UAC 与管理员批准模式
UAC 的核心是「管理员批准模式」：管理员登录时拿到两个令牌——一个是完整的，另一个是过滤后的标准用户令牌，日常程序以前者运行，需要提升时才用完整令牌并弹出确认框。这样既保留了管理员能力，又让大多数程序默认以受限身份运行。它不是权限边界，而是「减少误操作与静默提权」的机制；把它关掉并不会获得更强安全性，只会让所有进程都以完整管理员权限运行。
基本信息
| 适用平台 | Windows Vista 及以后（含 10/11、Server） |
|---|---|
| 注册表位置 | HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System |
| 关键值 | EnableLUA（总开关）、ConsentPromptBehaviorAdmin（管理员提权提示行为）、ConsentPromptBehaviorUser（标准用户提权行为）、PromptOnSecureDesktop（是否使用安全桌面） |
| 组策略路径 | 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项 → 用户账户控制系列 |
| 默认状态 | EnableLUA=1、ConsentPromptBehaviorAdmin=5、PromptOnSecureDesktop=1 |
| 权限要求 | 修改需要管理员；域环境通常由策略统一下发 |
典型使用场景
- 现象解释：为什么管理员账户运行某些操作仍提示需要提权
- 脚本排障：脚本在计划任务里运行正常、在交互会话里失败，确认是否与提权状态有关
- 安全基线核查：检查是否有人把提权提示改成静默，属于安全弱化项
- 应用兼容：老程序写入受保护目录被虚拟化重定向，需要理解 UAC 虚拟化行为
- 权限边界理解：区分「管理组成员」与「当前进程已提权」这两个不同状态
常用示例
常用示例
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' |
Select-Object EnableLUA, ConsentPromptBehaviorAdmin, ConsentPromptBehaviorUser, PromptOnSecureDesktop # 查看当前配置
# 判断当前进程是否已提权
([Security.Principal.WindowsPrincipal][Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)
whoami /groups | Select-String -Pattern 'Administrators' # 已启用=已提权；仅用于拒绝=过滤令牌
# 策略侧（域环境）
# Get-GPOReport 或 gpedit.msc 核对「用户账户控制: 管理员批准模式中管理员的提升提示行为」提权提示行为取值
| ConsentPromptBehaviorAdmin | 行为 | 安全评估 |
|---|---|---|
| 0 | 直接提升，不提示 | 静默提权，明显弱化，应核查 |
| 1 | 在安全桌面输入管理员凭据 | 最严格，适合高安全要求环境 |
| 2 | 在安全桌面仅确认同意 | 对应界面最高档「始终通知」 |
| 5 | 非 Windows 二进制才提示（默认） | 默认值，日常干扰最小 |
| 4 / 3 | 在普通桌面确认或输入凭据 | 弱化安全桌面保护，易被伪造窗口欺骗 |
判断「是否已提权」的标准动作是查看令牌：whoami /groups 里 Administrators 显示「已启用」说明当前进程持有完整令牌；显示「仅用于拒绝」说明处于过滤状态。仅凭登录账户属于管理员组，无法判断当前进程的权限。
UAC 虚拟化会影响老程序：未声明清单的 32 位应用尝试写入受保护目录或注册表分支时，写入被重定向到用户的 VirtualStore 目录，看起来「保存成功」却找不到文件，排查时要去用户配置目录下的虚拟化位置找。
无人值守场景的替代方案
无人值守场景的替代方案
# 计划任务：勾选「使用最高权限运行」，避免依赖交互提权
# schtasks /Create /TN NightlyJob /TR "powershell.exe -NoProfile -File D:\ops\job.ps1" /SC DAILY /ST 02:00 /RU SYSTEM
# 查看任务是否以最高权限运行
Get-ScheduledTask -TaskName NightlyJob | Select-Object TaskName, @{n='RunLevel';e={$_.Principal.RunLevel}}
# 脚本内声明需要管理员（运行时直接报错而不是弹窗）
# 在脚本首行写：#Requires -RunAsAdministrator把 EnableLUA 设为 0（或界面上选「从不通知」）会削弱安全边界，并影响依赖 UAC 的组件（应用商店类应用、部分沙箱机制），生产与办公终端都不建议关闭。