收回本地管理员权限的核心是切断用户与本地administrators组的隶属关系，域环境推荐用组策略“受限制组”强制覆盖成员列表，单机环境则禁用内置administrator账户，并需验证策略生效及预留应急通道。
收回本地管理员权限，核心是切断用户账户与本地 administrators 组的隶属关系。组策略是最规范、可批量、可追溯的实施方式，分域环境和单机两种场景。
域环境下用“受限制组”强制覆盖
这是最推荐、最彻底的方法，适用于已加入域的计算机：
- 在域控制器上打开组策略管理控制台（gpmc.msc），定位到目标计算机所在的组织单位（OU）
- 新建或编辑GPO，进入：计算机配置 → 策略 → Windows 设置 → 安全设置 → 受限制的组
- 右键空白处 → “添加组”，输入 Administrators（注意拼写，不带本地前缀）
- 在属性中，“此组的成员”里只添加必须保留的账号，例如：Domain Admins、Workstation Admins 等安全组；不要加任何普通用户
- “此组隶属于”留空——这一步很关键，它会清空所有未显式列出的成员，包括历史遗留的域用户、本地用户甚至内置 Administrator 账户
- 链接并启用策略后，在客户端执行 gpupdate /force，再运行 net localgroup administrators 验证结果
单机或非域环境用本地组策略禁用内置管理员
若设备未加入域，无法使用“受限制组”，可退而求其次，禁用系统默认的 Administrator 账户（注意：不是删除，是禁用）：
- 按 Win + R 输入 gpedit.msc 打开本地组策略编辑器
- 导航至：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项
- 找到并双击 账户：管理员账户状态
- 选择“已禁用”，点击确定
- 该操作不影响其他用户是否属于 Administrators 组，但能确保这个高危默认账户无法登录或提权
补充验证与注意事项
策略生效后务必验证，避免误伤运维能力：
- 在目标电脑上以普通域用户登录，尝试右键“以管理员身份运行”命令提示符——应弹出拒绝提示
- 检查 C:\Windows\System32\GroupPolicy 下是否有新策略缓存，确认策略已下载
- 若用户仍保有管理员权限，大概率是其账户仍被手动加进了本地 Administrators 组，需配合脚本或工具批量清理（如 PowerShell 的 Remove-LocalGroupMember）
- 切勿在生产环境直接禁用所有管理员权限而不预留应急通道，建议至少保留一个域管理组+一个本地应急账号（重命名且强密码）
不建议依赖“用户权限分配”策略
有些资料提到通过“用户权限分配”中的“将计算机作为域成员加入”或“从网络访问此计算机”等策略来间接限制，这类设置不能真正移除本地管理员组成员资格，仅影响特定操作权限，无法阻止用户直接修改本地组或运行需管理员权限的程序。本质是绕路，不解决根本问题。
