本地组管理是什么
本地组是这台机器上的权限容器：管理员组、远程桌面用户组，以及为业务自建的应用运维组。PowerShell 的 LocalAccounts 模块覆盖了建组、加人、查人、移除、删组的完整生命周期。权限设计上有一条几乎通用的原则：把权限授予组，人员变动只改组成员，资源上的 ACL 长期保持稳定。
基本信息
| 适用平台 | Windows 10/11、Server 2016 及以后（LocalAccounts 模块） |
|---|---|
| 创建语法 | New-LocalGroup -Name x -Description '...' |
| 加入语法 | Add-LocalGroupMember -Group 组 -Member 成员 |
| 查看语法 | Get-LocalGroup；Get-LocalGroupMember -Group 组 |
| 移除语法 | Remove-LocalGroupMember -Group 组 -Member 成员 |
| 删除语法 | Remove-LocalGroup -Name 组（要求组内为空） |
典型使用场景
- 为业务系统建专用运维组，把权限挂到组上而不是个人
- 新同事入职时加入对应组，离职时移出，资源 ACL 不动
- 盘点谁能登录这台机器：检查远程桌面用户组成员
- 把域组加入本地组，实现跨机器统一的授权模型
- 清理历史遗留的个人授权，改为组授权
常用示例
常用示例
New-LocalGroup -Name 'AppOps' -Description '应用运维组' # 建组并写清用途
Add-LocalGroupMember -Group 'AppOps' -Member 'ops01' # 加本地账号
Add-LocalGroupMember -Group 'AppOps' -Member 'CORP\dl-appops' # 也可以加域组
Get-LocalGroupMember -Group 'AppOps' # 查看当前成员
Remove-LocalGroupMember -Group 'AppOps' -Member 'ops01' # 移出成员
Remove-LocalGroup -Name 'AppOps' # 组为空时才可删除
Get-LocalGroup | Select-Object Name, Description # 全量盘点常用本地组
| 组名 | 典型用途 | 风险提示 |
|---|---|---|
| Administrators | 本机最高权限 | 成员越多攻击面越大 |
| Remote Desktop Users | 允许远程桌面登录 | 常被忽略的横向入口 |
| Users | 普通交互登录 | 默认包含认证用户 |
| Backup Operators | 绕过 ACL 做备份 | 权限极高易被滥用 |
| Hyper-V Administrators | 管理虚拟化 | 按需授权 |
加进本地组的域组写法是 域\组名，日常维护时只要在域侧改成员，多台机器同时生效，比逐台维护本地成员省事得多。
删除组会让原本依赖它的权限条目变成无法解析的孤儿 SID，虽然会显示为看不懂的标识，但访问判断仍在生效，删组前要先把资源上的授权改到别处。
维护本地组时顺手写清楚 Description：内容包含用途、责任人和建立时间，后续盘点时一眼就能判断该不该留，也能省下大量“这个组是干什么的”式追问。