Windows NT 4.0 升級至 Windows Server 2003 後套用預設 ACL 安全範本

從 Windows NT 4.0 升級至 Windows Server 2003 時，安裝程式**不會**自動更新登錄表與檔案系統的 ACL (存取控制清單)。Windows Server 2003 引入更精細的權限模型，建議升級後套用預設安全範本 (Security.inf) 以獲得基線防護。本文說明使用「安全性設定與分析」主控台完成分析與配置的完整流程。

前置條件

• 以 Administrator 或 Administrators 群組成員登入。
• 升級完成、已套用最新 Service Pack 與關鍵更新。

操作流程

1. 執行 mmc →「檔案」→「新增/移除管理單元」→「新增」→「安全性設定與分析」→「新增」→「關閉」→「確定」。
2. 主控台樹右鍵「安全性設定與分析」→「開啟資料庫」→ 指定資料庫名稱 (如 upgdbase) 與儲存路徑 →「開啟」。
3. 「匯入範本」對話框出現 → 選取 Security.inf (位於 %SystemRoot%\Security\Templates) →「開啟」。
4. 右鍵「安全性設定與分析」→「立即分析電腦」→ 接受預設錯誤日誌路徑 →「確定」。
   此步驟僅比較，不修改系統。
5. 展開各節點 (帳號原理、本地原理、事件日誌、受限制群組、系統服務等)，觀察右窗格：

• 🟢 綠色勾號：目前設定與範本一致。
• 🔴 紅色 X：目前設定與範本**不一致** (需修正)。
• 無標記：範本未定義該設定，未分析。

6. 若需調整範本設定：右鍵特定屬性 →「內容」→ 勾選「在資料庫中定義這個原理」→ 修改值 →「確定」。
7. 確認無誤後，右鍵「安全性設定與分析」→「立即設定電腦」→ 接受預設日誌路徑 →「確定」。
   此步驟將範本設定套用至系統，衝突項以範本為準覆寫。

關鍵說明

• Security.inf 為 Windows Server 2003 預設基線範本，涵蓋密碼原理、鎖定原理、審核原理、使用者權限、安全性選項、事件日誌大小、服務啟動模式等數百項設定。
• 若環境有特殊需求 (如特定服務帳號需「作為服務登入」)、請在步驟 6 中調整資料庫後再配置，避免服務啟動失敗。
• 配置完成後，建議執行 secedit /refreshpolicy machine_policy /enforce 強制重新套用群組原理 (若已加入網域)。

替代方案：命令列批次套用

secedit /configure /db upgdbase.sdb /cfg %SystemRoot%\Security\Templates\Security.inf /log security.log /quiet

適合納入升級後自動化腳本，無人值守完成基線強化。

套用預設 ACL 範本是升級專案的**必要收尾動作**，能將舊環境殘留的寬鬆權限收斂至 Windows Server 2003 安全基線，大幅降低攻擊面。