刚接触Windows维护工作那会儿我以为“创建新用户账户”这事也就右键点两下、填个名字就完事。直到有一次帮同事处理电脑因为直接把账户建成了管理员权限第二天整个办公区的打印机共享全乱了我才意识到这个看似基础的操作背后其实是一整套权限模型和系统策略的取舍问题。今天就把我在Windows系统中创建新用户账户的完整思路、操作路径、命令行方案和踩坑记录整理出来希望可以帮到正在折腾这事的朋友。这篇文章主要讲清楚三件事什么时候该建什么类型的账户图形界面和命令行各自的高效操作方法以及账户创建之后跟权限、密码策略、安全日志相关的那些配套管理手段。无论是家用电脑给家人分配独立空间还是办公环境下批量开账号或者只是单纯想用一个标准用户账户来提升日常安全性这篇内容都适用。1. 先想明白你要建的是一个什么样的账户1.1 不同场景下用户账户的定位差异很多人一上来就点“创建用户”其实没想清楚要建的是“给谁用”的账户。家用场景下给老人或孩子建一个标准用户账户日常看视频、写文档、上网都够用还能避免他们无意间修改系统关键设置办公场景里如果是一台共用的电脑给不同成员建独立账户既方便保存各自的桌面配置和浏览器书签也为后续审计“谁在什么时候改了什么文件”留下依据还有一种情况是开发者或运维人员平时用普通账户工作遇到需要安装驱动、修改服务配置或者执行系统级操作时再通过UAC弹窗临时提升权限这也是我强烈推荐的日常用法。另外服务器场景下的账户创建逻辑又不一样。Windows Server上往往需要结合本地用户组、远程桌面用户组、委派权限等来进行更细致的规划这时候图形界面操作效率很低更适合直接用脚本批量处理。后面第四部分我会专门讲到安全日志的追踪方法在服务器上给谁放行、给谁禁用都会被记录在案这也是很多系统管理员容易忽略的部分。1.2 管理员账户、标准账户与内置账户的区别Windows系统里账户权限不是“有或没有”的关系而是通过用户组来分层管理的。默认情况下新建账户要么属于Administrators组要么属于Users组。管理员账户可以执行系统更新、修改注册表、安装或卸载软件、调整其他用户的权限标准用户只能改自己的账户设置、使用已经安装好的软件、访问自己有权限的文件夹。这里有一个特别容易忽略的点Windows还有一个名为Administrator的内置账户在很多简化版或经过定制的系统里这个账户是默认启用的。平时我不建议直接用它来做日常操作因为一旦所有操作都以最高权限运行恶意软件也会以同样高的权限运行后果比较严重。正规做法是保持内置Administrator处于禁用状态日常使用标准账户必要时通过UAC确认来提升权限。提示区分一个账户是否具备管理员权限不需要去看“我的电脑”属性。在命令行输入net localgroup administrators输出结果里列出的就是这台机器上所有管理员账户一目了然。1.3 微软账户与本地账户的选择逻辑Windows 10和Windows 11在安装过程中会一直引导你登录微软账户很多人因此忽略了本地账户的存在。两者区别在哪微软账户本质上是云端身份你的密码、BitLocker恢复密钥、OneDrive设置都可以同步到微软服务器上本地账户则只存在于当前这台电脑里密码散列值保存在本机SAM数据库中。我的建议是如果是自己长期使用的电脑且经常重装系统用微软账户会比较方便因为部分设置可以自动同步回来如果是公用电脑、临时测试机或者离线环境就用本地账户省去在线验证的烦恼。创建微软账户的过程其实也很简单选择“改用本地账户登录”会让你用现有微软账号去校验校验通过后就能重新设置一个仅在本地使用的用户名和密码。2. 图形界面创建用户三条路径与操作细节2.1 设置应用给新手最友好的入口在Windows 10和Windows 11的“设置 → 账户 → 家庭和其他用户”里点击“添加其他用户”系统会让你输入对方的微软账户邮箱。如果你要建的是本地账户就点击“我没有这个人的登录信息”然后在下一页选择“添加一个没有Microsoft账户的用户”再输入用户名和密码即可。这一步容易翻车的地方在于密码格式。Windows本地账户密码要求至少满足一定复杂度如果留空密码账户直接变成无密码状态后续在共享文件夹、远程桌面访问时可能会被系统策略拦下来。建议在建号时就设置一个不低于8位的密码最好包含数字和字母的组合。建号完成后还可以顺便点一下该用户旁边的“更改账户类型”把账户从“标准用户”切换为“管理员”。2.2 控制面板老人级入口但功能完整虽然微软一直在推动大家使用设置应用但控制面板里的“用户账户”管理入口仍然保留了完整功能。