Windows XP操作系统提供了强大的安全机制，但是如果要一一设置这些安全配置，却是非常费时、费力的事，那么有没有一种可以快速配置安全选项的办法呢？答案是肯定的，用安全模板就能快速、批量地设定所有安全选项。
一、了解安全模板
“安全模板”是一种可以定义安全策略的文件表示方式，它能够配置账户和本地策略、事件日志、受限组、文件系统、注册表以及系统服务等项目的安全设置。安全模板都以.inf格式的文本文件存在，用户可以方便地复制、粘贴、导入或导出某些模板。此外，安全模板并不引入新的安全参数，而只是将所有现有的安全属性组织到一个位置以简化安全性管理，并且提供了一种快速批量修改安全选项的方法。(本文是电脑知识网 WWW.SQ120.COM 推荐文章)
系统已经预定义了几个安全模板以帮助加强系统安全，在默认情况下，这些模板存储在“%Systemroot%\Security\Templates”目录下。它们分别是：
1.Compatws.inf
提供基本的安全策略，执行具有较低级别的安全性但兼容性更好的环境。WwW.ItCOmPUTEr.COm.cN放松用户组的默认文件和注册表权限，使之与多数没有验证的应用程序的要求一致。“Power Users”组通常用于运行没有验证的应用程序。
2.Hisec*.inf
提供高安全的客户端策略模板，执行高级安全的环境，是对加密和签名作进一步限制的安全模板的扩展集，这些加密和签名是进行身份认证和保证数据通过安全通道以及在SMB客户机和服务器之间进行安全传输所必需的。
3.Rootsec.inf
确保系统根的安全，可以指定由Windows XP Professional所引入的新的根目录权限。默认情况下，Rootsec.inf为系统驱动器根目录定义这些权限。如果不小心更改了根目录权限，则可利用该模板重新应用根目录权限，或者通过修改模板对其他卷应用相同的根目录权限。
4.Secure*.inf
定义了至少可能影响应用程序兼容性的增强安全设置，还限制了LAN Manager和NTLM身份认证协议的使用，其方式是将客户端配置为仅可发送NTLMv2响应，而将服务器配置为可拒绝LAN Manager的响应。
5.Setupsecurity.inf
重新应用默认设置。这是一个针对于特定计算机的模板，它代表在安装操作系统期间所应用的默认安全设置，其设置包括系统驱动器的根目录的文件权限，可用于系统灾难恢复。
以上就是系统预定义的安全模板，用户可以使用其中一种安全模板，也可以创建自己需要的新安全模板。
二、管理安全模板
1.安装安全模板
安全模板文件都是基于文本的.inf文件，可以用文本打开进行编辑，但是这种方法编辑安全模板太复杂了，所以要将安全模板载入到MMC控制台，以方便使用。
①依次点击“开始”和“运行”按钮，键入“mmc”并点击“确定”按钮就会打开控制台节点；
②点击“文件”菜单中的“添加/删除管理单元”，在打开的窗口中点击“独立”标签页中的“添加”按钮；
③在“可用的独立管理单元”列表中选中“安全模板”，然后点击“添加”按钮，最后点击“关闭”，这样安全模板管理单元就被添加到MMC控制台中了，如图1所示。
图1
为了避免退出后再运行MMC时每次都要重新载入，可以点击“文件”菜单上的“保存”按钮，将当前设置为保存。
2.建立、删除安全模板
将安全模板安装到MMC控制台后，就会看到系统预定义的那几个安全模板，你还可以自己建立新的安全模板。
首先打开“控制台根节点”列表中的“安全模板”，在存储安全模板文件的文件夹上点击鼠标右键，在弹出的快捷菜单中选择“新加模板”，这样就会弹出新建模板窗口，在“模板名称”中键入新建模板的名称，在“说明”中，键入新模板的说明，最后点击“确定”按钮。这样一个新的安全模板就成功建立了。
删除安全模板非常简单，打开“安全模板”，在控制台树中找到要删除的模板，在其上面点击鼠标右键，选择“删除”即可。
3.应用安全模板
新的安全模板经过配置后，就可以应用了，你必须通过使用“安全配置和分析”管理单元来应用安全模板设置。
①首先要添加“安全配置和分析”管理单元，打开MMC控制台的“文件”菜单，点击“添加/删除管理单元”，在“添加独立管理单元”列表中选中“安全配置和分析”，并点击“添加”按钮，这样“安全配置和分析”管理单元就被添加到MMC控制台中了；
②在控制台树中的“安全配置和分析”上点击鼠标右键，选择“打开数据库”，在弹出的窗口中键入新数据库名，然后点击“打开”按钮；
③在安全模板列表窗口中选择要导入的安全模板，然后点击“打开”按钮，这样该安全模板就被成功导入了；
④在控制台树中的“安全配置和分析”上点击右键，然后在快捷菜单中选择“立即配置计算机”，就会弹出确认错误日志文件路径窗口，点击“确定”按钮。
这样，刚才被导入的安全模板就被成功应用了。
三、设置安全模板
1.设置账户策略
账户策略之中包括密码策略、账户锁定策略和Kerberos策略的安全设置，密码策略为密码复杂程度和密码规则的修改提供了一种标准的手段，以便满足高安全性环境中对密码的要求。账户锁定策略可以跟踪失败的登录尝试，并且在必要时可以锁定相应账户。Kerberos策略用于域用户的账户，它们决定了与Kerberos相关的设置，诸如票据的期限和强制实施。
(1)密码策略
在这里可以配置5种与密码特征相关的设置，分别是“强制密码历史”、“密码最长使用期限”、“密码最短使用期限”、“密码长度最小值”和“密码必须符合复杂性要求”。
①强制密码历史：确定互不相同的新密码的个数，在重新使用旧密码之前，用户必须使用过这么多的密码，此设置值可介于0和24之间；
②密码最长使用期限：确定在要求用户更改密码之前用户可以使用该密码的天数。其值介于0和999之间；如果该值设置为0，则密码永不过期；
③密码最短使用期限：确定用户可以更改新密码之前这些新密码必须保留的天数。此设置被设计为与“强制密码历史”设置一起使用，这样用户就不能很快地重置有次数要求的密码并更改回旧密码。该设置值可以介于0和999之间；如果设置为0，用户可以立即更改新密码。建议将该值设为2天；
