Windows 用户同时属于管理员组和用户组的后果？

Question

当我将新用户添加到 Windows（7 或 Server 2k8）并使其成为管理员组的成员时，保留或删除用户成员身份有关系吗？大多数时候我删除用户成员资格，因为它看起来多余，但这有关系吗？

Answer 1

这很重要，因为拒绝特权优先于允许。如果您的用户对任何内容具有拒绝权限，则他们的管理员成员资格将不允许他们访问该资源。您可以通过创建拒绝权限来列出文件夹的内容来测试用户，您将看到以下警告对话框：

---------------------------
Security
---------------------------
You are setting a deny permissions entry. Deny entries take precedence over allow entries. This means that if a user is a member of two groups, one that is allowed a permission and another that is denied the same permission, the user is denied that permission.

Do you want to continue?

---------------------------
Yes   No   
---------------------------

因此，除非您计划从不向用户分配拒绝，否则请从用户组中删除管理员。