本地用户与组账户的管理每一位用户要使用计算机前都必须登录该计算机，而登录时必须输入有效的用户账户与密码。另外，若我们能够善于利用组来管理用户权限，则必定能够减轻许多网络管理的负担。 内置的本地账户 本地用户账户的管理 密码的修改、备份与还原 本地组账户的管理

4.1 内置的本地账户我们在第1章内介绍过每一台Windows计算机都有一个本地安全账户数据库(SAM)，用户在使用计算机前都必须登录该计算机，也就是要提供有效的用户账户与密码，而这个用户账户就是建立在本地安全账户数据库内的，这个账户被称为本地用户账户。同理，建立在本地安全账户数据库内的组被称为本地组账户。4.1.1 内置的本地用户账户Windows Server 2012 R2内置了两个用户账户： Administrator(系统管理员)：它拥有较高的权限，你可以利用它来管理计算机，例如建立/修改/删除用户与组账户、设置安全策略、建立打印机、设置用户权限等。你无法将此账户删除，不过为了更安全起见，建议将其改名。 Guest(来宾)：它是供没有账户的用户来临时使用的，它只有很少的权限。你可以更改其名称，但无法将其删除。此账户默认是被停用的。4.1.2 内置的本地组账户系统内置了许多本地组，它们本身都已经被赋予一些权利(rights)与权限(permissions)，以便让它们具备管理本地计算机或访问本机资源的能力。只要用户账户被加入本地组内，此用户账户就会具备该组所拥有的权限。下面列出一些常用的本地组。 Administrators：此组内的用户具备系统管理员的权限，它们拥有对这台计算机较大的控制权，可以执行计算机的全部管理工作。内置的系统管理员Administrator就是隶属于此组，而且无法将它从此组内删除。 Backup Operators：此组内的用户可以通过Windows Server Backup工具来备份与还原计算机内的文件，不论它们是否有权限访问这些文件。 Guests：此组内的用户无法长期改变其桌面的工作环境，当他们登录时，系统会为他们建立一个临时的用户配置文件(见第9章的说明)，而注销时此配置文件就会被删除。此组默认的成员为用户账户Guest。 Network Configuration Operators：此组内的用户可以执行常规的网络设置工作，例如修改IP地址，但是不可安装、删除驱动程序与服务，也不可执行与网络服务器设置有关的工作，例如DNS服务器与DHCP服务器的设置。 Performance Monitor Users：此组内的用户可监视本地计算机的运行性能。 Power Users：为了简化组，这个在旧版Windows系统存在的组准备要被淘汰了，Windows Server 2008(含)之后的系统虽然还保留这个组(以便维持与旧版Windows系统的兼容性)，不过并没有像旧版系统一样被赋予较多的特殊权限，也就是它的权限并没有比一般用户多。 Remote Desktop Users：此组内的用户可以从远程计算机利用远程桌面服务登录。 Users：此组内的用户只拥有一些基本权限，例如执行应用程序、使用本地与网络打印机、锁定计算机等，但是他们不能将文件夹共享给网络上其他的用户、不能将计算机关机……所有新增的本地用户账户都会自动隶属于此组。4.1.3 特殊组账户除了前面所介绍的组之外，Windows Server 2012 R2内还有一些特殊组，而且你无法更改这些组的成员。下面列出几个较常见到的特殊组。 Everyone：任何一个用户账户都属于这个组。若Guest账户被启用，则你在指派权限给Everyone时需小心，因为若一个在你计算机内没有账户的用户通过网络来登录你的计算机，他会被自动允许利用Guest账户来连接，此时因为Guest也隶属于Everyone组，所以他将具备Everyone所拥有的权限。 Authenticated Users：任何一个利用有效用户账户来登录此计算机的用户都隶属于此组。 