Windows账户安全设置

一、Windows账户配置

1、创建用户账户

当我们在Windows中创建一个用户账户的时候，都会发生什么事情？

首先，系统会根据输入的用户名为该用户创建对应的配置文件，然后为该账户生成一个唯一的SID（Security Identifiers，安全标识符），并根据账户的类型给对应的SID指派相应的权限或权利，接着将该账户的访问凭据（用户名和密码）等信息加密后保存在数据库中。

对于单机和工作组环境下的本地账户，凭据信息保存在本机的 SAM 数据库中；对于域环境下的域全局账户，这些信息保存在域控制器上。在我们给一个对象设置访问权限的时候，实际上是在编辑该对象的ACL（Access Control List，访问控制列表）。

上述内容涉及了几个概念，下面对这些概念进行解释。

1. 安全标识符

和很多人想象中的不同，Windows 并不是根据每个账户的名称来区分账户的，相反， Windows依靠的是SID。在Windows环境中，几乎所有的对象都具有对应的SID，例如本地账户、本地账户组、域账户、域账户组、本地计算机、域、域成员，这些对象都有唯一的SID（可以将用户名理解为我们每个人的名字，将SID理解为每个人的身份证号码，人名可以重复，但身份证号码绝对不会重复）。

这样做主要是为了便于管理，例如，因为Windows是通过SID区分对象的，我们完全可以在需要的时候更改一个账户的用户名，而不用担心需要对新名称的同一个账户重新设置所需的权限，因为SID是不会变化的。同理，如果有一个账户，我们已经给该账户分配了相应的权限，一旦删除了该账户，然后重建一个使用同样用户名和密码的账户，因为账户的SID已经发生了变化，因