需创建自定义用户组以实现权限精细化管理，如Finance_Restricted或Remote_Support组，避免直接赋予管理员权限的安全风险；可通过图形界面（lusrmgr.msc）或命令行（net localgroup）创建并维护，并结合NTFS/共享权限及内置组（如Remote Desktop Users）分配最小必要权限。
为什么需要自定义用户组
系统内置的 administrators、users 等组虽能满足基础需求，但实际管理中常面临权限颗粒度粗、角色不匹配的问题。比如财务人员需访问特定共享文件夹但不能装软件，it支持人员要远程协助却无需修改系统设置——这时创建如 finance_restricted 或 remote_support 这类自定义组，就能把权限精准“打包”，避免给用户直接加管理员身份带来的安全风险。
图形界面创建自定义组（推荐新手）
适用于 Windows 专业版/企业版，操作直观且可同步配置成员：
- 按 Win + R 输入 lusrmgr.msc 回车，打开「本地用户和组」管理控制台
- 左侧点开 组，右侧空白处右键 → 新建组
- 填写有意义的组名（如 Project_Team_A），加上简明描述（如“负责A项目文档与协作工具访问”）
- 点击 添加，输入已有用户名或点击 高级 → 立即查找 从列表选择，确认后加入
- 勾选 创建后关闭，完成创建
命令行快速创建与维护（适合批量或脚本）
以管理员身份运行 CMD 或 PowerShell，效率高、可复用：
- 创建组：net localgroup Project_Team_A /add
- 添加用户：net localgroup Project_Team_A alice /add
- 一次加多个：net localgroup Project_Team_A bob /add && net localgroup Project_Team_A charlie /add
- 查看组成员：net localgroup Project_Team_A
- 移出用户：net localgroup Project_Team_A alice /delete
后续权限分配才是关键
建好组只是第一步，必须赋予实际权限才能生效：
- 对文件夹右键 → 属性 → 安全 → 编辑 → 添加，输入组名并勾选对应权限（如“读取&执行”“写入”）
- 若需远程桌面权限，将该组加入内置的 Remote Desktop Users 组（在 lusrmgr.msc 中双击该组 → 添加）
- 不建议直接修改内置组权限，应通过自定义组+NTFS或共享权限组合实现最小权限原则