Interactive：任何一个在本机登录(按Ctrl Alt Del 组合键登录)的用户都隶属于此组。 Network：任何一个通过网络来登录此计算机的用户都隶属于此组。 Anonymous Logon：任何一个未利用有效的用户账户登录的用户(匿名用户)都隶属于此组。Anonymous Logon默认并不隶属于Everyone组。 Dialup：任何一个利用拨接方式来连接的用户都隶属于此组。4.2 本地用户账户的管理系统默认只有Administrators组内的用户才有权利来管理用户与组账户，因此需要利用隶属于此组的Administrator账户登录来执行以下工作。4.2.1 建立本地用户账户我们可以利用本地用户和组来建立本地用户账户：[按Windows键?切换到开始菜单?管理工具?计算机管理?系统工具?本地用户和组?如图4-2-1所示，右击用户?新用户?在新用户界面中输入用户的相关数据?单击创建按钮]。 图4-2-1 你也可以通过[按Windows键?切换到开始菜单?控制面板?用户账户]来管理用户账户。 用户名：用户登录时需输入的账户名称。 全名、描述：用户的完整名称、用来描述此用户的说明性文字。 密码、确认密码：设置用户账户的密码。所输入的密码会改为黑点来显示，以避免被旁人看到。你必须再一次输入密码来确认所输入的密码是正确的。 (1)英文字母大小写被视为不同的内容，例如abc12#与ABC12#是不同的密码。另外，若密码为空白，则系统默认此用户账户只能够执行本地登录，无法通过网络登录(无法从其他计算机利用此账户来联机)。(2)若设有密码，则默认的情况下用户的密码必须至少为6个字符，且不能包含用户账户名称或全名，并且至少要包含A~Z、a~z、0~9、非字母数字(例如!、$、#、%)4组字符中的3组，例如12abAB是一个有效的密码，而123456则是无效的密码。 用户下次登录时须更改密码：在下次登录时，系统会强迫用户修改密码，这个操作可以确保只有该用户知道自己修改过的密码。 若该用户是要通过网络来登录的话，请勿勾选此选项，否则用户将无法登录，因为用户网络登录时无法修改密码。 用户不能更改密码：可以防止用户修改密码。若没有勾选此选项，用户可以在登录后通过[按 Ctrl Alt Del 组合键 ? 修改密码]的途径来修改自己的密码。 密码永不过期：系统默认42天后会要求用户修改密码，若勾选此选项，则系统永远不会要求该用户修改密码(42天默认值可通过账户策略来修改，见第10章)。 账户已禁用：可以防止用户利用此账户登录，例如你预先为新进员工所建立的账户，但该员工尚未报到，或某个请长假员工的账户，都可以利用此处暂时将账户禁用。被禁用的账户前面会有一个向下的箭头(↓)符号。用户账户建立好后，先注销，再在图4-2-2中单击新账户，以便练习利用此账户来登录。完成练习后，再注销，改用Administrator登录。 图4-2-24.2.2 修改本地用户账户使用鼠标右键单击用户账户，然后通过弹出的快捷菜单中的选项来设置，如图4-2-3所示： 设置密码：用来修改用户的密码(请参阅4.3节的说明)。 删除、重命名：既可以删除不需要的账户，也可以修改用户的账户名称，不过请注意以下说明。系统会为每一个用户账户建立一个的安全标识符(security identifier，SID，由一串英文字母和数字组成的序列)，在系统内部就是利用SID来代表该用户的。例如，文件权限列表内是通过SID来记录该用户具备何种权限，而不是通过用户账户名称来记录的。不过为了便于查看这些列表，当我们通过文件资源管理器来查看时，系统所显示的仍是用户账户名称。当你将账户删除后，即使再新建一个名称相同的账户，系统也会给予这个新账户一个新SID，与原账户的SID不同，因此这个新账户不会拥有原账户的权限。若是重命名，由于SID不会改变，因此用户原来所拥有的权限不会受到影响。例如当某员工离职时，你可以暂时先将用户账户禁用，等到新进员工来接替他的工作时，再将此账户修改为新员工的名称，重新设置密码与相关的用户信息。 