④密码长度最小值：确定密码最少可以有多少个字符。该设置值介于0和14个字符之间。如果设置为0，则允许用户使用空白密码。建议将该值设置为8个字符；
⑤密码必须符合复杂性要求：该项启用后，将对所有的新密码进行检查，确保它们满足复杂密码的基本要求。如果启用该设置，则用户密码必须符合特定要求，如至少有6个字符、密码不得包含三个或三个以上来自用户账户名中的字符等。
(2)账户锁定策略
在这里可以设置在指定的时间内一个用户账户允许的登录尝试次数，以及登录失败后，该账户的锁定时间。
①账户锁定时间：这里的设置决定了一个账户在解除锁定并允许用户重新登录之前所必须经过的时间，即被锁定的用户不能进行登录操作的时间，该时间的单位为分钟，如果将时间设置为0，将会永远锁定该账户，直到管理员解除账户的锁定；
②账户锁定阀值：确定尝试登录失败多少次后锁定用户账户。除非管理员进行了重新设置或该账户的锁定期已满，才能重新使用账户。尝试登录失败的次数可设置为1到999之间的值，如果设置为0，则始终不锁定该账户。
2.设置本地策略
本地策略包括审核策略、用户权限分配和安全选项三项安全设置，其中，审核策略确定了是否将安全事件记录到计算机上的安全日志中；用户权利指派确定了哪些用户或组具有登录计算机的权利或特权；安全选项确定启用或禁用计算机的安全设置。
(1)审核策略
审核被启用后，系统就会在审核日志中收集审核对象所发生的一切事件，如应用程序、系统以及安全的相关信息，因此审核对于保证域的安全是非常重要的。审核策略下的各项值可分为成功、失败和不审核三种，默认是不审核，若要启用审核，可在某项上双击鼠标，就会弹出“属性”窗口，首先选中“在模板中定义这些策略设置”，然后按需求选择“成功”或“失败”即可，如图2所示。
图2
审核策略包括审核账户登录事件、审核策略更改、审核账户管理、审核登录事件、审核系统事件等，下面分别进行介绍。
①审核策略更改：主要用于确定是否对用户权限分配策略、审核策略或信任策略作出更改的每一个事件进行审核。建议设置为“成功”和“失败”；
②审核登录事件：用于确定是否审核用户登录到该计算机、从该计算机注销或建立与该计算机的网络连接的每一个实例。如果设定为审核成功，则可用来确定哪个用户成功登录到哪台计算机；如果设为审核失败，则可以用来检测入侵，但攻击者生成的庞大的登录失败日志，会造成拒绝服务(DoS)状态。建议设置为“成功”；
③审核对象访问：确定是否审核用户访问某个对象，例如文件、文件夹、注册表项、打印机等，它们都指定了自己的系统访问控制列表(SACL)的事件。建议设置为“失败”；
④审核过程跟踪：确定是否审核事件的详细跟踪信息，如程序激活、进程退出、间接对象访问等。如果你怀疑系统被攻击，可启用该项，但启用后会生成大量事件，正常情况下建议将其设置为“无审核”；
⑤审核目录服务访问：确定是否审核用户访问那些指定有自己的系统访问控制列表(SACL)的ActiveDirectory对象的事件。启用后会在域控制器的安全日志中生成大量审核项，因此仅在确实要使用所创建的信息时才应启用。建议设置为“无审核”；
⑥审核特权使用：该项用于确定是否对用户行使用户权限的每个实例进行审核，但除跳过遍历检查、调试程序、创建标记对象、替换进程级别标记、生成安全审核、备份文件和目录、还原文件和目录等权限。建议设置为“不审核”；
⑦审核系统事件：用于确定当用户重新启动或关闭计算机时，或者对系统安全或安全日志有影响的事件发生时，是否予以审核。这些事件信息是非常重要的，所以建议设置为“成功”和“失败”；
⑧审核账户登录事件：该设置用于确定当用户登录到其他计算机(该计算机用于验证其他计算机中的账户)或从中注销时，是否进行审核。建议设置为“成功”和“失败”；
⑨审核账户管理：用于确定是否对计算机上的每个账户管理事件，如重命名、禁用或启用用户账户、创建、修改或删除用户账户或管理事件进行审核。建议设置为“成功”和“失败”。
(2)用户权利指派
用户权利指派主要是确定哪些用户或组被允许做哪些事情。具体设置方法是：
①双击某项策略，在弹出“属性”窗口中，首先选中“在模板中定义这些策略设置”；
②点击“添加用户或组”按钮就会出现“选择用户或组”窗口，先点击“对象类型”选择对象的类型，再点击“位置”选择查找的位置，最后在“输入对象名称来选择”下的空白栏中输入用户或组的名称，输完后可点击“检查名称”按钮来检查名称是否正确；
③最后点击“确定”按钮即可将输入的对象添加到用户列表中。
(3)安全选项
在这里可以启用或禁用计算机的安全设置，如数据的数字签名、Administrator和Guest账户的名称、软盘驱动器和CD-ROM驱动器访问、驱动程序安装行为和登录提示等。下面介绍几个适合于一般用户使用的设置。
①防止用户安装打印机驱动程序。对于要打印到网络打印机的计算机，网络打印机的驱动程序必须安装在本地打印机上。该安全设置确定了允许哪些人安装作为添加网络打印机一部分的打印机驱动程序。使用该设置可防止未授权的用户下载和安装不可信的打印机驱动程序。
双击“设备：防止用户安装打印机驱动程序”，会弹出属性窗口，首先选中“在模板中定义这个策略设置”项，然后将“已启用”选中，最后点击“确定”按钮。这样则只有管理员和超级用户才可以安装作为添加网络打印机一部分的打印机驱动程序；
②无提示安装未经签名的驱动程序。当试图安装未经Windows硬件质量实验室(WHQL)颁发的设备驱动程序时，系统默认会弹出警告窗口，然后让用户选择是否安装，这样很麻烦，你可以将其设置为无提示就直接安装。
双击“设备：未签名驱动程序的安装操作”项，在出现的属性窗口中，选中“在模板中定义这个策略设置”项，然后点击后面的下拉按钮，选择“默认安装”，最后点击“确定”按钮即可；
③登录时显示消息文字。指定用户登录时显示的文本消息。利用这个警告消息设置，可以警告用户不得以任何方式滥用公司信息或者警告用户其操作可能会受到审核，从而更好地保护系统数据。
