安全升级还是多此一举? Win11管理员保护原理和使

在如今的数字化时代，安全问题的重要性不言而喻。而安全的核心之一，就是让用户以「最低权限」来操作设备。

• 在 Windows 系统中，拥有「管理员权限」的用户可以修改系统配置，甚至进行一些影响整机安全性的重大更改。正因为这些强大的权限，它们也成为了攻击者的重点目标。
• 攻击者往往会利用管理员权限进行未经授权的数据访问、破坏隐私，甚至关闭系统安全功能。而这些操作，可能会在用户毫不知情的情况下完成。
• 根据《微软数字防御报告 2024》的最新数据，每天大约有 39000 起基于用户权限滥用的「令牌窃取」事件发生。这一数据清楚地表明，加强高级权限用户的安全防护已经刻不容缓。

为了应对这类安全挑战，微软为 Windows 11 引入了一项全新的平台级安全功能——管理员保护。它允许用户在正常使用「管理员权限」处理必要操作的同时，通过「按需分配」的机制，进一步提升对恶意攻击的防护能力。

什么是「管理员保护」功能？

简单来说，管理员保护功能就是：用户在执行需要管理员权限的操作之前，必须先通过 Windows Hello 进行身份验证。这些操作包括软件安装、修改系统设置（比如调整时间或编辑注册表）、访问敏感数据等。

通过 Windows Hello 进行「管理员保护」身份验证

有了管理员保护，误操作导致的系统级更改风险将大大降低。更重要的是，它能有效阻止恶意软件在用户毫不知情的情况下悄悄对系统进行更改。如此一来，Windows 11 的安全防护能力可以说是更上了一层楼。

「管理员保护」安全模型

管理员保护功能的核心理念是——最低权限原则。简单来说，即便你已经登录了 Windows 帐户，默认情况下也只会获得「降级后的普通权限」。当需要使用管理员权限时：

• Windows 11 会要求你进行授权。
• 授权通过后，系统会单独生成一个隐藏的、隔离的用户账号，并基于该账号创建一个临时的管理员令牌（Admin Token）。
• 这个令牌只用于当前操作，操作完成后，令牌会自动销毁。

这意味着，管理员权限并不会一直保留，每次需要执行管理员权限操作时，都会重复以上步骤。这样就避免了长期持有高权限带来的安全风险。

架构亮点一览

管理员保护功能深度结合了 Windows Hello，实现了安全与便捷的双重平衡。

• 按需提权：默认情况下，用户始终使用普通权限。只有在执行特定管理员操作时，系统才会临时给你提权。操作完成后，管理员令牌会立刻销毁。下次需要提权时，需要重新生成新的令牌。这一机制有效避免了长期持有高权限带来的安全风险。
• 配置文件分离：系统通过隐藏的、隔离的用户帐户来创建管理员令牌。这确保了用户级别的恶意软件无法影响到提权后的会话，从而让权限提升成为了一道安全屏障。
• 无自动提权：每次涉及管理员权限的操作，系统都会要求用户交互式手动授权。这样，你可以始终掌控权限分配，避免权限被滥用。再加上 Windows Hello 的高安全性认证，既增强了保护能力，又提升了使用体验。

「管理员保护」安全架构示意图

管理员保护功能的引入，为 Windows 11 增加了一道全新的安全屏障。但要注意，这个功能和用户帐户控制（UAC） 不同。UAC 更像是一种「深度防御策略」，而管理员保护通过对底层架构的改造，实现了更高等级的安全防护能力。

• 安全性大幅提升：每次执行管理员任务前都需要明确授权，这不仅能防止误操作导致系统更改，还能有效抵御恶意软件的干扰。这种机制让用户在操作前意识到潜在风险，为系统安全再加一道锁。
• 用户全程掌控：你可以精细化管理管理员权限，针对具体应用进行授权或限制。这样只有明确授权的应用才能修改系统设置，有效降低了误操作或恶意更改的风险。
• 减少恶意软件威胁：恶意软件常常依赖管理员权限来进行系统级更改或其他有害操作。而管理员保护打断了这条攻击链，让恶意软件无法在你不知情的情况下获得管理员权限，从根源上降低了安全威胁。

如何启用 Windows 11 管理员保护

目前，「管理员保护」功能还在开发阶段。你需要加入「Windows 预览体验计划」的 Canary 渠道，然后下载并安装 Windows 11 Build 27774 或更高版本。

方法 1：通过 Windows 安全中心

1、在「开始」菜单中打到并打开「Windows 安全中心」。

2、依次选择「帐户保护」>「管理员保护设置」。

3、打开「为需要管理员权限的操作启用实时访问」开关。

4、重启计算机。

在 Windows 安全中心启用管理员保护

完成以上步骤后，系统将用「管理员保护」功能替代现有的 UAC（用户账户控制）功能。

方法 2：通过组策略

如果你使用的是 Windows 11 专业版、教育版或企业版，可以通过组策略来启用管理员保护功能：

1、按Windows R快捷键打开「运行」对话框，输入gpedit.msc并回车，打开本地组策略编辑器。

2、导航到「计算机配置」>「Windows 设置」>「安全设置」>「本地策略」>「安全选项」。

3、找到并双击「用户帐户控制：配置管理员审批模式的类型」策略，将「本地安全设置」下拉列表设置为「管理员保护下的管理员批准模式」。

配置「用户帐户控制：配置管理员审批模式的类型」策略

4、接着，找到并双击「用户帐户控制：在启用管理员保护的情况下管理员的提升权限提示行为」策略，将「本地安全设置」下拉列表设置为：

• 在安全桌面上提示凭据：需要通过 Windows Hello 进行身份验证。
• 在安全桌面上同意提示：无需输入凭据，只需用户同意提升权限。

配置「用户帐户控制：在启用管理员保护的情况下管理员的提升权限提示行为」策略

5、重启计算机，让策略生效。

完成这些操作后，当你下次运行需要提权的应用程序时，系统会提示你同意操作，或者通过 Windows Hello 进行身份验证。

展望

微软可能会在未来更新中默认启用此功能。尽管会增加一些操作步骤，但建议不要禁用此功能，它能为系统带来更高的安全性，保护用户免受潜在威胁。