运行control userpasswords2可以打开一个额外的账户管理窗口这里不仅能创建用户还能勾选“要使用本计算机用户必须输入用户名和密码”并设置自动登录账户这是设置应用里没有的功能。控制面板路径适合在旧版Windows上操作也适合服务器系统里快速打开传统界面。需要提醒的是这个窗口的“用户”选项卡列表并不会显示所有隐藏账户所以如果你要管理的用户没有出现在列表里不要以为它不存在换个入口再查一下。2.3 计算机管理管理员维护的标配入口右键“此电脑”选择“管理”展开“本地用户和组 → 用户”或者直接在WinR运行框输入lusrmgr.msc这才是Windows真正面向管理员的用户管理界面。在这里可以新建用户、设置密码、禁用账户、查看账户所属组还能在“隶属于”选项卡里快速调整用户组关系。这个入口最实用的地方在于图形界面里不显示的隐藏账户也能在这里看到比如DefaultAccount、WDAGUtilityAccount之类的系统保留账户。如果你做系统安全巡检最稳的做法就是定期打开这个界面检查一下有没有莫名其妙多了不认识的账户。创建用户时我习惯把“用户下次登录时须更改密码”这一项勾掉否则第一次登录会强制改密码对家用的场景反而折腾。3. 命令行与PowerShell批量创建和自动化管理的正经方式3.1 最快的本地创建net user 命令如果只是临时建一个账户net user可能是最快的方法。打开管理员权限的命令提示符输入net user zhangsan Pssw0rd123 /add这就是创建了一个名为 zhangsan、密码为 Pssw0rd123 的本地账户默认隶属于Users组。如果想顺便加入管理员组再加一条net localgroup administrators zhangsan /add这条命令的特点是快、依赖少就算系统进入安全模式或恢复环境只要命令行能起来就能用它操作账户。但它的缺点也很明显不能设置账户过期时间、不能控制用户是否必须更改密码功能相对基础。3.2 PowerShell 的 New-LocalUser功能更细致的方案PowerShell里创建本地账户的命令是New-LocalUser用法如下New-LocalUser -Name lisi -FullName 李四 -Password (ConvertTo-SecureString Pssw0rd123 -AsPlainText -Force) -AccountNeverExpires注意几个参数-Password必须接收一个加密的SecureString对象所以直接传明文字符串会报错上面用ConvertTo-SecureString做了转换-AccountNeverExpires表示这个账户不会过期如果不加系统可能会根据域策略或本地策略自动设置账户有效期。还有个实用参数-UserMayNotChangePassword设置后用户无法自己修改密码适合用来管理一些服务账户或测试账户。创建完新用户之后再把它加入本地管理员组Add-LocalGroupMember -Group Administrators -Member lisi查看当前账户列表也可以直接用PowerShell来做Get-LocalUser它的输出会比图形界面更直接地展示账户的启用状态、描述和最后设置密码的时间。3.3 批量导入CSV创建账户办公网管的高效脚本如果你需要在十几台机器上创建同名账户或者一次性给部门几十个人开账号再一个一个敲命令就太浪费时间了。可以先把用户名、全名、初始密码、所属组写进一个CSV文件然后用PowerShell循环导入。假设有一个users.csv内容如下name,fullname,password,group zhangsan,张三,Pssw0rd1,Users lisi,李四,Pssw0rd2,Administrators wangwu,王五,Pssw0rd3,Users导入脚本可以写成Import-Csv .\users.csv | ForEach-Object { $securePass ConvertTo-SecureString $_.password -AsPlainText -Force New-LocalUser -Name $_.name -FullName $_.fullname -Password $securePass -AccountNeverExpires Add-LocalGroupMember -Group $_.group -Member $_.name }这个脚本我实际跑过很多次最大的提醒是CSV里不要放明文密码太久跑完之后记得删除文件或者用工具把文件加密存储。