双击“交互式登录：用户试图登录时消息文字”，进入属性窗口，先将“在模板中定义这个策略设置”选中，然后在下面的空白输入框中输入消息文字，最多可以输入512个字符，最后点击“确定”按钮。这样，用户在登录到控制台之前就会看到这个警告消息对话框。
3.设置事件日志
这个安全模板是定义与应用程序、安全和系统日志相关的属性的，如最大的日志大小、对每个日志的访问权限以及保留设置和方法。其中，应用程序日志负责记录由程序生成的事件；安全日志根据审核对象记录安全事件；系统日志记录操作系统事件。
(1)日志保留天数
这个选项可以设置应用程序、安全性和系统日志可以保留多少天。需要注意的是，仅当以预定的时间间隔对日志进行存档时才应设置此值，并要确保最大日志大小足够大，以满足此时间间隔。这个天数可以是1到365天中的任何一个，用户可按需要进行设置，建议设置为14天。
(2)日志保留方法
在这里可以设置达到设定的最大日志文件的处理方法，共有按天数改写事件、按需要改写事件和不改写事件(手动清除日志)三种方式。如果希望将应用程序日志存档，就要选中“按需要覆盖事件”；如果希望以预定的时间间隔对日志进行存档，可选中“按天数覆盖事件”；如果需要在日志中保留所有事件，可选中“不要改写事件(手动清除日志)”，在这种情况下，当达到最大日志大小时，将会丢弃新事件日志。
(3)限制本地来宾组访问日志
在这里可以设置是否限制来宾访问应用程序、安全性和系统事件日志。默认设置是允许来宾用户和空连接可以查看系统日志，但禁止访问安全日志。
(4)日志最大值
这里可以设置日志文件的最大值和最小值，可用值的范围是64KB到4194240KB。如果设置值太小会导致日志经常被填满，这样就需要经常性地清理、保存日志；而设置值过大，会占据大量的硬盘空间，所以一定要根据自己的需要进行设置。
4.设置受限制的组
在这里可以允许管理员对安全性敏感的组定义“成员”和“隶属组”两个属性，其中“成员”定义了哪些用户属于以及哪些用户不属于受限制的组；“隶属组”定义了受限制的组属于其他哪些组。利用本策略，可以控制组中的成员身份，所有未在本策略中指定的成员都会被删除，而当前不是该组成员的用户将被添加。
(1)创建受限制的组
首先在控制台树中的“受限制的组”上点击鼠标右键，选择“添加组”。然后在“添加组”窗口中键入受限制的策略组的名称，或点击“浏览”，在打开的“选择组”窗口中查找要进行操作的组，最后点击“确定”按钮。这时你会发现新的一个组已经被创建成功了。
如果你想将所有受限制的组项从一个模板复制到另一个模板，可以在控制台树中右键点击“受限制的组”，在弹出的快捷菜单中选择“复制”，然后在另一个模板中右键点击“受限制的组”，并在弹出的快捷菜单中选择“粘贴”。
(2)添加用户
先在详细信息窗格中，找到要添加用户的组，然后在上面点击鼠标右键，在弹出的快捷菜单中选择“属性”，就会弹出该组的属性窗口。点击“这个组的成员”列表框右边的“添加”按钮，然后键入要添加的成员即可。重复此步骤，可添加更多的成员，如图3所示。
图3
同样，如要将本组添加为任何其他组的成员中，请点击在“这个组隶属于”列表框右侧的“添加”按钮，然后在弹出的窗口中键入组名称，最后点击“确定”即可。
5.设置系统服务
在这里可以定义所有系统服务的启动模式和访问权限，启动模式包括自动、手动和已禁用，其中自动表示重新启动计算机时自动启动；手动表示只有在有人启动时才启动；已禁用表示不能启动该服务。而访问权限指的是用户对服务的读取、写入、删除、启动、暂停和停止等操作。利用这个安全模板可以很方便地设定哪些用户或组账户具有读取、写入、删除的权限，或具有执行继承设置或审核以及所有权的权限。需要注意的是，禁用某些服务可能会导致系统无法引导，所以如果要禁用系统的服务，请先在非生产系统中进行测试。
那么如何来配置系统服务设置呢？
①双击要配置的服务，就会弹出服务的属性对话框；
②选中“在模板中定义这个策略配置”项，如果这个策略以前从来没有被配置过，就会自动出现安全设置对话框。如果没有自动出现的话，需要点击“编辑安全设置”按钮，调出对话框；
③点击“添加”按钮，按照添加用户或组的步骤将想要操作的用户添加到列表中；
④在“组或用户名称”下的列表中选择某一用户或组，下面的权限列表中就会列出所有能够编辑的权限。按照实际需要选择是允许还是拒绝某项权限，如想编辑特别权限或高级设置，则点击“高级”按钮，编辑完成后点击“确定”按钮；
⑤在属性窗口中的“选择服务启动模式”下，选择自动、手动或已停用。
6.设置注册表
在这里，允许管理员定义注册表项的访问权限(关于DACL)和审核设置(关于SACL)。
DACL即任意访问控制列表，它赋予或拒绝特定用户或组访问某个对象的权限的对象安全描述符的组成部分。只有某个对象的所有者才可以更改DACL中赋予或拒绝的权限，这样，此对象的所有者就可以自由访问该对象。SACL即系统访问控制列表，它表示部分对象的安全描述符的列表，该安全描述符指定了每个用户或组的哪个事件将被审核。审核事件的例子是文件访问、登录尝试和系统关闭。
(1)设置注册表安全性
①在控制台树中，用鼠标右键点击“注册表”节点，在弹出的快捷菜单中选择“添加密钥”；
②在“选择注册表项”对话框中，选择好要添加密钥的注册表项，然后点击“确定”按钮；
③在“数据库安全设置”对话框中，为该注册表项选择合适的权限，然后点击“确定”按钮；
④在“模板安全策略设置”对话框中，选择需要的继承权限方式，最后点击“确定”按钮。
(2)修改注册表键的权限
①在注册表项详细列表中，双击要进行修改的注册表键；
②在弹出的“模板安全策略设置”窗口中，选中“配置这个键，然后”，下面有两项：其中“将继承权传播到所有子项”项表示所有子键都从被设置的键处继承新设置的权限；“用可继承权代替所有子项上的现有权限”项表示所有子键都会被应用新设置的权限。按自己的需要选择其中一项，如图4所示。
图4
