Win7怎样防止管理员登录在线的情况下被标准用户关机？

aquablue

目前的Win7设置，好像只能设置用户组是否具有关机权限。那么，我想实现一个功能，在管理员在线(即登录)的情况下，标准用户(普通用户组)不能关机，而如果管理员(或管理员组)不在线时则可以关机。这个功能其实还是蛮好的，可以防止管理员在执行某些任务的时候，被普通用户意外关机。这个怎样实现呢？

黑鹰99

你既然知道组策略可以“设置用户组是否具有关机权限”，为何还要找其他麻烦的方法呢？

thelord

都是远程登录的情况下？

aquablue

thelord 发表于 2014-8-14 15:49
都是远程登录的情况下？

不是，比如说，我先用administrator登录，执行一些任务之类的。然后切换账号，到users组的一个账户(这是标准账户,不是管理员组)。然后，我执行关机指令，系统就在admin账户还在线的情况下，关机了。我希望的是，如果administrator还在线，那么任何普通账户都无法关机，以免影响administrator账户的工作。当然，如果administrator不在线了，普通账户可以关机。

致 黑鹰99： 我希望的是：管理员登录在线的情况下，标准用户不能关机。有前提条件的。

thelord

aquablue 发表于 2014-8-14 17:25
不是，比如说，我先用administrator登录，执行一些任务之类的。然后切换账号，到users组的一个账户(这是 ...

可能可以这样实现：管理员登录的时候，移除普通用户组的关机权限，注销或关机的时候再恢复
权限管理用 ntrights 命令，NTRights -u users -r SeShutdownPrivilege
用登录/注销脚本自动执行：组策略 -- 用户配置 -- Windows设置 -- 脚本（登录/注销）

黑鹰99

aquablue 发表于 2014-8-14 17:25
不是，比如说，我先用administrator登录，执行一些任务之类的。然后切换账号，到users组的一个账户(这是 ...

你在组策略里面设置过没有？移除users组的关机权限，试试5楼的办法！

aquablue

thelord 发表于 2014-8-14 18:18
可能可以这样实现：管理员登录的时候，移除普通用户组的关机权限，注销或关机的时候再恢复
权限管理用 n ...

谢谢。这个问题确实设置起来有些难度，卡饭还是有不少的高人的。我用你的ntrights设置了一下，发现用NTRights -u users -r SeShutdownPrivilege确实是可以设置用户组的关机权限的，不过其生效方式是“被设置用户组从非登录状态登录到Win7系统中”。而在users用户组账户登录后，再用ntrights设置关机权限，当时是不能生效的，必须在被设置用户组注销后再登录，才生效。

请问能否设置立即生效，无需标准用户重新登录？

thelord

aquablue 发表于 2014-8-15 15:35
谢谢。这个问题确实设置起来有些难度，卡饭还是有不少的高人的。我用你的ntrights设置了一下，发现用NTRi ...

看来缺陷挺大，这样试试
管理员登录时在某处(如临时文件夹)建个临时文件做登录标记，注销或关机时删除
普通用户关机时检测是否有管理员登录，否则警告
vb 阻止windows关机
detecting if a Windows shutdown command has been issued

aquablue

thelord 发表于 2014-8-15 20:57
看来缺陷挺大，这样试试
管理员登录时在某处(如临时文件夹)建个临时文件做登录标记，注销或关机时删除
...

谢谢。可惜我不是程序员，看不懂VB语句，不知道怎样用。请问这个具体该怎样用在win7中？

我周末又想了2个办法。一个办法是，因为系统关机可能会调用c:\windows\system32下的shutdown.exe文件(是否会调用，我不确定)，我就想修改这个文件的权限，来控制标准用户的关机权限。结果不行，修改成“拒绝执行”的权限，标准用户仍然可以关机。将标准用户注销后再登录，关机，可以。没有达到目的。看来好像不行。也许是关机不调用shutdown.exe?

另外一个办法，是刷新组策略，可以用gpupdate命令刷新立即生效。但是使用登录和注销脚本的时候需要命令，而我不知道怎样使用命令来设置用户组权限。不知道是否有命令可以设置组策略？

thelord

aquablue 发表于 2014-8-18 10:12
谢谢。可惜我不是程序员，看不懂VB语句，不知道怎样用。请问这个具体该怎样用在win7中？

我周末又想了 ...

那个应该用vb编译成exe运行
shutdown 只是个提供使用的关机命令行，系统不会用的

组策略其实就是一个注册表的图形简化版本，大多数的操作都是去修改注册表，所以找到对应的注册表项，修改就可以。用 process monitor 跟踪下？