另外如果目标机器是Windows Server且启用了密码复杂度策略初始密码必须满足策略要求否则脚本会报错可以在脚本开头加一句检查密码复杂度的函数不合规的直接跳过并输出提示。3.4 远程执行和开机自动执行的扩展思路再进一步如果要对局域网内多台机器批量创建用户可以提前配置好WinRM服务然后用Invoke-Command在目标机器上执行上面的脚本。不过这个方案涉及WinRM的信任主机配置、防火墙端口设置以及凭证传递对网络环境要求较高很多机器默认是不开WinRM的需要先花时间打通环境。还有一种思路是把脚本做成计划任务开机时自动检测某些关键账户是否存在不存在就自动创建。这样的自动化做法适合用来保证用户环境一致性比如员工电脑每次登录都会使用标准账户如果管理员账户被意外删除下次开机计划任务会自动补回来。我自己并没有在普通办公场景强制推这个方案主要是怕脚本行为太隐蔽造成安全风险但在测试实验室环境里这确实能省不少事。4. 权限、密码策略与安全审计账户建完之后才是重头戏4.1 UAC 与权限提升的真实关系很多人对UAC用户账户控制的认知是“弹窗很烦”其实这个弹窗恰恰是Windows桌面系统最重要的安全边界之一。标准用户遇到需要管理员权限的操作时系统会弹出UAC提示要求输入管理员账户的密码管理员用户则只需要点击“是”。正是这层确认机制让恶意软件不能悄无声息地获得系统修改权限。实际使用中你会发现很多软件安装程序缺少管理员权限时会提示“写入失败”或“请求的操作需要提升”这时候不一定要直接给当前账户提权。更规范的做法是把当前账户保持在标准用户然后在需要时通过runas命令以管理员身份执行特定程序runas /user:administrator C:\path\to\setup.exe另外一点很多人不知道Windows的UAC有四个级别最高级别是在提升权限时强制在安全桌面上进行操作可以防止一部分恶意程序模拟点击。如果对安全要求比较高可以在“用户账户控制设置”里把级别拉到最高日常虽然会多一次屏幕变暗的确认但安全性的提升是实打实的。4.2 密码策略与账户锁定策略新用户创建只是起点密码策略才是账户安全的核心。在本地安全策略编辑器里运行secpol.msc找到“账户策略 → 密码策略”可以设置密码最小长度、密码复杂性要求、密码最长使用期限等。命令行下也有对应的工具net accounts。执行这条命令可以查看当前机器的密码和登录策略包括密码最长使用期限、最小密码长度、锁定阈值等net accounts如果想要设置最少要求8位密码可以用下面的命令net accounts /minpwlen:8不过net accounts管理的粒度比较粗只影响本地账户且不会立即使已存在的弱密码失效。更精细的做法是在组策略里配置“密码必须满足复杂性要求”并启用“账户锁定阈值”例如设置连续输错5次密码就锁定账户15分钟这能在一定程度上防止暴力破解。4.3 用事件日志追踪账户创建和登录行为账户创建之后建议开启安全审计。开启方式是在组策略里设置“审核登录事件”和“审核账户管理”或者用命令行auditpol /set /subcategory:用户账户管理 /success:enable /failure:enable auditpol /set /subcategory:登录 /success:enable /failure:enable开启之后所有跟账户相关的重要操作都会写入Windows安全日志。常见的事件ID如下事件ID含义4624登录成功4625登录失败4720创建用户账户4722启用用户账户4725禁用用户账户4726删除用户账户查看这些日志的方式是运行eventvwr.msc在“Windows日志 → 安全”里筛选事件ID。比如你想知道某台机器上什么时候创建过新用户就筛4720事件事件的常规信息选项卡里会显示执行该操作的操作者以及新的账户名。这对事后追踪“这个账户是谁建的、什么时候建的”非常关键。注意默认情况下Windows的安全日志不是无限增长的达到上限后如果未配置“按需覆盖”新的事件可能写不进去。建议在事件日志属性里把“日志最大大小”调大并选择“按日志大小覆盖事件”或“归档日志不要覆盖事件”。4.4 用户账户的禁用、删除与隐藏有些人喜欢通过注册表或工具把指定账户从登录界面隐藏。比如修改HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList添加一个DWORD值键名是用户名数值为0就能让该账户不出现在登录界面。