③点击“编辑安全设置”按钮，然后在弹出的对话框中点击“高级”按钮，进入高级安全设置窗口；
④在“高级安全设置”窗口中，点击“添加”按钮来增删用户，以符合建议的设置标准；
⑤选中要进行操作的用户或组，然后点击“编辑”按钮就会弹出权限设置对话框，首先在“应用到”后的下拉按钮中选择正确的设置，如只有该项、该项及子项等。接着在“权限”列表中选择希望使用的权限，最后点击“确定”按钮即可完成设置。
7.设置文件系统
文件系统是指文件命名、存储和组织的总体结构。Windows XP支持FAT、FAT32和NTFS三种文件系统，在安装Windows、格式化现有的卷或者安装新的硬盘时，可选择文件系统。每个文件系统都有其自己的优点和局限性，其中，NTFS文件系统所能提供的性能、安全性、可靠性是其他文件系统所不具备的。如NTFS可以通过使用标准的事务处理记录和还原技术来保证卷的一致性。如果系统出现故障，NTFS就会使用日志文件和检查点信息来恢复文件系统的一致性。而在Windows XP操作系统中，NTFS还可以提供诸如文件和文件夹权限、加密、磁盘配额和压缩这样的高级功能。
(1)查看文件系统安全设置
想要手工查看一个特定文件或文件夹的权限，可参考如下操作：
首先打开Windows资源管理器，在要查看的文件或文件夹上点击鼠标右键，在弹出的快捷菜单中选择“属性”。然后在属性窗口中，进入“安全”选项卡，最后点击“高级”按钮，在打开的窗口中就可以查看文件或文件夹相关的权限信息了。
(2)为文件设置文件系统安全性
①用右键点击控制台数中的“文件系统”节点，在弹出的快捷菜单中点击“添加文件”按钮；
②在“添加文件或文件夹”对话框中，找到要为其添加安全的文件或文件夹，然后点击“确定”按钮；
③在出现的“数据库安全设置”对话框中配置适当的权限，然后点击“确定”按钮；
④回到“模板安全策略设置”对话框中，点击“确定”按钮即可完成设置。
(3)修改文件系统安全设置
手工逐个修改每个文件和文件夹的权限设置，是非常浪费时间和精力的，通过安全模板可以快速、批量进行设置。
①在窗口右侧的面板中，双击要改变的文件或文件夹；
②在出现的“模板安全策略设置”窗口中有两个选项，其中“向所有子文件夹和文件传播继承权限”表示该文件夹的子文件夹和文件都被重新配置并全部继承新的权限；“替换所有带继承权限的子文件夹和文件上的现存权限”表示不管那些子文件夹是否具备允许继承权限，都将会被应用新的权限，并且会从被配置的键继承新的权限。按需要任选一项，然后点击“编辑安全设置”按钮，如图5所示。
图5
③在“安全设置”窗口中，点击“高级”按钮；
④在高级安全设置窗口中，如果父项的权限没有被继承，就需要保证“从父项继承那些可以应用到子对象的权限项目，包括那些在此明确定义的项目”项没有被选中，然后点击“添加”按钮来修改会受到权限影响的用户或组，最后选中要进行配置的组或用户，并点击“编辑”按钮；
⑤在文件夹的权限项目窗口中，首先点击“应用到”后的下拉按钮，选择一个合适的应用位置，如只有子文件夹、只有该文件夹等，然后就可以到“权限”列表中配置权限了。最后点击“确定”按钮来应用配置的权限。
Win 家族优化技巧红宝书 目前W i n d o w s 家族早已从Win98 发展到了Win2000/XP/2 0 0 3 ，随着版本的不断提升，Windows 也变得越来越臃肿和缓慢，新版本虽然越来越强大，但对硬件却提出了更高的要求。如果你想在不升级硬件的情况下，大幅度提升计算机的性能，优化Windows是一个重要的途径。下面我们就来分篇介绍Win2000/XP/2003 的优化技巧，帮助你把系统调整到最佳状态，让你体验到Windows极速狂飙的感觉！
一、手工优化调整技巧 (本文是电脑知识网 WWW.SQ120.COM 推荐文章)
实现自动登录
S e r v e r 2 0 0 3 登录时需要按Ctrl+Alt+Del 键，你可以改变这种登录方式，选择一个账号实现自动登录。方法是：单击“开始/ 管理工具/ 本地安全策略”，在窗口左侧找到“本地策略→安全选项”，在右侧找到“交互式登录：不需要按‘Ctrl+Alt+Del’”，双击之，把它设置为“已启用”。
为显示提速
在桌面点击鼠标右键打开显示属性，在“外观/ 效果”中去掉所有的选项，关闭“桌面墙纸”和“屏幕保护”。
优化资源管理器
双击“我的电脑”，点击“工具/文件夹选项/ 常规”，选择“使用Windows 传统风格的文件夹”；去掉除“隐藏受保护的操作系统文件”和“隐藏己知文件类型的扩展名”之外所有的选项；“查看”中使用“列表”形式，以最小的图标和信息显示内容。
删除硬件驱动备份
系统盘WindowsDriverCache i 3 8 6 目录下有一个d r i v e r . c a b (约声卡是禁止的，应启用它，方法是：在控制面板中，单击“声音/ 启用”，重启后再设置它在任务栏显示；然后启用音频加速，在运行中输入Services.msc 回车，双击打开Windows Audio 服务，把“启动类型”设置为“自动”，点击“接受”，然后点击“启用启动该服务”；最后在运行中输入“dxdiag”回车，打开“Sound选项卡”，把“Hardware Sound Acceleration Level”的滑块拖动到“Full”。
启用图像捕获服务
要使用摄像头、数码相机、扫描仪等影像设备，你必须启用图像捕获服务，方法是：在运行中输入Services.msc回车，找到并双击Windows ImageAcquisition (WIA) 服务，将“启动类型”更改为“自动”，并点击“启动”按钮即可。
启用CD 刻录服务
Server 2003 默认情况下无法刻录CD，应启用CD刻录服务，方法是：进入“服务”窗口，找到“IMAPI CD-BurningCOM Service”项，双击它进入设置窗体，将“启动类型”更改为“自动”，并点击“启动”按钮。
