登录权限分配的作用
用户权限分配决定谁可以用什么方式登录。拒绝交互式登录与拒绝远程交互式登录是最直接的收敛手段：服务账号不需要交互登录就拒绝它，普通办公账号不该用远程桌面就拒绝它。拒绝权限的优先级高于允许权限，所以这是最省事的加固点，同时也是最容易把自己锁在门外的地方。
基本信息
| 加固项 | 登录权限收敛 |
|---|---|
| 适用平台 | Windows（本地策略与 AD） |
| 常用权限 | SeDenyInteractiveLogonRight、SeDenyRemoteInteractiveLogonRight |
| 核查方式 | secedit 导出策略文件，或用 GPO 报表查看 |
| 高风险操作 | 把管理组加入拒绝本地登录 |
| 风险等级 | 中 |
典型使用场景
- 服务账号：禁止交互式登录与远程桌面登录，缩小被滥用面
- 办公终端：限制哪些账户可以使用远程桌面
- 跳板机：只允许运维组远程登录，其他账户一律拒绝
- 合规核查：登录权限分配是否有明确口径与文档
- 离职与转岗：及时从允许列表中移除不再需要的账户
核查现有分配
核查现有分配
# 导出本地安全策略并查看登录权限相关项
secedit /export /cfg C:\temp\secpol.inf /quiet
Select-String -Path C:\temp\secpol.inf -Pattern 'SeDenyInteractiveLogonRight|SeDenyRemoteInteractiveLogonRight|SeInteractiveLogonRight|SeRemoteInteractiveLogonRight'
# 当前账户的登录相关权限（辅助参考，覆盖范围有限）
whoami /priv | Select-String 'SeInteractiveLogonRight|SeRemoteInteractiveLogonRight'四类登录权限
| 权限 | 含义 | 典型配置 |
|---|---|---|
| SeInteractiveLogonRight | 允许本地登录 | 默认包含 Administrators 与 Users |
| SeRemoteInteractiveLogonRight | 允许远程桌面登录 | 收紧到管理组 |
| SeDenyInteractiveLogonRight | 拒绝本地登录 | 用于服务账号与特权账号 |
| SeDenyRemoteInteractiveLogonRight | 拒绝远程桌面登录 | 用于普通办公账号 |
拒绝权限优先于允许：同一账号同时出现在允许与拒绝列表时以拒绝为准，这正是最容易锁死自己的地方。
域环境统一在 GPO 中分配，本地修改只在工作组机器上有效，排查“改了没效果”要先看域策略。
不要把管理组加入拒绝本地登录，否则本机的管理入口会被彻底切断，只能走恢复手段。