但注意这只是界面隐藏账户本身依然存在通过CtrlAltDel切换用户或远程桌面登录时输入用户名仍然可以登录。隐藏账户适合配合安全策略使用而不是安全手段本身。如果账户不再使用建议先执行net user 用户名 /active:no禁用而不是直接删除。因为一旦删除该账户在系统里的配置文件、证书、加密文件都将无法通过常规方式访问。只有在确认无用之后才删除删除操作同样会记录在4726事件中。5. 常见问题与排查技巧实录5.1 账户操作中的高频报错速查现象原因解决方法提示“拒绝访问”或“拒绝创建”当前命令窗口不是管理员权限用管理员身份重新打开CMD或PowerShellnet user 创建成功但无法登录密码不满足复杂度要求在组策略中调整密码策略或用更复杂的密码提示“指定的登录会话不存在”账户已被禁用或过期用管理员账户执行net user 用户名 /active:yes新建账户无法安装软件账户是标准用户在UAC提示时输入管理员密码或将该账户加入管理员组系统里看不到新增的本地账户设置应用默认显示微软账户打开lusrmgr.msc确认账户登录后桌面文件是空的该账户首次登录生成的是临时配置文件检查系统盘用户目录下是否生成了新的账户文件夹5.2 忘记了新建账户的密码怎么办这个问题分两种情况。情况一你忘记的是一个普通标准用户的密码但手头还有管理员账户那很简单用管理员身份打开CMD执行net user 用户名 新密码直接重置密码即可。情况二你忘记的是唯一的本地管理员账户密码那就麻烦一些。如果没有密码重置盘也没登录微软账户做云端校验通常只能通过Windows恢复环境中的命令提示符来操作或者借助另一台电脑制作启动修复工具。重置密码时需要注意的一点是Net User重置的是本地账户密码不会影响该用户的加密文件系统EFS密钥、个人证书以及保存的WiFi密码等这些信息用了旧的DPAPI保护。遇到这种情况要格外小心。提前的预防措施是创建密码重置盘这在控制面板的用户账户窗口里就有入口Windows 10/11虽然藏得比较深但仍然是家庭用户最稳妥的容灾手段。5.3 新建的管理员账户为什么没有管理员权限这是我见过最高频的问题之一。用户说“我把账户加进管理员组了怎么安装软件还是提示没有权限”实际上要确认“加到组里”是否真的生效最快的方法是用这个账户重新登录系统然后打开命令提示符输入whoami /groups如果输出里能看到“强制令牌级别”包含“高”那说明这个账户确实具备管理员级别。如果看到的是“中等”那就说明当前这个命令窗口不是提升权限运行的需要右键用管理员身份运行。还有一种可能某些组织策略禁用了所有管理员账户的UAC提升权限。如果注册表里EnableLUA被设置为0那么即使你的账户在管理员组UAC也不会弹窗但很多系统组件默认仍然以标准权限运行会造成“我是管理员但什么都装不了”的奇怪状态。5.4 域环境与本地账户的根本区别如果你是Windows域环境的管理员那新建域用户的方法是“Active Directory 用户和计算机”它在服务器端统一管理账户本地电脑上一般不建用户。域用户和本地用户的区别在于域用户凭证由域控制器校验可以做到同一个人在不同电脑上用同一密码登录而本地账户只存在于单机上密码也只在单机上校验。很多网管容易在域环境里犯的错是在域用户登录的电脑上又建一个同名本地管理员账户导致远程协助或审计时无法精确锁定操作者身份。域环境下加本地管理员通常需要通过“受限组”策略下发给多台机器或者使用LAPS管理本地管理员密码而不是手动去每一台机器上点“添加用户”。6. 一些我个人的操作习惯与建议我自己的电脑上一直保持“标准用户日常使用管理员账户按需提升”的模式。刚开始确实会觉得每装一次软件都要输入一次管理员密码很繁琐但习惯了之后会明显感觉到系统更稳定而且Windows安全日志的记录也会清晰许多。每次发生疑似误操作或异常登录的情况我都能快速从事件ID为4624的日志里找到答案这种“可追溯”的状态对排障非常有帮助。另外我一般会在创建完账户之后顺手执行一次whoami和net user 当前用户名来确认账户状态还会花十秒钟把账户描述写清楚比如“2024年入职测试机专用”。描述这个东西平时不起眼但只要机器一多你就能体会到它带来的便利。最后再分享一个小技巧如果你经常在一台机器上切换多个账户可以在运行框输入netplwiz在弹出的窗口里勾选或取消“要使用本计算机用户必须输入用户名和密码”再按CtrlAltDelete切换用户。配合Windows Terminal里保存好的PowerShell快速启动页日常管理账户的效率会提升很多。