为了吸引企业用户，微软专为服务器量身打造了Windows Server 2003(以下简称Server 2003)。Server 2003 针对服务器特点，对内核进行了特别优化，所以非常适合在服务器端使用。如果你要让Server 2003也适用于单机，就必须进行相应的调整，重新打开默认关闭的工作站服务，去掉那些用不着的服务器功能。考虑到许多朋友都希望在单机上安装使用Server 2003，下面我们就来介绍对它进行优化调整的技巧。
70MB)，这是Server 2003 的硬件驱动程序备份文件，硬件安装完成之后，你即可删除该文件。
删除无用的Windows 组件
Server 2003 中有许多组件个人用户都不需要安装，你只需保留“更新根证书”，其他的组件都可以删除，单击“控制面板/ 添加或删除程序”即可删除。
禁止自动更新
右击“我的电脑”，选择“系统属性/自动更新”，去掉“保持我的计算机最新”即可。
关闭远程协助
右击“我的电脑”，选择“系统属性/ 远程”，建议把远程协助全部关掉。
关闭事件跟踪程序
单击“开始/ 运行”，输入gpedit.msc 打开组策略编辑器，点击“计算机配置/ 管理模板/ 系统”，双击“显示关闭事件跟踪程序”，设置为“已禁用”。
启用声卡
Server 2003 安装后，默认情况下
二、用工具来优化Server 2003
你也可以使用一些专门的工具来优化Server 2003，例如Windows 2003 优化王V1.1(下载地址http://www.ttpz.com/down.asp?id=1224&no=1)、Windows 2003 优化工具(http://www.diy5.net/download/down.asp?id=1405&no=1)和W2k3setup_hh等，它们都是专门为Windows Server 2003开发的系统优化工具。
这些工具中内置了多媒体、应用程序、游戏等大类几十个优化选项，利用这些优化选项你可以全面提升Server 2003系统的运行效率，加快系统的运行速度。下面我们就以Windows 2003 优化王为例，介绍其使用方法：
展开下载的压缩包(解压密码为www.ttpz.com)，然后点击Windows 2003Reg.exe 即可运行Windows 2003 优化王，其主界面如图1所示，有“普通选项”、“多媒体选项”、“系统优化”三个菜单。优化的时候，你可以在不同的选项卡中切换，选择相应的项目，再单击“确定修改”按钮即可。
Server 2003 下个人能用的工具不多，如果你要添加某些程序(比如MSN、经典小游戏等)，就需要从Windows XP安装盘中进行安装；另外，添加时建议确保网络连接正常，因为有些功能需要网络支持，比如添加MSN，实质上是将你带到一个能下载MSN 的网站上去。
一、针对硬件的优化技巧
打开DMA
在BIOS中先设置硬盘支持DMA；然后在控制面板中单击“系统/ 硬件/ 设备管理器”，选择IDE ATA/ATAPIcontrollers，到Primary/Secondary IDEChannel 里面进行设置，将所有的传送模式都设定为使用DMA，系统就会自动打开DMA，加快Windows 运行速度。
关闭光驱自启动(Autorun)功能
打开我的电脑，在“移动存储设备”下，右键单击CD-ROM 驱动器，然后单击“属性/ 自动播放”选项卡，修改即可。
优化磁盘缓存
磁盘缓存对XP运行起着至关重要的作用，对不同容量的内存，采用不同的磁盘缓存是较好的做法：
到注册表H K E Y _ L O C A L _MACHINESYSTEMCurrentControlSetControlSession ManagerMemoryManagementIoPageLockLimit，根据你的内存修改其十六进制值(64MB: 1000；128MB: 4000；256MB: 10000；512MB 或更大: 40000)。
给前台程序更多的资源
先打开“系统”属性，选择“高级/性能/ 设置”，打开“性能”选项对话框，然后打开“高级”选项卡，在“处理器计划”一栏中选择“程序”，在“内存使用”一栏上选择“程序”，最后点击“确定”退出，这样系统便会给前台程序更多的资源，使之运行得更快。
虚拟内存的优化设置
除了CPU及硬盘，XP运行性能很大程度上还取决于内存，XP 使用的虚拟内存即页面文件，就是在系统区根目录下可见的pagefile.sys文件，为了安全，XP默认情况下总是将它设得很大，浪费硬盘空间，所以应该对它进行优化设置：
进入“控制面板/系统/高级/性能”，在“性能选项”的“高级”设置窗口，首先将“处理器计划”及“内存使用”都调整为“程序”，这样系统会给前台程序更多资源、使之运行更快。点击“更改”按钮进入虚拟内存设置窗口(如右图2)，将虚拟内存值设为物理内存的1.5倍。注意：根据微软的建议，页面文件应设为物理内存的1.5倍，把最大值和最小值都设成一样。如果内存容量在256MB 以下，就设置为1.5 倍；如果在512MB 以上，设置为内存容量的一半；在中间的设为与内存容量相同；当然如果你的内存高达1GB以上，那就完全不需要页面文件了。
内置刻盘功能巧关闭
默认情况下，XP开启了内设的刻盘功能，该功能可以加快Nero 刻录软件的处理速度，如果不用此功能可以关闭之：点击“控制面板/ 管理工具/ 服务”，双击“IMAPI CD-Burning COM Service”，将“启动类型”改为“手动”或“已禁用”。
快速关闭出错的程序
点击“开始/运行”，键入Regedit，将HKEY_CURRENT_USERControlPanelDesktopWaitToKillAppTimeout 改为 1000，即关闭程序时仅等待1 秒；将键值 HungAppTimeout 改为200，表示程序出错时等待0.5 秒；将HKEY_LOCAL_MACHINESystemCurrentControlSetControlWaitToKillServiceTimeout 设为1000 或更小。
