内置组是权限的最小单位
Windows 的授权几乎都通过内置组完成：权限不是一个个授予用户，而是授予组，再把用户放进组。这样做的代价是「加一个人进组」这种动作看起来无害，实际可能一次放大很多权限。日常最容易出问题的几个组是 Administrators、Remote Desktop Users、Backup Operators、Users 与 Guests，理解它们的边界比记住几十个组名更有价值。
基本信息
| 适用平台 | Windows 客户端与服务器，本地组存在于每台机器上 |
|---|---|
| 查看全部 | net localgroup 或 Get-LocalGroup |
| 查看成员 | net localgroup "Administrators" 或 Get-LocalGroupMember -Group Administrators |
| 添加/移除 | Add-LocalGroupMember、Remove-LocalGroupMember（需管理员） |
| SID 稳定 | 内置组 SID 固定，如 S-1-5-32-544 为 Administrators，与语言的显示名无关 |
| 图形入口 | 计算机管理 → 本地用户和组（家庭版无此界面，可用命令） |
常用内置组速记
- Administrators：本机完整控制权，加人等于给整台机器的管理权限
- Remote Desktop Users：允许远程桌面登录，本身不含管理权限
- Backup Operators：可绕过文件权限做备份，等效全盘数据读取，审计重点
- Users：标准用户，日常办公使用，权限有限
- Guests：访客组，默认应保持禁用
- Remote Management Users：允许通过 WinRM 远程管理连接
- Event Log Readers：可读取事件日志，排障与审计常用
- Power Users：历史遗留组，现代系统上已无实际特权
常用示例
常用示例
net localgroup # 列出所有本地组
net localgroup "Administrators" # 查看管理员组成员
net localgroup "Remote Desktop Users" # 查看 RDP 组成员
net localgroup "Backup Operators" /add DOMAIN\opsbak # 加入域账户
net localgroup "Backup Operators" /delete DOMAIN\opsbak # 移除成员
whoami /groups | findstr /i "Backup" # 确认当前令牌里是否含该组
REM PowerShell 等价
REM Get-LocalGroup | Select-Object Name, SID
REM Get-LocalGroupMember -Group Administrators | Select-Object Name, ObjectClass, PrincipalSource内置组与 SID 对照
| 组 | SID | 能力要点 |
|---|---|---|
| Administrators | S-1-5-32-544 | 本机最高权限，含安装软件与改系统设置 |
| Users | S-1-5-32-545 | 标准权限，可运行常规程序 |
| Guests | S-1-5-32-546 | 极低权限，默认禁用 |
| Backup Operators | S-1-5-32-551 | 可绕过 ACL 读取/还原文件，等效全盘数据访问 |
| Remote Desktop Users | S-1-5-32-555 | 仅授予 RDP 登录权利 |
| Remote Management Users | S-1-5-32-580 | 允许 WinRM 远程管理 |
| Event Log Readers | S-1-5-32-573 | 可读取本地事件日志 |
中文系统里这些组显示为「管理员」「用户」「来宾」「备份操作员」等本地化名称，但 SID 固定不变。命令行里用英文组名通常仍可操作，脚本跨语言环境时应优先用 SID 或 -SID 参数而不是显示名。
把域组加入本机内置组要注意放大效应：加入后就等于该域组全体成员都获得本机相应权限，人员增减由域管理方控制，本机管理员往往会「失去掌控感」，所以要定期复核成员来源。
成员巡检与留档
成员巡检与留档
Get-LocalGroup | ForEach-Object {
[PSCustomObject]@{ Group = $_.Name; Members = (Get-LocalGroupMember -Group $_.Name -ErrorAction SilentlyContinue).Name -join '; ' }
} | Export-Csv D:\audit\local_groups.csv -Encoding UTF8 -NoTypeInformation # 全量成员留档
Get-LocalGroupMember -Group Administrators | Select-Object Name, PrincipalSource # 域账户与本地账户区分
Get-LocalUser | Where-Object Enabled | Select-Object Name, Enabled, LastLogon # 结合账户清单核对
whoami /groups | Select-String -Pattern 'Administrators|Backup' # 当前令牌核对Backup Operators 成员可绕过文件权限读取全盘数据，并且能用系统工具复制注册表配置单元等敏感内容。这个组的成员实质上等同于数据读取权限的持有者，属于重点审计对象。