Windows创建新用户账户全指南：从图形界面到命令行与安全策略
刚接触Windows维护工作那会儿我以为“创建新用户账户”这事也就右键点两下、填个名字就完事。直到有一次帮同事处理电脑因为直接把账户建成了管理员权限第二天整个办公区的打印机共享全乱了我才意识到这个看似基础的操作背后其实是一整套权限模型和系统策略的取舍问题。今天就把我在Windows系统中创建新用户账户的完整思路、操作路径、命令行方案和踩坑记录整理出来希望可以帮到正在折腾这事的朋友。这篇文章主要讲清楚三件事什么时候该建什么类型的账户图形界面和命令行各自的高效操作方法以及账户创建之后跟权限、密码策略、安全日志相关的那些配套管理手段。无论是家用电脑给家人分配独立空间还是办公环境下批量开账号或者只是单纯想用一个标准用户账户来提升日常安全性这篇内容都适用。1. 先想明白你要建的是一个什么样的账户1.1 不同场景下用户账户的定位差异很多人一上来就点“创建用户”其实没想清楚要建的是“给谁用”的账户。家用场景下给老人或孩子建一个标准用户账户日常看视频、写文档、上网都够用还能避免他们无意间修改系统关键设置办公场景里如果是一台共用的电脑给不同成员建独立账户既方便保存各自的桌面配置和浏览器书签也为后续审计“谁在什么时候改了什么文件”留下依据还有一种情况是开发者或运维人员平时用普通账户工作遇到需要安装驱动、修改服务配置或者执行系统级操作时再通过UAC弹窗临时提升权限这也是我强烈推荐的日常用法。另外服务器场景下的账户创建逻辑又不一样。Windows Server上往往需要结合本地用户组、远程桌面用户组、委派权限等来进行更细致的规划这时候图形界面操作效率很低更适合直接用脚本批量处理。后面第四部分我会专门讲到安全日志的追踪方法在服务器上给谁放行、给谁禁用都会被记录在案这也是很多系统管理员容易忽略的部分。1.2 管理员账户、标准账户与内置账户的区别Windows系统里账户权限不是“有或没有”的关系而是通过用户组来分层管理的。默认情况下新建账户要么属于Administrators组要么属于Users组。管理员账户可以执行系统更新、修改注册表、安装或卸载软件、调整其他用户的权限标准用户只能改自己的账户设置、使用已经安装好的软件、访问自己有权限的文件夹。这里有一个特别容易忽略的点Windows还有一个名为Administrator的内置账户在很多简化版或经过定制的系统里这个账户是默认启用的。平时我不建议直接用它来做日常操作因为一旦所有操作都以最高权限运行恶意软件也会以同样高的权限运行后果比较严重。正规做法是保持内置Administrator处于禁用状态日常使用标准账户必要时通过UAC确认来提升权限。提示区分一个账户是否具备管理员权限不需要去看“我的电脑”属性。在命令行输入net localgroup administrators输出结果里列出的就是这台机器上所有管理员账户一目了然。1.3 微软账户与本地账户的选择逻辑Windows 10和Windows 11在安装过程中会一直引导你登录微软账户很多人因此忽略了本地账户的存在。两者区别在哪微软账户本质上是云端身份你的密码、BitLocker恢复密钥、OneDrive设置都可以同步到微软服务器上本地账户则只存在于当前这台电脑里密码散列值保存在本机SAM数据库中。我的建议是如果是自己长期使用的电脑且经常重装系统用微软账户会比较方便因为部分设置可以自动同步回来如果是公用电脑、临时测试机或者离线环境就用本地账户省去在线验证的烦恼。创建微软账户的过程其实也很简单选择“改用本地账户登录”会让你用现有微软账号去校验校验通过后就能重新设置一个仅在本地使用的用户名和密码。2. 图形界面创建用户三条路径与操作细节2.1 设置应用给新手最友好的入口在Windows 10和Windows 11的“设置 → 账户 → 家庭和其他用户”里点击“添加其他用户”系统会让你输入对方的微软账户邮箱。如果你要建的是本地账户就点击“我没有这个人的登录信息”然后在下一页选择“添加一个没有Microsoft账户的用户”再输入用户名和密码即可。这一步容易翻车的地方在于密码格式。Windows本地账户密码要求至少满足一定复杂度如果留空密码账户直接变成无密码状态后续在共享文件夹、远程桌面访问时可能会被系统策略拦下来。建议在建号时就设置一个不低于8位的密码最好包含数字和字母的组合。建号完成后还可以顺便点一下该用户旁边的“更改账户类型”把账户从“标准用户”切换为“管理员”。2.2 控制面板老人级入口但功能完整虽然微软一直在推动大家使用设置应用但控制面板里的“用户账户”管理入口仍然保留了完整功能。