让系统自动关闭没有回应的程序，方法：将HKEY_CURRENT_USERControlPanelDesktop AutoEndTasks 值设为 1，重启电脑后即可生效。
禁用错误汇报
错误报告是Windows XP中增加的一项针对程序兼容性问题采取的提示措施，一旦程序发生运行错误，系统即收集发生错误时的一些信息，反馈给微软技术部。该功能对用户意义并不是很大，只对微软公司有用，所以你也可以取消该功能。
在“我的电脑”→“属性”→“高级”→“启动和故障修复”中，单击“错误报告”(右图3)，选择“禁用错误汇报”、“但在发生严重错误时通知我”。
崩溃时禁止写DUMP
尽管Windows XP 很稳定，但也有崩溃的时候，此时你就会发现硬盘使劲地响，那是Windows XP正在写DUMP文件！如果你不打算把该文件寄给微软，则应该关闭之：在“启动和故障修复”栏下点“设置”，在弹出的窗口中去掉“将事件写入系统日志”、“发送管理警报”、“自动重新启动”选项，将“写入调试信息”设置为“无”；点击“编辑”，在弹出记事本文件中:[Operating Systems]timeout=30 // 把缺省时间 30 秒改为 0 秒multi(0)disk(0)rdisk(0)partition(1)WINDOWS="Microsoft Windows XP Professional" /fastdetect // 把缺省fastdetect 改为 nodetect。
合理确定程序的优先级
当你同时按下Ctrl+Alt+Delete 三个键，然后点击“进程”选项卡，即可看到一个对话框，里面是目前正在运行的所有进程。
要为一个程序分配更多的进程时间，只需右击该进程，再把鼠标指针向下移动到“Set Priority(设置优先级)”，然后选择要把该程序设置成哪个优先级。
例如接收E-mail 时，可把PhotoShop 设为“标准”，而当你离开计算机时，则应把它的优先级提升为最高的“实时”，以便计算机能更专注快速地运行PhotoShop。
Windows XP权限整合应用全解 作为微软第一个稳定且安全的操作系统，Windows XP经过几年的磨合过渡期，终于以超过Windows系列操作系统50%的用户占有量成为目前用户使用最多的操作系统。在慢慢熟悉了Windows XP后，人们逐渐开始不满足基本的系统应用了，他们更加渴望学习一些较深入且实用的知识，以便能让系统充分发挥出Windows XP的高级性能。
因此本文以Windows XP Professional版本为平台，引领大家感受一下Windows XP在“权限”方面的设计魅力！
一、什么是权限
Windows XP提供了非常细致的权限控制项，能够精确定制用户对资源的访问控制能力，大多数的权限从其名称上就可以基本了解其所能实现的内容。(本文是电脑知识网 WWW.SQ120.COM 推荐文章)
“权限”(Permission)是针对资源而言的。也就是说，设置权限只能是以资源为对象，即“设置某个文件夹有哪些用户可以拥有相应的权限”，而不能是以用户为主，即“设置某个用户可以对哪些资源拥有权限”。这就意味着“权限”必须针对“资源”而言，脱离了资源去谈权限毫无意义──在提到权限的具体实施时，“某个资源”是必须存在的。
利用权限可以控制资源被访问的方式，如User组的成员对某个资源拥有“读取”操作权限、Administrators组成员拥有“读取+写入+删除”操作权限等。
值得一提的是，有一些Windows用户往往会将“权力”与“权限”两个非常相似的概念搞混淆，这里做一下简单解释：“权力”(Right)主要是针对用户而言的。“权力”通常包含“登录权力”(Logon Right)和“特权”(Privilege)两种。登录权力决定了用户如何登录到计算机，如是否采用本地交互式登录、是否为网络登录等。特权则是一系列权力的总称，这些权力主要用于帮助用户对系统进行管理，如是否允许用户安装或加载驱动程序等。显然，权力与权限有本质上的区别。
二、安全标识符、访问控制列表、安全主体
说到Windows XP的权限，就不能不说说“安全标识符”(Security Identifier, SID)、“访问控制列表”(Access Control List，ACL)和安全主体(Security Principal)这三个与其息息相关的设计了。
1.安全标识符
在Windows XP中，系统是通过SID对用户进行识别的，而不是很多用户认为的“用户名称”。SID可以应用于系统内的所有用户、组、服务或计算机，因为SID是一个具有惟一性、绝对不会重复产生的数值，所以，在删除了一个账户(如名为“A”的账户)后，再次创建这个“A”账户时，前一个A与后一个A账户的SID是不相同的。这种设计使得账户的权限得到了最基础的保护，盗用权限的情况也就彻底杜绝了。
查看用户、组、服务或计算机的SID值，可以使用“Whoami”工具来执行，该工具包含在Windows XP安装光盘的“Support\Tools”目录中，双击执行该目录下的“Setup”文件后，将会有包括Whoami工具在内的一系列命令行工具拷贝到“X:\Program Files\Support Tools”目录中。此后在任意一个命令提示符窗口中都可以执行“Whoami /all”命令来查看当前用户的全部信息。
2.访问控制列表(ACL)
访问控制列表是权限的核心技术。顾名思义，这是一个权限列表，用于定义特定用户对某个资源的访问权限，实际上这就是Windows XP对资源进行保护时所使用的一个标准。
在访问控制列表中，每一个用户或用户组都对应一组访问控制项(Access Control Entry, ACE)，这一点只需在“组或用户名称”列表中选择不同的用户或组时，通过下方的权限列表设置项是不同的这一点就可以看出来。显然，所有用户或用户组的权限访问设置都将会在这里被存储下来，并允许随时被有权限进行修改的用户进行调整，如取消某个用户对某个资源的“写入”权限。
