windows权限最小化是让每个主体仅拥有必要权限，通过gpo统一配置密码策略（≥12位、≤90天、历史5次）、账户锁定（5次失败锁30分钟）、服务dacl细化、组基ntfs授权、登录方式限制等实现。
windows 权限最小化不是“关掉所有权限”，而是让每个用户、服务和进程只拥有完成本职任务所必需的那部分权限。组策略（gpo）是实现这一目标最有效、最可扩展的手段，尤其在域环境中。
密码与账户策略：从源头收紧身份控制
弱口令和宽松的账户策略是权限失控的第一道缺口。通过 GPO 统一配置，能快速堵住这类基础风险：
- 密码策略中启用“密码必须符合复杂性要求”，最短长度设为 ≥12 位，最长使用期限 ≤90 天，历史记录保留 ≥5 次；
- 账户锁定策略设为：错误尝试达 5 次即锁定，持续时间 30 分钟，计数器复位时间同步设为 30 分钟；
- 这些设置位于：计算机配置 → Windows 设置 → 安全设置 → 账户策略，作用于整个 OU 下的计算机，无需逐台操作。
服务权限精细化：不靠禁用，而靠授权
限制用户查看或管理某项服务，关键不是把它“禁用”，而是修改它的安全描述符（DACL）。例如想让普通域用户看不到 Print Spooler：
- 先确认服务名称（如 Spooler）和显示名称（如 “Print Spooler”），可用
sc qc Spooler验证； - 在 GPO 中导航至：计算机配置 → 策略 → Windows 设置 → 安全设置 → 系统服务；
- 找到该服务 → 双击 → 勾选“定义此策略设置” → 点击“编辑安全性”；
- 移除 Users 或 Authenticated Users 的“读取”“查询状态”权限，仅保留 Administrators 或指定运维组的必要权限；
- 配合“用户权限分配”中的“拒绝从网络访问此计算机”，可进一步阻断远程服务查看路径。
文件与共享权限：用组代替用户授权
直接给用户设 NTFS 权限是管理噩梦，也违背最小权限原则。正确做法是分层抽象：
- 创建职能明确的安全组，如 Finance-Read、Dev-FullControl；
- 在文件服务器上，对文件夹仅赋予这些组权限，不添加任何个人账户；
- 用户权限通过其所属组自动继承，增删人员只需调整组成员，不碰 ACL；
- 共享权限应设为 Everyone – 读取 或更严格，实际访问控制交由 NTFS 权限完成，避免双重权限叠加导致越权。
登录与交互权限：控制“能在哪里做什么”
很多越权行为始于登录方式本身。GPO 可精确约束用户能以何种方式接入系统：
- 在 用户权限分配 中，将普通用户从“允许通过远程桌面服务登录”列表中移除，仅保留 Remote Desktop Users 或管理员组；
- 对高敏感服务器，可显式将非运维人员加入“拒绝本地登录”和“拒绝从网络访问此计算机”；
- 若用户需运行特定管理工具（如 services.msc），但不应拥有完整管理员权限，可为其分配“调试程序”“备份文件和目录”等细粒度权限，而非直接加进 Administrators 组。