运行control userpasswords2可以打开一个额外的账户管理窗口这里不仅能创建用户还能勾选“要使用本计算机用户必须输入用户名和密码”并设置自动登录账户这是设置应用里没有的功能。控制面板路径适合在旧版Windows上操作也适合服务器系统里快速打开传统界面。需要提醒的是这个窗口的“用户”选项卡列表并不会显示所有隐藏账户所以如果你要管理的用户没有出现在列表里不要以为它不存在换个入口再查一下。2.3 计算机管理管理员维护的标配入口右键“此电脑”选择“管理”展开“本地用户和组 → 用户”或者直接在WinR运行框输入lusrmgr.msc这才是Windows真正面向管理员的用户管理界面。在这里可以新建用户、设置密码、禁用账户、查看账户所属组还能在“隶属于”选项卡里快速调整用户组关系。这个入口最实用的地方在于图形界面里不显示的隐藏账户也能在这里看到比如DefaultAccount、WDAGUtilityAccount之类的系统保留账户。如果你做系统安全巡检最稳的做法就是定期打开这个界面检查一下有没有莫名其妙多了不认识的账户。创建用户时我习惯把“用户下次登录时须更改密码”这一项勾掉否则第一次登录会强制改密码对家用的场景反而折腾。3. 命令行与PowerShell批量创建和自动化管理的正经方式3.1 最快的本地创建net user 命令如果只是临时建一个账户net user可能是最快的方法。打开管理员权限的命令提示符输入net user zhangsan Pssw0rd123 /add这就是创建了一个名为 zhangsan、密码为 Pssw0rd123 的本地账户默认隶属于Users组。如果想顺便加入管理员组再加一条net localgroup administrators zhangsan /add这条命令的特点是快、依赖少就算系统进入安全模式或恢复环境只要命令行能起来就能用它操作账户。但它的缺点也很明显不能设置账户过期时间、不能控制用户是否必须更改密码功能相对基础。3.2 PowerShell 的 New-LocalUser功能更细致的方案PowerShell里创建本地账户的命令是New-LocalUser用法如下New-LocalUser -Name lisi -FullName 李四 -Password (ConvertTo-SecureString Pssw0rd123 -AsPlainText -Force) -AccountNeverExpires注意几个参数-Password必须接收一个加密的SecureString对象所以直接传明文字符串会报错上面用ConvertTo-SecureString做了转换-AccountNeverExpires表示这个账户不会过期如果不加系统可能会根据域策略或本地策略自动设置账户有效期。还有个实用参数-UserMayNotChangePassword设置后用户无法自己修改密码适合用来管理一些服务账户或测试账户。创建完新用户之后再把它加入本地管理员组Add-LocalGroupMember -Group Administrators -Member lisi查看当前账户列表也可以直接用PowerShell来做Get-LocalUser它的输出会比图形界面更直接地展示账户的启用状态、描述和最后设置密码的时间。3.3 批量导入CSV创建账户办公网管的高效脚本如果你需要在十几台机器上创建同名账户或者一次性给部门几十个人开账号再一个一个敲命令就太浪费时间了。可以先把用户名、全名、初始密码、所属组写进一个CSV文件然后用PowerShell循环导入。假设有一个users.csv内容如下name,fullname,password,group zhangsan,张三,Pssw0rd1,Users lisi,李四,Pssw0rd2,Administrators wangwu,王五,Pssw0rd3,Users导入脚本可以写成Import-Csv .\users.csv | ForEach-Object { $securePass ConvertTo-SecureString $_.password -AsPlainText -Force New-LocalUser -Name $_.name -FullName $_.fullname -Password $securePass -AccountNeverExpires Add-LocalGroupMember -Group $_.group -Member $_.name }这个脚本我实际跑过很多次最大的提醒是CSV里不要放明文密码太久跑完之后记得删除文件或者用工具把文件加密存储。