不得由同一人兼任
- 敏感操作（如修改域控制器策略、导出审计日志）应设置审批流程，例如安全管理员发起变更后，需系统管理员确认生效
- 所有角色登录行为、权限变更、日志导出动作必须记录在 Windows 安全日志，并启用审核策略（如“审核账户管理”“审核特权使用”）
持续验证分离是否真正落地
定期检查不是走形式，而是看权限是否实际隔离：
- 用 auditadm 账号尝试打开“本地安全策略”或运行 gpupdate /force —— 应提示拒绝访问
- 用 secadm 账号尝试打开事件查看器并导出日志 —— 若成功，说明组策略未生效或账号被误加进 Administrators 组
- 检查安全日志 ID 4732（将用户添加到安全组）和 ID 4728（添加到受保护的用户组），确认只有 secadm 触发，且无异常时间点
