Windows 帳號權力限制實戰 四大策略強化系統安全防線

防火牆與防毒軟體只是被動防禦，真正的系統安全始於「最小權限原則」。透過限制使用者帳號權力、隱藏管理員帳號、強制自動登入特定受限帳號，可大幅縮小攻擊面。本文詳細解析四大帳號管控策略，適用於 Windows 2000/XP/2003 獨立工作站與工作群組環境。

策略一：隱藏管理員帳號於歡迎畫面

保留「使用歡迎畫面」便利性，同時避免管理員帳號曝光。

1. 執行 regedit，定位 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList。
2. 右鍵新增 DWORD 值，名稱設為欲隱藏的帳號名稱（如 Administrator），數值資料設為 0。
3. 登出/重開機後，歡迎畫面不再顯示該帳號。

進階登入： 在歡迎畫面按兩次 Ctrl+Alt+Del 呼叫傳統「登入 Windows」對話框，輸入隱藏帳號與密碼即可登入。

限制： 隱藏帳號無法使用「快速使用者切換」，因雙按 Ctrl+Alt+Del 僅在無其他使用者登入時有效。

策略二：強制自動登入特定受限帳號

讓共用電腦開機直接進入低權限帳號，使用者無法存取其他帳號、亦無法猜測管理員密碼。

1. 執行 control userpasswords2 開啟「使用者帳號」對話框。
2. 取消勾選 「使用者必須輸入使用者名稱和密碼才能使用這台電腦」，按「確定」。
3. 彈出「自動登入」視窗，輸入欲自動登入的帳號名稱與密碼（建議建立一個僅具「使用者」權限的帳號，如 PublicUser）。
4. 按「確定」完成設定。

登錄微調（可選）： 於 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon 設定：

• AutoAdminLogon = 1（啟用自動登入）
• DefaultUserName、DefaultPassword、DefaultDomainName 對應帳號資訊。
• ForceAutoLogon = 1（強制自動登入，即使使用者登出也自動重新登入該帳號）。

策略三：限制本機原則 — 僅套用至非管理員

於工作群組環境，透過群組原則對象編輯器 (gpedit.msc) 設定限制性原則（如隱藏磁碟機、禁止執行特定程式、移除「執行」命令），再利用 Registry.pol 備份/還原技巧，使原則不套用至 Administrators 群組：

1. 以管理員登入，開啟 gpedit.msc 設定所需限制原則。
2. 登出，以各標準使用者登入一次，讓原則生效。
3. 再以管理員登入，複製 %SystemRoot%\System32\GroupPolicy\User\Registry.pol 至備份位置。
4. 重新開啟 gpedit.msc，將所有原則設為「未設定」（或啟用原本被禁用的功能），產生新的 Registry.pol（僅含管理員適用設定）。
5. 將備份的 Registry.pol 複製回原路徑覆蓋。
6. 登出並以管理員/標準使用者分別登入驗證：管理員無限制、標準使用者受限。

策略四：移除「執行」命令與命令提示字元存取

防止使用者透過 cmd、regedit、gpedit.msc 繞過限制。

• 使用者設定 → 系統管理範本 → 開始功能表與工作列 → 「從開始功能表移除『執行』命令」→ 已啟用。
• 使用者設定 → 系統管理範本 → 系統 → 「禁止存取命令提示字元」→ 已啟用（含禁用 .bat/.cmd 處理）。

結語

帳號權力管控是系統安全的基石。結合「隱藏高權限帳號」、「強制低權限自動登入」、「原則差異化套用」、「封鎖系統工具存取」四大策略，即可在不犧牲管理員效率的前提下，為共用/公開電腦建立堅固的安全邊界。