网络安全系列之三十一 组策略中的用户权限分配

在Win2003系统中打开组策略编辑器，展开【计算机配置\Windows设置\安全设置\本地策略\用户权限分配】。

通过用户权限分配，可以为某些用户和组授予或拒绝一些特殊的权限，如关闭系统、更改系统时间、拒绝本地登录、允许在本地登录等。

常用的用户权限分配策略主要有以下几个：

（1）“从网络访问此计算机”

默认情况下任何用户都可以从网络访问计算机，可以根据实际需要撤销某用户或某组用户从网络访问计算机的权限。

（2）“拒绝从网络访问这台计算机”

如果某些用户只在本地使用，不允许其通过网络访问此计算机，就可以将该用户加入此策略中。

（3）“允许在本地登录”

此登录权限确定了可交互式登录到该计算机的用户，要在计算机所连接的键盘上按Ctrl+Alt+Del组合键登录，就需要用户拥有此登录权限。另外，一些能使用户进行登录的服务或管理应用程序可能也需要此登录权限。

（4）“拒绝本地登录”

此安全设置确定拒绝哪些用户登录到该计算机。如果一个用户账户既出现在“允许在本地登录”列表中，又在“拒绝本地登录”列表中，那么将以拒绝优先。

（5）“关闭系统”

如果希望普通用户具有关闭计算机的权限，可以将其加入该项设置。

可以看到，users组并没有关机的权限，如果希望某个普通用户能够关机，只要将该用户添加到此项设置中即可。