3.安全主体(Security Principal)
在Windows XP中，可以将用户、用户组、计算机或服务都看成是一个安全主体，每个安全主体都拥有相对应的账户名称和SID。根据系统架构的不同，账户的管理方式也有所不同──本地账户被本地的SAM管理；域的账户则会被活动目录进行管理……
一般来说，权限的指派过程实际上就是为某个资源指定安全主体(即用户、用户组等)可以拥有怎样的操作过程。因为用户组包括多个用户，所以大多数情况下，为资源指派权限时建议使用用户组来完成，这样可以非常方便地完成统一管理。
三、权限的四项基本原则
在Windows XP中，针对权限的管理有四项基本原则，即：拒绝优于允许原则、权限最小化原则、累加原则和权限继承性原则。这四项基本原则对于权限的设置来说，将会起到非常重要的作用，下面就来了解一下：
1.拒绝优于允许原则
“拒绝优于允许”原则是一条非常重要且基础性的原则，它可以非常完美地处理好因用户在用户组的归属方面引起的权限“纠纷”，例如，“shyzhong”这个用户既属于“shyzhongs”用户组，也属于“xhxs”用户组，当我们对“xhxs”组中某个资源进行“写入”权限的集中分配(即针对用户组进行)时，这个时候该组中的“shyzhong”账户将自动拥有“写入”的权限。
但令人奇怪的是，“shyzhong”账户明明拥有对这个资源的“写入”权限，为什么实际操作中却无法执行呢？原来，在“shyzhongs”组中同样也对“shyzhong”用户进行了针对这个资源的权限设置，但设置的权限是“拒绝写入”。基于“拒绝优于允许”的原则，“shyzhong”在“shyzhongs”组中被 “拒绝写入”的权限将优先于“xhxs”组中被赋予的允许“写入”权限被执行。因此，在实际操作中，“shyzhong”用户无法对这个资源进行“写入”操作。
2.权限最小化原则
Windows XP将“保持用户最小的权限”作为一个基本原则进行执行，这一点是非常有必要的。这条原则可以确保资源得到最大的安全保障。这条原则可以尽量让用户不能访问或不必要访问的资源得到有效的权限赋予限制。
基于这条原则，在实际的权限赋予操作中，我们就必须为资源明确赋予允许或拒绝操作的权限。例如系统中新建的受限用户“shyzhong”在默认状态下对“DOC”目录是没有任何权限的，现在需要为这个用户赋予对“DOC”目录有“读取”的权限，那么就必须在“DOC”目录的权限列表中为“shyzhong”用户添加“读取”权限。
3.权限继承性原则
权限继承性原则可以让资源的权限设置变得更加简单。假设现在有个“DOC”目录，在这个目录中有“DOC01”、“DOC02”、“DOC03”等子目录，现在需要对DOC目录及其下的子目录均设置“shyzhong”用户有“写入”权限。因为有继承性原则，所以只需对“DOC”目录设置“shyzhong”用户有“写入”权限，其下的所有子目录将自动继承这个权限的设置。
4.累加原则
这个原则比较好理解，假设现在“zhong”用户既属于“A”用户组，也属于“B”用户组，它在A用户组的权限是“读取”，在“B”用户组中的权限是“写入”，那么根据累加原则，“zhong”用户的实际权限将会是“读取+写入”两种。
显然，“拒绝优于允许”原则是用于解决权限设置上的冲突问题的；“权限最小化”原则是用于保障资源安全的；“权限继承性”原则是用于“自动化”执行权限设置的；而“累加原则”则是让权限的设置更加灵活多变。几个原则各有所用，缺少哪一项都会给权限的设置带来很多麻烦！
注意：在Windows XP中，“Administrators”组的全部成员都拥有“取得所有者身份”(Take Ownership)的权力，也就是管理员组的成员可以从其他用户手中“夺取”其身份的权力，例如受限用户“shyzhong”建立了一个DOC目录，并只赋予自己拥有读取权力，这看似周到的权限设置，实际上，“Administrators”组的全部成员将可以通过“夺取所有权”等方法获得这个权限。
四、资源权限高级应用
以文件与文件夹的权限为例，依据是否被共享到网络上，其权限可以分为NTFS权限与共享权限两种，这两种权限既可以单独使用，也可以相辅使用。两者之间既能够相互制约，也可以相互补充。下面来看看如何进行设置：
1.NTFS权限
首先我们要知道：只要是存在NTFS磁盘分区上的文件夹或文件，无论是否被共享，都具有此权限。此权限对于使用FAT16/FAT32文件系统的文件与文件夹无效！
NTFS权限有两大要素：一是标准访问权限；二是特别访问权限。前者将一些常用的系统权限选项比较笼统地组成6种“套餐型”的权限，即：完全控制、修改、读取和运行、列出文件夹目录、读取、写入。如图1所示。
图1
在大多数的情况下，“标准权限”是可以满足管理需要的，但对于权限管理要求严格的环境，它往往就不能令管理员们满意了，如只想赋予某用户有建立文件夹的权限，却没有建立文件的权限；如只能删除当前目录中的文件，却不能删除当前目录中的子目录的权限等……这个时候，就可以让拥有所有权限选项的“特别权限”来大显身手了。也就是说，特别权限不再使用“套餐型”，而是使用可以允许用户进行“菜单型”的细节化权限管理选择了。
那么如何设置标准访问权限呢？以对一个在NTFS分区中的名为“zhiguo”的文件夹进行设置标准访问权限为例，可以按照如下方法进行操作：
因为NTFS权限需要在资源属性页面的“安全”选项卡设置界面中进行，而Windows XP在安装后默认状态下是没有激活“安全”选项卡设置功能的，所以需要首先启用系统中的“安全”选项卡。方法是：依次点击“开始”→“设置”→“控制面板”，双击“文件夹选项”，在“查看”标签页设置界面上的“高级设置”选项列表中清除“使用简单文件共享(推荐)”选项前的复选框后点击“应用”按钮即可。
