如果我的帐户是管理员组的成员，为什么我需要以管理员身份运行命令？

Question

如果我的帐户已经是管理员组的成员，为什么 Windows 7 上的某些功能需要我以管理员身份运行它们？我有点认为这是暗示？

Answer 1

当您成功登录到 Windows 计算机时，将生成代表该登录会话的访问令牌。除其他外，此令牌包含您的用户名和您所属的组。

您在该会话期间启动的所有程序都引用了此令牌。当程序想要做某事时，它会向 Windows 提供访问令牌，Windows 使用它来验证用户是否有权执行该操作。

这样做的问题是，当您以管理员身份登录时，您启动的每个程序都以管理员身份运行。这很方便，但也意味着邮件阅读器、文本编辑器以及您下载和运行的每个随机程序都可以根据需要来控制您的系统。

这是用户帐户控制旨在解决的问题。

启用 UAC 后，管理员登录时会分配两个单独的访问令牌：

在正常使用期间，使用标准访问令牌。当使用此令牌启动程序时，它具有与标准用户相同的权限。如果它尝试执行只有管理员才能访问的操作，Windows 将拒绝访问，因为标准令牌不包含管理员成员身份。

如果您以“管理员身份”启动程序，Windows 会为程序提供提升的令牌而不是标准令牌。现在，每当应用程序尝试访问仅限于管理员的内容时，令牌将包含该成员资格并且操作将成功。

UAC 的目的是减少对您的计算机进行管理控制的程序数量。文本编辑器和邮件阅读器通常不需要以管理员身份运行，因此看到这些程序的 UAC 对话框应该引起警报，或者至少进行一些审查。

Answer 2

这个想法是提供最少的权限。

最小特权原则被广泛认为是增强数据和功能免受故障（容错）和恶意行为（计算机安全）保护的重要设计考虑因素。

使用管理凭据运行的程序越多，您就越容易受到错误或恶意软件的攻击。允许您执行需要管理访问权限的事情而不执行具有该级别访问权限的所有操作的折衷方案是根据具体情况明确提示 - 仅仅因为您在管理组中并不意味着您想要提供您的每个程序以充分的行政权力使用。