另外如果目标机器是Windows Server且启用了密码复杂度策略初始密码必须满足策略要求否则脚本会报错可以在脚本开头加一句检查密码复杂度的函数不合规的直接跳过并输出提示。3.4 远程执行和开机自动执行的扩展思路再进一步如果要对局域网内多台机器批量创建用户可以提前配置好WinRM服务然后用Invoke-Command在目标机器上执行上面的脚本。不过这个方案涉及WinRM的信任主机配置、防火墙端口设置以及凭证传递对网络环境要求较高很多机器默认是不开WinRM的需要先花时间打通环境。还有一种思路是把脚本做成计划任务开机时自动检测某些关键账户是否存在不存在就自动创建。这样的自动化做法适合用来保证用户环境一致性比如员工电脑每次登录都会使用标准账户如果管理员账户被意外删除下次开机计划任务会自动补回来。我自己并没有在普通办公场景强制推这个方案主要是怕脚本行为太隐蔽造成安全风险但在测试实验室环境里这确实能省不少事。4. 权限、密码策略与安全审计账户建完之后才是重头戏4.1 UAC 与权限提升的真实关系很多人对UAC用户账户控制的认知是“弹窗很烦”其实这个弹窗恰恰是Windows桌面系统最重要的安全边界之一。标准用户遇到需要管理员权限的操作时系统会弹出UAC提示要求输入管理员账户的密码管理员用户则只需要点击“是”。正是这层确认机制让恶意软件不能悄无声息地获得系统修改权限。实际使用中你会发现很多软件安装程序缺少管理员权限时会提示“写入失败”或“请求的操作需要提升”这时候不一定要直接给当前账户提权。更规范的做法是把当前账户保持在标准用户然后在需要时通过runas命令以管理员身份执行特定程序runas /user:administrator C:\path\to\setup.exe另外一点很多人不知道Windows的UAC有四个级别最高级别是在提升权限时强制在安全桌面上进行操作可以防止一部分恶意程序模拟点击。如果对安全要求比较高可以在“用户账户控制设置”里把级别拉到最高日常虽然会多一次屏幕变暗的确认但安全性的提升是实打实的。4.2 密码策略与账户锁定策略新用户创建只是起点密码策略才是账户安全的核心。在本地安全策略编辑器里运行secpol.msc找到“账户策略 → 密码策略”可以设置密码最小长度、密码复杂性要求、密码最长使用期限等。命令行下也有对应的工具net accounts。执行这条命令可以查看当前机器的密码和登录策略包括密码最长使用期限、最小密码长度、锁定阈值等net accounts如果想要设置最少要求8位密码可以用下面的命令net accounts /minpwlen:8不过net accounts管理的粒度比较粗只影响本地账户且不会立即使已存在的弱密码失效。更精细的做法是在组策略里配置“密码必须满足复杂性要求”并启用“账户锁定阈值”例如设置连续输错5次密码就锁定账户15分钟这能在一定程度上防止暴力破解。4.3 用事件日志追踪账户创建和登录行为账户创建之后建议开启安全审计。开启方式是在组策略里设置“审核登录事件”和“审核账户管理”或者用命令行auditpol /set /subcategory:用户账户管理 /success:enable /failure:enable auditpol /set /subcategory:登录 /success:enable /failure:enable开启之后所有跟账户相关的重要操作都会写入Windows安全日志。常见的事件ID如下事件ID含义4624登录成功4625登录失败4720创建用户账户4722启用用户账户4725禁用用户账户4726删除用户账户查看这些日志的方式是运行eventvwr.msc在“Windows日志 → 安全”里筛选事件ID。比如你想知道某台机器上什么时候创建过新用户就筛4720事件事件的常规信息选项卡里会显示执行该操作的操作者以及新的账户名。这对事后追踪“这个账户是谁建的、什么时候建的”非常关键。注意默认情况下Windows的安全日志不是无限增长的达到上限后如果未配置“按需覆盖”新的事件可能写不进去。建议在事件日志属性里把“日志最大大小”调大并选择“按日志大小覆盖事件”或“归档日志不要覆盖事件”。4.4 用户账户的禁用、删除与隐藏有些人喜欢通过注册表或工具把指定账户从登录界面隐藏。比如修改HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList添加一个DWORD值键名是用户名数值为0就能让该账户不出现在登录界面。