登录范围限制是什么
登录时间与工作站限制把账号的可用范围从「任意时间任意机器」收缩为「规定时段加规定主机」。本地账号用 net user 的 /time 与 /workstations 参数设置，AD 账号对应 logonHours 与 LogonWorkstations 属性。它缩小的是账号被滥用之后的可用窗口，属于降低影响面的措施，不能替代强认证与最小权限。
基本信息
| 加固项 | 登录时段与来源主机限制 |
|---|---|
| 适用平台 | Windows 本地账号与 AD 账号 |
| 风险等级 | 低 |
| 基线 | 按岗位收敛登录时段与工作站 |
| 生效时机 | 在下一次登录时判定 |
典型使用场景
- 外协与临时账号：把登录时段限制在工作时间范围内
- 专用管理账号：限制为只能从指定管理主机登录
- 合规核查：证明特权账号的登录范围有明确约束
- 事件缓解：账号疑似泄露时先收缩时段与来源，再执行改密
- 岗位调整：人员转岗后同步更新限制，避免权限长期超配
设置与核查
设置与核查
# 本地账号：时段与工作站限制
net user svc-demo /time:M-F,08:00-19:00
net user svc-demo /workstations:WS-001,WS-002
net user svc-demo # 回读确认当前设置
# AD 账号：logonHours 为按小时计算的位图，LogonWorkstations 为允许列表
Set-ADUser -Identity 'contractor1' -LogonHours ([byte[]](1..8 | ForEach-Object {0xFF}))
Set-ADUser -Identity 'contractor1' -LogonWorkstations 'WS-001,WS-002'两项限制怎么读
| 项 | 含义 | 注意点 |
|---|---|---|
| logonHours | 允许登录的时段位图 | 按 UTC 解释，时区换算容易出错 |
| LogonWorkstations | 允许登录的工作站列表 | 不在列表内的机器直接登录失败 |
| net user /time | 本地账号的时段设置 | 语法形如 M-F,08:00-19:00 |
| 到期后的会话 | 已建立的会话是否中断 | 默认不中断，网络会话需另配选项 |
VPN 与多云接入会让登录时间的语义弱化：先以实际登录日志核对时段，再收紧，避免误伤正常加班与远程值守。
限制只在下次登录时判定：已在线的会话不会被自动中断，紧急处置要配合强制注销或断开会话。