net localgroup 是什么
net localgroup 用来查看本地组与组成员，并向组里增删成员。Windows 的权限主要授予组而不是单个账号，因此把账号加进什么组，基本决定了它能做什么：加入 Administrators 就成为本机管理员，加入 Remote Desktop Users 才能远程桌面登录。
基本信息
| 适用平台 | Windows（CMD） |
|---|---|
| 语法 | net localgroup 列出所有组；net localgroup 组名 看成员；net localgroup 组名 账号 /add 或 /delete |
| 常用组 | Administrators、Remote Desktop Users、Users、Performance Monitor Users |
| 权限要求 | 查看一般用户即可，增删成员需要管理员权限 |
| 结构化替代 | Get-LocalGroup 与 Add-LocalGroupMember，便于脚本判断 |
典型使用场景
- 巡检本机有哪些管理员，确认没有被暗中提权
- 给运维账号授予远程桌面登录权限
- 把监控账号加入性能监视器组，才能采集计数器
- 移除离职或调岗人员遗留的组成员身份
- 排查权限问题时确认账号是否属于预期的组
常用示例
常用示例
REM 列出本机所有本地组
net localgroup
REM 查看某个组的成员
net localgroup Administrators
net localgroup "Remote Desktop Users"
REM 添加成员
net localgroup Administrators ops01 /add
net localgroup "Remote Desktop Users" ops01 /add
REM 移除成员
net localgroup Administrators ops01 /delete
REM 结构化写法，便于脚本巡检
powershell -c "Get-LocalGroupMember -Group Administrators | Select-Object Name, ObjectClass, PrincipalSource"常用组与作用
| 组名 | 作用 | 说明 |
|---|---|---|
| Administrators | 本机最高权限 | 加入即等同本地管理员 |
| Remote Desktop Users | 允许远程桌面登录 | 只给登录权，不含管理员权限 |
| Users | 标准用户 | 新建本地账号默认加入 |
| Performance Monitor Users | 允许采集性能计数器 | 监控脚本常用 |
| Backup Operators | 具备备份还原相关特权 | 权限较大，按需授予 |
组成员变更后，已经登录的会话不会立即刷新访问令牌，用户通常需要注销并重新登录才能获得新权限，远程会话同样如此。
往 Administrators 组加人等于授予本机最高权限，属于实质性的权限变更，必须先确认授权并留下记录。加错组就是一次越权事故。