本地策略（Local Policy）
2.1. 摘要
账号策略用于控制登陆过程，要控制用户登录之后的操作，需要使用本地策略。利用本地策略（Local policy） 可以实现审核，指定用户权利和设置安全选项。
（要使用本地策略，首先要把本地计算机策略（Local Computer Policy）管理单元添加到MMC中，步骤见本地用户和组（Local Urs and Groups）管理单元的添加步骤）
本地策略有三个子文件夹：审核策略（Audit Policy）,用户权利策略（Ur Right Policy）,安全选项策略（Security Options Policy）
2.2. 审核策略(Audit Policy)
通过使用审核策略，可以观察用户在干什么，可以审查与用户管理有关的事件，通过跟踪特定事件，可以创建特定任务的历史，如用户的创建以及登陆的成功与失败，还可以标识无权访问的用户访问系统管理任务时造成的安全破坏。
同义词定义审核策略时，可以选择审核特定事件的成功或失败，事件成功表示任务顺利完成，任务失败表示任务没有顺利完成。
默认情况下，审核并不启用，需要手动配置，配置审核后，可以通过Event Viewer工具的Security日志察看审核的结果。
策略 说明 研究生确认时间
Audit Account Logon Events 观察用户何时登录，注销和建立网络连接
Audit Account Management 跟踪用户和组账号的创建，删除和管理活动
Audit Directory Service Access 跟踪目录服务访问
Audit Logon Events 审核与登陆有关的事件，如运行登录脚本或访问漫游配置文件
Audit Object Access 启用对文件，文件夹，打印机访问的审核
Audit Policy Change 跟踪审核策略的任何改变
电脑系统一键重装
Audit Privilege U 跟踪能够或不能够定义审核的人员，或者能够或不能够显示审核结果的人员变化
Audit Process Tracking 跟踪事件，例如激活程序，访问对象，退出程序等
Audit System Events 跟踪系统事件（如计算机关闭或重新启动等）以及与Event Viewer中的Security日志有关的事件
2.3. 用户权利策略（Ur Right Policies）
用户权利策略（Ur Right Policies）确定用户和组队计算机的权利。用户权利被应用到系统，它们不同于权限，权限应用于特定对象。
笔杆子用户权利的一个例子是备份文件和目录（Back Up Files and Directories）权利。即使用户没有该文件系统的权限，这个权利也能够使用备份文件和文件夹。其他用户权利也类似，因为它们处理的是系统访问而不是资源访问。
权利 说明
Access This Computer from the network 允许用户从网路访问计算机
Act as part of the operating system 允许低级身份验证服务，以验证用户
Add workstation to domain 允许用户在域中创建计算机账号
Adjust memory quotas for a process 允许用户配置特定进程可以使用的内存
Allow logon through terminal rvices 为用户提供通过终端服务（Terminal Services）登录的权限
Back up files and directories 允许用户备份所有文件和目录，不管文件和目录的权限设置如何
Bypass traver checking 允许用户通过和便历目录结构，即使用户没有权限列出目录内容 货币起源
Change the system time 允许用户改变计算机内部时间
Create a pagefile 允许用户创建或更改页文件长度
Create a token object 允许使用NtCreate Token API 的进程创建令牌
Create permanent shared object 允许进程通过Windows XP Object Management创建目录对象
Debug programs 允许用户将调试程序连接到任何进程
Deny access to this computer from the network 允许拒绝特定用户或组从网络上访问这台计算机
Deny logon as a batch file 允许特定用户或组作为批处理文件登录
Deny logon as a rvice 允许拒绝特定用户或组作为服务登录
Deny logon locally 允许拒绝特定用户或组本地访问这台计算机
扫雷游戏怎么玩Deny logon through terminal rvices 指定用户不能通过Terminal Services登录
Enable computer and ur accounts to be trusted for delegation 允许用户或组对用户或计算机对象设置受信任以便委派（Trusted for delegation）设置
Force shutdown from a remote system 允许用户在网络上的远程位置关闭系统
Generate curity audits 允许用户，组或进程在Security日志中建立项目
Increa scheduling priority 指定一个进程可以增加或减少另一个进程的优先级
Load and unload device drivers 允许用户动态加载或卸载即插即用设备驱动程序
Loc k pages in memory Windows XP中不再使用（原先用于强迫数据保存在物理内存中，不让数据分页岛页文件中）
Logon as a batch job 允许进程登录到系统并运行包含一个或几个操作系统命令的文件
Log on as a rvice 允许作为服务登录，以便运行特定的服务
Log on locally 允许用户登录在机器内定义了用户账号的计算机
Manage auditing and curity log 允许用户管理Security日志
Modify firmware environment variables 允许用户或进程修改系统环紧变量
Perform volume maintenance tasks 允许用户指定容量维护任务，例如运行Disk Cleanup和Dish Defragmenter 交流会
Profile single process 允许用户通过工具（如Performance Logs and Alerts）监视非系统进程
Profile system performance 允许用户使用Performance Logs and Alerts之类的工具监视系统进程
Remove computer from docking station 允许用户通过Windows XP用户界面将便携式计算机从插接站脱离
Replace a process level token 允许进程将 子进程创建的默认令牌替换成进程指定的令牌
Restore files and directories 允许用户恢复文件和目录，不管文件和目录的权限是什么
Shun down the system 允许用户关闭本地Windows XP计算机
Synchronize directory rvice data 允许用户同步与目录服务相关联的数据
Take ownership of files or other objects 允许用户取得系统对象的所有权
2.4. 安全选项策略（Security Options Policies）
安全选项策略（Security Options Policies）用户对计算机配置安全措施，与用户权利策略不同的是，用户 权利应用于用户或组，而安全选项策略应用于计算机。
选项 说明 默认值
Accounts: Administrator 指在正常操作下，Administartor账号是启用还是禁用，不管设置如何，当在安全模式下启动时，Administrator账号将被启用 已启用
Account status 决定Guest账号是否被启用 已禁用
Accounts: limit local account u of blank passwords to console logon only 如果一个用户的密码是空的，并且这个选项被启用，用户将无法适用空的密码从网络登录，这个设置并不应用到域登录账号 已启用
Accounts: rename administrator account 允许Administrator账号被重命名 没有定义
Accounts: rename guest accounts 允许Guest账号被重命名 没有定义
Audit: audit the access of global system objects 允许对全局系统对象的访问进行审核 已禁用
Audit: shutdown system immediately if unable to log curity audits 如果无法登录安全审核，指定系统立即关闭 已禁用
Devices: allow undock without having to log on 允许在不登录的情况下，通过按下便携式计算机的退出按钮，将计算机从插接站上脱离 已启用
Devices: allowed to format and eject removable media 指定谁能够格式化和退出可移动NTFS媒介 Administrators
Devices: prevent urs from installing printer drivers 如果启用，只有Administrator和Power Ur可以安装网络打印机 在工作站上禁用在服务器上启用 恐吓的近义词
