什么给予用户登录Windows的权限？

Question

我是Windows的新手，希望有人确认我对用户登录到Windows2008Windows域的R2服务器所需的权限的理解是否正确：

1. 管理员组中的任何人都可以在服务器上或通过远程mstsc窗口通过在登录窗口中指定他们的用户名实际登录到服务器。
2. 管理员组可以完成其他组所能做的一切。
3. 远程桌面组中的任何人都可以从客户端计算机上运行mstsc，并在屏幕上查看服务器的日志。
4. 用户组中的任何人都可以在其登录屏幕上登录到服务器上。

因此，以下场景是正确的：

1. 用户DOMAIN\JOHN位于DOMAIN\SERVER1组上的远程桌面用户中，而不是该服务器上的用户组中。用户DOMAIN\JANE在“用户组”中，而不在“远程桌面用户组”中。
   • John可以从DOMAIN\PC1以DOMAIN\JOHN身份启动mstsc，他将看到登录屏幕，但是不能像DOMAIN\JOHN那样登录，也不能以DOMAIN\JANE登录。

2. 用户DOMAIN\JAMES位于“DOMAIN\SERVER1上的管理员组”中，但不在“用户”或“远程桌面用户组”中。他将能够在DOMAIN\SERVER1上从DOMAIN\PC2作为DOMAIN\JAMES启动mstsc会话，并将登录屏幕和登录名为DOMAIN\JAMES。
3. 用户DOMAIN\JACK在DOMAIN\SERVER1上的“用户组”中，而不在“远程桌面用户组”中。Jack可以访问服务器，但只能通过物理访问服务器本身(因为他无法通过RDP访问服务器)。
4. 用户DOMAIN\JILL登录到DOMAIN\PC1中，运行mstsc，在mstsc的登录设置中输入用户名DOMAIN\JOHN，查看服务器登录屏幕并输入DOMAIN\JANE，然后出现服务器桌面。

对不起，如果这看起来很琐碎，但这是我的理解，从一点阅读，这将是很好的，如果有人可以确认我是否正确。

Answer 1

这要看情况了.

您的问题的答案取决于您正在考虑的用户和组是否具有登录计算机所需的用户权限。

通过两个组策略设置控制登录Windows的权限。它们都位于：

Computer Configuration/Policies/Windows Settings/Security Settings/Local Policies/User Rights Assignment

如果您正在编辑本地组策略 (相对于域GP)，则可以在以下位置找到这些设置：

Local Policies/User Rights Assignment

这两个设置及其函数如下：

1。“允许本地登录”

根据TechNetTechNet的说法：

此策略设置确定哪些用户可以在计算机上启动交互式会话。

换句话说，这控制谁可以通过计算机的“物理”控制台登录。对于虚拟机，这将是通过虚拟机管理接口进行的登录。

上述文章证实，建立远程桌面会话不需要此权限：

没有此权限的用户如果拥有“允许通过远程桌面服务登录”权限，仍可以在计算机上启动远程交互会话。

除非计算机是域成员或域控制器计算机：

用户必须拥有此用户在基于Windows的成员计算机或域控制器上运行的远程桌面服务或终端服务会话上登录的权限。

2.“允许通过远程桌面服务登录”

根据TechNetTechNet的说法：

此策略设置确定哪些用户或组可以通过远程桌面服务连接访问远程计算机的登录屏幕。用户可以建立到特定服务器的远程桌面服务连接，但无法登录到同一服务器的控制台。

用户可能能够建立远程桌面会话但不能登录到控制台的原因是，控制台需要“允许本地登录”权限，如上所述，在所有情况下都不需要远程登录。

上面链接的TechNet文章解释了默认情况下为这些登录权限分配了哪些用户和组。但是，通过编辑这两个可以更改的设置。正因为如此，问题的答案取决于您的服务器(以及它所在的域)是如何配置的。