我如何处理本地“管理员”帐户

Question

让我们以域中的计算机 A 为例。这台电脑有2个“管理员”登录账号，“管理员”和“域\管理员”

他们有多不同？

用域管理员或计算机管理员操作计算机，我的操作有什么区别吗？这里的最佳做法是什么？保留两个？

Answer 1

任何 Windows 计算机 (*) 都有一个本地用户数据库，其中包含本地用户帐户和本地组；这些用户帐户可以根据其权限在计算机上执行操作（登录、启动程序、配置设置...），但在其他任何地方都无效，因为它们只存在于该计算机上。

任何域都有一个域用户数据库，其中包含（除其他外）域用户帐户、域组和域计算机。当一台计算机加入域时，域用户就成为该计算机上的有效用户，他们可以根据自己的权限对其进行操作；默认权限如下：

• 所有域用户都是域组“域用户”的成员。
• 所有域管理员都是域组“域管理员”的成员。
• 域组“域用户”是每台域计算机上本地“用户”组的成员。
• 域组“域管理员”是每台域计算机上本地“管理员”组的成员。

这意味着，根据默认设置，域用户是每台域计算机上的有效用户，域管理员对所有这些计算机都具有管理权限。

当您使用本地帐户时，您只能根据您的权利在本地系统上操作。
当您使用域帐户时，您可以根据您的权限对所有域计算机（例如打开网络共享、运行远程管理工具等）和域本身（例如配置用户帐户、策略等）进行操作。

(*) 域控制器是唯一的例外，因为它们没有本地用户数据库；他们只适用于域用户和组。