Windows 多用戶環境下的安全管控：透過本地安全策略限制特定帳戶登入

Windows 多用戶機制雖方便，卻讓管理者頭痛：即使您為自己的帳號設定密碼、限制安裝軟體、玩遊戲，其他人仍可自行建立新帳號繞過限制。本文介紹透過「本地安全策略」修改「允許本地登入」與「拒絕本地登入」權限，精準控制哪些帳戶（如 Guest、標準用戶）能登入系統，從源頭杜絕濫用。

操作環境：Windows 7 / Vista（XP 同理）

步驟詳解

1. 按 Win 鍵，搜尋框輸入 secpol.msc 或「本地安全策略」，按 Enter 開啟。
2. 展開「本地原則」→「使用者權限指派」。
3. 右側雙擊「允許本地登入」。
4. 在清單中選中 Guest（或要限制的群組/用戶），點擊「移除」→「確定」。
   注意：確保您目前的管理員帳號屬於 Administrators 群組，否則自己也會被鎖在外面。
5. 回到權限清單，雙擊「拒絕本地登入」。
6. 同樣將 Guest 從清單中移除（若原本有加入的話），點擊「確定」。

優先順序說明

「允許本地登入」優先級高於「拒絕本地登入」。若同一帳號同時出現在兩者，系統以「允許」為準。因此從「允許」清單移除是關鍵動作，「拒絕」清單僅作雙重保險。

副作用與風險提醒

• 修改後，被移除權限的帳戶將完全無法互動式登入（含遠端桌面）。
• 部分依賴特定用戶情境執行的服務、排程工作、用戶端程式可能報錯或無法啟動。
• 建議先在測試環境驗證，正式環境操作前備份系統狀態。

此法雖非絕對防禦（具管理權限者仍可改回），但能有效阻擋一般使用者隨意建帳號繞過管控，提升共用電腦的安全基準。