用户权利分配是什么
除了文件与注册表的访问权限，Windows 还有一套“用户权利（User Rights）”：允许本地登录、允许通过远程桌面登录、作为服务登录、拒绝本地登录等。它回答的是“这个账号能做某类操作吗”，而不是“能访问哪个文件”。两套体系经常被混淆，导致权限排查方向错误：文件权限都对，却因为缺少“允许本地登录”而登不进去。
基本信息
| 适用平台 | Windows 客户端与服务器 |
|---|---|
| 图形入口 | secpol.msc → 本地策略 → 用户权限分配 |
| 命令行导出 | secedit /export /cfg 路径（导出安全策略文本） |
| 域环境入口 | GPO：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 用户权限分配 |
| 常见权利 | SeInteractiveLogonRight、SeRemoteInteractiveLogonRight、SeServiceLogonRight、SeDenyNetworkLogonRight |
典型使用场景
- 服务启动失败：确认服务账号是否拥有“作为服务登录”权利
- 远程登录被拒：核对“允许通过远程桌面服务登录”的成员范围
- 安全加固：把交互式登录限制到指定组，减少本地登录面
- 应急排障：临时授予某账号本地登录以便进入系统处理故障
- 基线核查：导出策略文本，与标准配置逐项比对
常用示例
常用示例
:: 打开本地安全策略
secpol.msc
:: 导出包含权利分配的安全策略文本
secedit /export /cfg C:\temp\secpol.cfg
:: 在导出结果里查关键权利
findstr /i "SeInteractiveLogonRight SeRemoteInteractiveLogonRight SeServiceLogonRight" C:\temp\secpol.cfg
:: 拒绝类权利同样重要（能进但故意不让进）
findstr /i "SeDenyInteractiveLogonRight SeDenyNetworkLogonRight" C:\temp\secpol.cfg
:: 域环境下用 gpresult 确认最终生效的安全设置
gpresult /scope computer /h C:\temp\gpo.html /f常用权利速记
| 权利名 | 含义 | 典型问题 |
|---|---|---|
| SeInteractiveLogonRight | 允许本地/控制台登录 | 被移除后连本机都登不进去 |
| SeRemoteInteractiveLogonRight | 允许 RDP 登录 | 远程桌面被拒的常见原因 |
| SeServiceLogonRight | 允许以服务身份登录 | 服务启动报登录失败 |
| SeDenyNetworkLogonRight | 拒绝网络登录 | 用于封堵服务账号的网络访问 |
| SeBackupPrivilege | 备份文件与目录 | 可绕过 ACL，属高敏感权利 |
把“拒绝本地登录”加到管理员组或全员组，会导致控制台与远程都无法登录。修改前先确认不会把自己锁在外面，必要时保留一个已登录会话并在本地留应急预案。
域环境中本地策略与域 GPO 同时存在，域级安全设置通常优先级更高。排查“策略改了不生效”时，先确认当前生效值来自哪一层（本地策略还是域策略）。
“拒绝”类权利优先于“允许”类：同一账号既在允许列表又在拒绝列表时，结果是拒绝。这也是加了拒绝项后怎么调允许项都不生效的原因。