不能通过“windows 设置”界面直接限制系统组件访问权限，需使用dcomcnfg.exe、services.msc、secpol.msc等专用工具分层配置dcom、服务账户、文件系统及网络策略。
不能通过“windows 设置”界面直接限制系统组件（如 dcom、wmi、服务进程等）的访问权限。这些底层组件的权限控制依赖于 windows 安全子系统，需使用专用管理工具或底层配置方式，而非隐私设置或应用权限开关。
系统组件权限不由“设置 > 隐私”管理
Windows 设置中的“隐私 & 安全性”仅控制 UWP 应用和部分现代应用对相册、位置、文件系统等用户数据的访问请求。它不涉及：
- DCOM 对象的启动/访问权限（如 WMI、Excel.Application）
- Windows 服务运行账户与登录权限（如 SQL Server、Print Spooler）
- NTFS 级系统目录（如 WindowsApps、System32、注册表 AppID 项）的访问控制
- 本地安全策略或组策略中定义的“拒绝从网络访问此计算机”等系统级访问限制
真正起效的限制方式是使用专业管理工具
要限制系统组件行为，必须进入对应层级进行精确配置：
-
DCOM 组件：以管理员身份运行
dcomcnfg.exe→ “我的电脑”属性 → 分别配置“默认属性”（启用 DCOM、认证级别）和“默认安全性”（启动/访问权限），再对具体组件（如 WinMgmt）单独设置“安全性”与“身份标识” -
Windows 服务：使用“服务”管理控制台（
services.msc）或 SQL Server 配置管理器修改登录身份；配合本地安全策略（secpol.msc）限制服务账户的“作为服务登录”、“调试程序”等特权 -
系统文件与注册表：通过文件夹“属性 → 安全 → 高级”获取所有权、禁用继承、手动添加最小权限条目；注册表中需接管
HKEY_CLASSES_ROOT\AppID\{GUID}的所有权后才能修改 DCOM 组件权限 - 网络级访问控制：在“高级安全 Windows 防火墙”中封禁 RPC 端口（TCP 135 + 动态端口段），或通过组策略禁用远程 DCOM 激活
误操作风险高，需严格遵循最小权限原则
随意开放“Everyone”或 SYSTEM 全控权限、勾选“远程激活”却不设访问限制、将 DCOM 组件身份设为 Administrator，都可能引发横向移动风险或服务崩溃。典型错误包括：
- 只配了“访问权限”，漏掉“启动和激活权限”，导致客户端连得上但调用失败
- 未禁用继承就直接编辑权限，上级策略覆盖后限制失效
- 用普通用户权限打开 dcomcnfg，导致所有“安全性”选项卡灰色不可用
- 修改 WindowsApps 权限时误加 Everyone 完全控制，破坏系统应用沙箱机制
本质上，系统组件权限不是靠“开关”限制，而是靠分层授权模型实现——从通信协议（DCOM/RPC）、执行上下文（服务账户）、资源访问（NTFS/注册表）到网络边界（防火墙/GPO）逐级收紧。没有捷径，也不能跳过任一环节。