但注意这只是界面隐藏账户本身依然存在通过CtrlAltDel切换用户或远程桌面登录时输入用户名仍然可以登录。隐藏账户适合配合安全策略使用而不是安全手段本身。如果账户不再使用建议先执行net user 用户名 /active:no禁用而不是直接删除。因为一旦删除该账户在系统里的配置文件、证书、加密文件都将无法通过常规方式访问。只有在确认无用之后才删除删除操作同样会记录在4726事件中。5. 常见问题与排查技巧实录5.1 账户操作中的高频报错速查现象原因解决方法提示“拒绝访问”或“拒绝创建”当前命令窗口不是管理员权限用管理员身份重新打开CMD或PowerShellnet user 创建成功但无法登录密码不满足复杂度要求在组策略中调整密码策略或用更复杂的密码提示“指定的登录会话不存在”账户已被禁用或过期用管理员账户执行net user 用户名 /active:yes新建账户无法安装软件账户是标准用户在UAC提示时输入管理员密码或将该账户加入管理员组系统里看不到新增的本地账户设置应用默认显示微软账户打开lusrmgr.msc确认账户登录后桌面文件是空的该账户首次登录生成的是临时配置文件检查系统盘用户目录下是否生成了新的账户文件夹5.2 忘记了新建账户的密码怎么办这个问题分两种情况。情况一你忘记的是一个普通标准用户的密码但手头还有管理员账户那很简单用管理员身份打开CMD执行net user 用户名 新密码直接重置密码即可。情况二你忘记的是唯一的本地管理员账户密码那就麻烦一些。如果没有密码重置盘也没登录微软账户做云端校验通常只能通过Windows恢复环境中的命令提示符来操作或者借助另一台电脑制作启动修复工具。重置密码时需要注意的一点是Net User重置的是本地账户密码不会影响该用户的加密文件系统EFS密钥、个人证书以及保存的WiFi密码等这些信息用了旧的DPAPI保护。遇到这种情况要格外小心。提前的预防措施是创建密码重置盘这在控制面板的用户账户窗口里就有入口Windows 10/11虽然藏得比较深但仍然是家庭用户最稳妥的容灾手段。5.3 新建的管理员账户为什么没有管理员权限这是我见过最高频的问题之一。用户说“我把账户加进管理员组了怎么安装软件还是提示没有权限”实际上要确认“加到组里”是否真的生效最快的方法是用这个账户重新登录系统然后打开命令提示符输入whoami /groups如果输出里能看到“强制令牌级别”包含“高”那说明这个账户确实具备管理员级别。如果看到的是“中等”那就说明当前这个命令窗口不是提升权限运行的需要右键用管理员身份运行。还有一种可能某些组织策略禁用了所有管理员账户的UAC提升权限。如果注册表里EnableLUA被设置为0那么即使你的账户在管理员组UAC也不会弹窗但很多系统组件默认仍然以标准权限运行会造成“我是管理员但什么都装不了”的奇怪状态。5.4 域环境与本地账户的根本区别如果你是Windows域环境的管理员那新建域用户的方法是“Active Directory 用户和计算机”它在服务器端统一管理账户本地电脑上一般不建用户。域用户和本地用户的区别在于域用户凭证由域控制器校验可以做到同一个人在不同电脑上用同一密码登录而本地账户只存在于单机上密码也只在单机上校验。很多网管容易在域环境里犯的错是在域用户登录的电脑上又建一个同名本地管理员账户导致远程协助或审计时无法精确锁定操作者身份。域环境下加本地管理员通常需要通过“受限组”策略下发给多台机器或者使用LAPS管理本地管理员密码而不是手动去每一台机器上点“添加用户”。6. 一些我个人的操作习惯与建议我自己的电脑上一直保持“标准用户日常使用管理员账户按需提升”的模式。刚开始确实会觉得每装一次软件都要输入一次管理员密码很繁琐但习惯了之后会明显感觉到系统更稳定而且Windows安全日志的记录也会清晰许多。每次发生疑似误操作或异常登录的情况我都能快速从事件ID为4624的日志里找到答案这种“可追溯”的状态对排障非常有帮助。另外我一般会在创建完账户之后顺手执行一次whoami和net user 当前用户名来确认账户状态还会花十秒钟把账户描述写清楚比如“2024年入职测试机专用”。描述这个东西平时不起眼但只要机器一多你就能体会到它带来的便利。最后再分享一个小技巧如果你经常在一台机器上切换多个账户可以在运行框输入netplwiz在弹出的窗口里勾选或取消“要使用本计算机用户必须输入用户名和密码”再按CtrlAltDelete切换用户。配合Windows Terminal里保存好的PowerShell快速启动页日常管理账户的效率会提升很多。
