系统管理权限在哪里设置的

题图来自Unsplash，基于CC0协议

导读

在各类操作系统中，系统管理权限属于核心且敏感的设置区域，其配置往往涉及系统的关键安全性和功能性。你需要从 "总开关"、用户授权和具体内容层级三个维度来理解管理权限的设置。

1.  **连接总开关：系统级管理权限的宏观控制**
    *   **服务端操作系统：** 凡是提供网络服务的系统（Windows Server, Linux/Unix Server, macOS Server等），都需要一个"系统管理权限"的根源控制点。这通常是**远程管理服务**的启用/禁用开关。
        *   **Windows Server:** 在 **"服务器管理器"** 或通过 **"系统管理器/计算机管理/系统工具/服务和应用程序/远程管理/远程服务器管理工具"** 中配置 **"远程服务器管理工具"** 服务。这是安装管理工具软件（如 Windows Admin Center, PowerShell 远程管理等）的前提。在某些Windows版本中，可以从 **"系统"**（右键"此电脑"->属性），到达 **"高级系统设置" -> "远程设置"** 来控制远程管理。
        *   **Linux/Unix Server：** 类似SSH服务（**sshd_config** 文件，主配置文件是 `/etc/ssh/sshd_config`，需要root权限修改后重启sshd服务）、文件共享服务（如NFS、Samba）、Web服务器（如Apache、Nginx）的主配置启用/停止等，都属于系统管理权限的宏观控制标志。
    *   **客户端操作系统：** 对于Windows或macOS等终端机系统，如果需要开启远程管理功能，同样需要进行上述类似配置。此外，锁定屏幕、更改登录密码、调整系统时间等行为，本质上也触发着对总开关的验证。

2.  **配置用户、用户组的管理权限：控制谁可以设置规则**
    *   这是权限管理的核心环节，通常是通过 **身份验证和授权服务** 来实现的。
    *   **Windows:** 使用 **Active Directory** 来集中赋予用户、用户组特定的管理权限。管理员可以在 `Active Directory 用户和计算机` 控制台中，为对象（用户、组）、站点、域名等方式配置"创建对象权限"、"删除对象权限"、"修改权限权限"、"管理域控制器"等管理性任务的授权。本地管理通常则通过 **"本地安全策略"**（`secpol.msc`）和 **"组策略编辑器"**（`gpedit.msc`）进行。
    *   **Linux：** 使用 **PAM（Pluggable Authentication Modules）** 构架来灵活地控制基于用户的认证授权过程。管理权限的设置分散在各种服务的配置文件中（如 `/etc/passwd`、`/etc/group`、`/etc/sudoers`），核心的管理权限细粒度配置多在 **`/etc/sudoers` 文件** 中完成（通常使用 `visudo` 命令编辑），决定哪些用户或用户组可以执行哪些特权命令。同时，如 **SELinux（Security-Enhanced Linux）** 或 **AppArmor** 也能限制特定进程或用户的权限范围，这需要在各自的配置文件（如 `/etc/selinux/config` 或 `/etc/apparmor.d/` 下配置）中进行。
    *   **macOS：** 类似Windows，核心服务依赖于LDAP/Active Directory管理，在登录窗口右边的用户选项卡中集成了智能卡/AD管理。操作系统权限主要通过 **`访问控制列表（ACL）`** （在 `/etc/-` 中的一些配置文件里体现）控制，并且 macOS 自身也包含类似 sudo 命令的管理工具来限制。还可以通过 **Launchd Plist文件** 和 **System Policy** 进行深度控制。

3.  **对具体管理对象设置属性：精确到点的权限控制**
    *   最细致的权限控制体现在**具体的操作**上，通常是针对文件、目录、注册表项、软件安装源、系统服务等多种系统组件进行授权。
    *   **Windows:**
        *   **注册表权限：** 在 **"注册表编辑器"(regedit)"** 的各个树状节点（如 `HKEY_LOCAL_MACHINE`, `HKEY_CURRENT_USER`）上，右键选择 **"权限"(Permissions)"**，可以对每个键值设置访问、修改、删除等权限的不同用户组。
        *   **文件夹/文件权限：** 通过 **"计算机/此电脑"** 右键点击盘符或文件夹，选择 **"属性"->"安全"** 标签页，可以细粒度地设定用户/用户组对此文件夹或文件的访问、修改、列出目录内容、删除、写入等共享内存等权限。
        *   **特定设置项权限：** 很多系统服务或软件管理设置通常在注册表或特定系统文件夹中（如标准命令行工具 `attrib`），此命令可以查看和修改文件属性（如隐藏、只读、存档）。`cacls` 和 `icacls` 旧版命令以及 `setacl` 等第三方工具也能设置更复杂的文件/目录权限。
        *   **PowerShell 权限管理：** 可以利用 `$ExecutionContext.SessionState.TransactedScriptsPath` 和 `Set-ExecutionPolicy` 来控制脚本和命令执行权限，但核心整合在 **`MMC 管理单元`** 或 **`注册表（Key Permissions on specific powershell keys）`** 中的 **PowerShell 权限管理器控制台**，`New-AppxPackage` 等命令则常与 ScriptBlockHostPolicy 和 ExecutionPolicy 配合。
    *   **Linux/Unix:**
        *   **文件系统权限：** 文件/目录权限通常用 **`chmod`**、`chown`、`chgrp` **命令进行修改** ，通过 **Unix 文件模式（rwxrwxrwx）结合 user/group/others 组**来决定所有权和访问权限。在 **`find`** 命令配合下，可以大量修改文件/目录的访问权限。
        *   **特定服务配置：** 系统管理服务（如 SSH、Docker、NFS 等）除了全局用户的授权，其主配置文件中的 **`Allow/Only`**等参数（如 `/etc/ssh/sshd_config` 中 `AllowRoot`、`DenyUsers` vs `AllowUsers`）可以进一步限制特定用户的访问。
    *   **macOS:** 设备控制（ 隐私与安全性系统偏好设置（Privacy and Security System Preferences） 在会话（Scoped）Activation 、 内存保护、 Data Protection Encryption、公证）和系统启动配置（NVRAM/PAR 库）等权限可以使用 `System Policy` 文件或 `Managed Preferences` 来控制。

总结：

管理权限不是一个单一"地方"可以找到，它是一个贯穿 "系统启动级的远程访问启用/禁用开关"、"用户管理员的授权机制（如AD、本地用户组）"、"具体对象（文件、注册表、命令执行、服务配置）的访问细粒度控制" 三个层面的完整体系。掌握这一点，你就能理解为什么要查看那些看似分散的设置点。

默认的权限配置是为了保护系统本身，管理权限的设置则应在确保安全和业务需求间取得平衡。不当或过宽的权限设置可能导致系统被滥用或被破坏；相反，权限集度过窄可能导致管理员无法有效管理系统。务必仔细配置，并考虑冗余（Multiple Administrator Point of Control）和审计监控。