小编Aka*_*olo的帖子

让我们从设置场景开始——我是一名初级系统管理员，负责将公司过渡到“最低权限”模型。这包括从我们的用户中删除管理员权限，这些用户主要使用 Windows 10。

现在，用户（大部分）正在使用具有本地管理员权限的帐户。这显然很糟糕，我们正在努力改变它。我的 n+1 在去年进行了安全审计后提出的想法是拥有两种类型的用户：

• 第一种类型将失去管理员权限，并且在需要时会收到一个临时密码，用于在其计算机上具有管理员权限的帐户（使用 LAPS 一段时间后会过期）
• 第二种类型（与我的问题最相关）由开发人员组成——一些使用 Web 技术，但另一些使用一些非常低级的语言，并且需要半定期地与注册管理机构进行交互等等。
  这些人将拥有一个没有特权的普通帐户和一个管理员帐户（或“运行身份”帐户），他们将在需要以本地管理员身份运行内容时使用。这意味着每次 UAC 出现时都要输入登录名和密码以确认管理员权限的使用。由于显而易见的原因，此“运行方式”帐户将无法打开常规会话。

问题出在这些老派的开发人员身上。恐怕这会变成办公室政治问题，因为失去管理员权限可能会带来一些生产力损失（尤其是对于那些经常使用特权的人），更重要的是，会带来一些挫折。

我能理解他们来自哪里。作为开发人员在同一家公司工作，我觉得本地管理员很舒服。但是，我也熟悉安全问题，并且知道在工作站上担任管理员是一个很大的禁忌。

最近，我不得不向第二种类型的用户展示我们未来的计划。毋庸置疑，“老派”小组的首席开发人员对此并不满意，他问了一个很好的问题（尽管可能是出于对这种情况的狭隘观点），我还没有解决想出一个令人满意的答案。

如果不是本地管理员的目的是为了避免恶意软件的传播或入侵者利用漏洞的能力，那么运行需要特权的程序的用户作为这个“运行身份”管理员帐户和只是执行之间是否有真正的区别？它直接在受感染文件的 cas 中使用管理员帐户吗？
首席开发人员认为，这样的政策只不过是在浪费他们的时间，因为它会导致与首先成为本地管理员完全相同的安全漏洞。

这是准确的吗？我知道“2013 年披露的 92% 的关键 Microsoft 漏洞可以通过删除管理员权限来缓解” （SANS，2016 年，引用 Avecto 研究）和其他此类断言的说法，我真的觉得成为本地管理员是确实不是一个好主意，但我们的解决方案真的更好吗？

我们计划在不久的将来对新解决方案进行试驾，以评估潜在的生产力损失并确定我们是否需要找到另一个解决方案，恐怕首席开发人员和其他人很恼火通过这个想法会故意夸大其挫折。