secedit 是什么
secedit 是 Windows 自带的安全策略命令行工具，可以把本机安全策略导出为 inf 模板（便于审计取证与差异比对），也可以导入加固模板批量生效。域环境里它同样有用：静态分析本机策略与域 GPO 的差异时，导出的 inf 比逐条点开图形界面可靠得多。
基本信息
| 适用平台 | Windows Server / Windows 10+（需管理员权限） |
|---|---|
| 核心参数 | /export 导出、/configure 导入、/areas 指定策略区域 |
| 常见区域 | SECURITYPOLICY、GROUP_MGMT、USER_RIGHTS、FILESTORE、REGKEYS |
| 高风险点 | /areas 不写表示处理全部区域 |
典型使用场景
- 基线核查取证：把当前安全策略导出成 inf 并留档，作为整改前的原始状态
- 批量加固：把经过评审的模板导入一批机器，避免逐台点选
- 差异比对：同一批机器导出多份 inf，用文本比对找出配错的机器
- 域成员机排查：确认本地策略是否被域 GPO 覆盖，导出结果可与 gpresult 交叉验证
导出当前策略
导出当前策略
# 建立取证目录
mkdir C:\sec-baseline -Force | Out-Null
# 只导出安全策略区域，缩小改动面
secedit /export /cfg C:\sec-baseline\current.inf /areas SECURITYPOLICY
# 查看导出结果
Select-String -Path C:\sec-baseline\current.inf -Pattern 'MinimumPasswordLength|LockoutBadCount'导入加固模板
导入加固模板
# 先备份，再审阅 harden.inf 内容，最后才导入
secedit /export /cfg C:\sec-baseline\before.inf /areas SECURITYPOLICY
secedit /configure /db C:\sec-baseline\secedit.sdb /cfg C:\sec-baseline\harden.inf /areas SECURITYPOLICY
gpupdate /force
secedit /export /cfg C:\sec-baseline\after.inf /areas SECURITYPOLICY参数逐项读法
| 参数 | 作用 | 注意点 |
|---|---|---|
| /export | 把策略导出为 inf 文本 | 只导不写，属于安全检查动作 |
| /configure | 把 inf 导入本机策略库 | 会覆盖对应区域，务必先导出备份 |
| /areas | 限定处理的策略区域 | 省略该参数表示处理全部区域，风险显著提高 |
| /db | 指定策略数据库文件路径 | 重复导入建议复用同一 db 以便追踪 |
| /validate | 只校验不应用 | 适合在测试环境预演模板语法 |
导入会覆盖对应策略区域：务必先 /export 备份现状；域成员机上本地策略可能被域 GPO 覆盖，最终生效值要以 gpresult /h 或再次导出的结果为准。
导入后部分策略需要重启或重新登录才生效：验收要按策略类型分别确认，把「命令执行成功」当成「配置生效」是常见的复核漏洞。