图4-2-3若要修改用户账户的其他相关数据，则可[使用右击用户账户?属性]。4.2.3 控制面板内的用户账户管理工具你也可以通过[按Windows键?切换到开始菜单?控制面板?用户账户?用户账户?管理其他账户(参见图4-2-4)]的方法管理用户账户。它与前面所使用的本地用户和组各有特色。 图4-2-44.3 密码的修改、备份与还原本地用户要修改密码时，可以在登录完成后按 Ctrl Alt Del 键，然后在图4-3-1中单击更改密码。 图4-3-1若用户在登录时忘记密码而无法登录时该怎么办呢？他应该事先制作一个密码重置盘(在密码忘记时会派用上场)。4.3.1 创建密码重置盘你可以使用可移动磁盘(下面以U盘为例)或软盘来制作密码重置盘。 请在计算机上插入已经格式化的U盘(或软盘)，若尚未格式化，请先[打开文件资源管理器?使用鼠标右键单击U盘(或软盘)?格式化]。 登录完成后，[按 Ctrl Alt Del 键?单击更改密码?单击图4-3-2中的创建密码重置盘]。 图4-3-2 你也可以通过[按Windows键?切换到开始菜单?控制面板?用户账户?用户账户?单击左侧的创建密码重置盘]的方法创建密码重置盘。 从图4-3-3中的说明可知密码重置盘制作完成之后，无论修改过多少次密码，都不需要再重新制作密码重置盘，单击下一步按钮。 图4-3-3 请保管好密码重置盘，因为任何人得到它都可以重设你的密码，进而访问你的私密数据。 在图4-3-4中选择利用U盘或软盘驱动器。 图4-3-4 在图4-3-5中输入当前的密码，单击下一步按钮，完成后续的步骤。 若你之前已经制作过密码重置盘，则系统会警告你之前那个磁盘将无法再使用。若所放入的磁盘已经是一片密码重置盘，则系统会警告你该磁盘内现有的密码信息将被覆盖。 图4-3-54.3.2 重设密码若用户在登录时忘记密码，此时可以利用前面所制作的密码重置盘来重新设定一个新密码，操作步骤如下所示。 在登录、输入错误的密码后，单击图4-3-6中的重置密码。 图4-3-6 在出现的欢迎使用重置密码向导界面中单击下一步按钮。 在图4-3-7中选择并插入U盘(或软盘)后单击下一步按钮。 图4-3-7 在图4-3-8中设置新密码，确认密码与密码提示，单击下一步按钮。 图4-3-8 继续完成之后的步骤并利用新密码登录。4.3.3 未制作密码重置盘怎么办若用户忘记了密码，也未事先制作密码重置盘，此时需请系统管理员为用户设置新密码(无法查出旧密码)：[按Windows键?切换到开始菜单?系统管理工具?计算机管理?系统工具?本地用户和组?用户?选中用户账户后右击?设置密码]，之后会出现如图4-3-9所示的警告信息，提醒你应该在用户没有制作密码重置盘的情况下使用这种方法，因为通过此种方法将用户的密码改变后有些受保护的数据将无法再访问这些数据了，例如被用户加密的文件、利用用户的公钥加密过的电子邮件、用户存储在本地计算机内用来连接Internet的密码等。 图4-3-9 若你就是系统管理员Administrator，既忘记了密码，也未制作密码重置盘，该怎么办？请利用另外一个具备系统管理员权限的用户账户(隶属于Administrators组)来登录与修改Administrator的密码，但是要记得事先建立这个具备系统管理员权限的用户账户，以备不时之需。4.4 本地组账户的管理身为系统管理员的你，如果能够善用组来管理用户账户的权限，就一定能够减轻许多管理负担。举例来说，当你针对业务部设置权限后，业务部内的所有用户都会自动拥有此权限，不需要逐个单独设置。建立本地组账户的方法为：[按Windows键?切换到开始菜单?系统管理工具?计算机管理?如图4-4-1所示，选中组，右击?新建组]。 图4-4-1接着在图4-4-2的界面中，[设置该组的名称(例如业务部)?单击添加按钮来将用户加入此组?单击创建按钮]。 图4-4-2以后若要再将其他用户账户加入此组，[双击此组?单击添加按钮]，或是[双击用户账户?隶属于?单击添加按钮]。