设置完毕后就可以右键点击“zhiguo”文件夹，在弹出的快捷菜单中选择“共享与安全”，在“zhiguo属性”窗口中就可以看见“安全”选项卡的存在了。针对资源进行NTFS权限设置就是通过这个选项卡来实现的，此时应首先在“组或用户名称”列表中选择需要赋予权限的用户名组(这里选择“zhong”用户)，接着在下方的“zhong 的权限”列表中设置该用户可以拥有的权限即可。
下面简单解释一下六个权限选项的含义：
①完全控制(Full Control)：该权限允许用户对文件夹、子文件夹、文件进行全权控制，如修改资源的权限、获取资源的所有者、删除资源的权限等，拥有完全控制权限就等于拥有了其他所有的权限；
②修改(Modify)：该权限允许用户修改或删除资源，同时让用户拥有写入及读取和运行权限；
③读取和运行(Read & Execute)：该权限允许用户拥有读取和列出资源目录的权限，另外也允许用户在资源中进行移动和遍历，这使得用户能够直接访问子文件夹与文件，即使用户没有权限访问这个路径；
④列出文件夹目录(List Folder Contents)：该权限允许用户查看资源中的子文件夹与文件名称；
⑤读取(Read)：该权限允许用户查看该文件夹中的文件以及子文件夹，也允许查看该文件夹的属性、所有者和拥有的权限等；
⑥写入(Write)：该权限允许用户在该文件夹中创建新的文件和子文件夹，也可以改变文件夹的属性、查看文件夹的所有者和权限等。
如果在“组或用户名称”列表中没有所需的用户或组，那么就需要进行相应的添加操作了，方法如下：点击“添加”按钮后，在出现的“选择用户和组”对话框中，既可以直接在“输入对象名称来选择”文本区域中输入用户或组的名称(使用“计算机名\用户名”这种方式)，也可以点击“高级”按钮，在弹出的对话框中点击“立即查找”按钮让系统列出当前系统中所有的用户组和用户名称列表。此时再双击选择所需用户或组将其加入即可。如图2所示。
如果想删除某个用户组或用户的话，只需在“组或用户名称”列表中选中相应的用户或用户组后，点击下方的“删除”按钮即可。但实际上，这种删除并不能确保被删除的用户或用户组被拒绝访问某个资源，因此，如果希望拒绝某个用户或用户组访问某个资源，还要在“组或用户名称”列表中选择相应的用户名用户组后，为其选中下方的“拒绝”复选框即可。
那么如何设置特殊权限呢？假设现在需要对一个名为“zhiguo”的目录赋予“zhong”用户对其具有“读取”、“建立文件和目录”的权限，基于安全考虑，又决定取消该账户的“删除”权限。此时，如果使用“标准权限”的话，将无法完成要求，而使用特别权限则可以很轻松地完成设置。方法如下：
图2
首先，右键点击“zhiguo”目录，在右键快捷菜单中选择“共享与安全”项，随后在“安全”选项卡设置界面中选中“zhong”用户并点击下方的“高级”按钮，在弹出的对话框中点击清空“从父项继承那些可以应用到子对象的权限项目，包括那些在此明确定义的项目”项选中状态，这样可以断开当前权限设置与父级权限设置之前的继承关系。在随即弹出的“安全”对话框中点击“复制”或“删除”按钮后(点击“复制”按钮可以首先复制继承的父级权限设置，然后再断开继承关系)，接着点击“应用”按钮确认设置，再选中“zhong”用户并点击“编辑”按钮，在弹出的“zhong的权限项目”对话框中请首先点击“全部清除”按钮，接着在“权限”列表中选择“遍历文件夹/运行文件”、“列出文件夹/读取数据”、“读取属性”、“创建文件/写入数据”、“创建文件夹/附加数据”、“读取权限”几项，最后点击“确定”按钮结束设置。如图3所示。
图3
在经过上述设置后，“zhong”用户在对“zhiguo”进行删除操作时，就会弹出提示框警告操作不能成功的提示了。显然，相对于标准访问权限设置上的笼统，特别访问权限则可以实现更具体、全面、精确的权限设置。
为了大家更好地理解特殊权限列表中的权限含义，以便做出更精确的权限设置，下面简单解释一下其含义：
⑴遍历文件夹/运行文件(Traverse Folder/Execute File)：该权限允许用户在文件夹及其子文件夹之间移动(遍历)，即使这些文件夹本身没有访问权限。注意：只有当在“组策略”中(“计算机配置”→“Windows设置”→“安全设置”→“本地策略”→“用户权利指派”)将“跳过遍历检查”项授予了特定的用户或用户组，该项权限才能起作用。默认状态下，包括“Administrators”、“Users”、“Everyone”等在内的组都可以使用该权限。对于文件来说，拥了这项权限后，用户可以执行该程序文件。但是，如果仅为文件夹设置了这项权限的话，并不会让用户对其中的文件带上“执行”的权限；
⑵列出文件/读取数据(List Folder/Read Data)：该权限允许用户查看文件夹中的文件名称、子文件夹名称和查看文件中的数据；
⑶读取属性(Read Attributes)：该权限允许用户查看文件或文件夹的属性(如系统、只读、隐藏等属性)；
⑷读取扩展属性(Read Extended Attributes)：该权限允许查看文件或文件夹的扩展属性，这些扩展属性通常由程序所定义，并可以被程序修改；
⑸创建文件/写入属性(Create Files/Write Data)：该权限允许用户在文件夹中创建新文件，也允许将数据写入现有文件并覆盖现有文件中的数据；
⑹创建文件夹/附加数据(Create Folder/Append Data)：该权限允许用户在文件夹中创建新文件夹或允许用户在现有文件的末尾添加数据，但不能对文件现有的数据进行覆盖、修改，也不能删除数据；
⑺写入属性(Write Attributes)：该权限允许用户改变文件或文件夹的属性；
⑻写入扩展属性(Write Extended Attributes)：该权限允许用户对文件或文件夹的扩展属性进行修改；
⑼删除子文件夹及文件(Delete Subfolders and Files)：该权限允许用户删除文件夹中的子文件夹或文件，即使在这些子文件夹和文件上没有设置删除权限；
⑽删除(Delete)：该权限允许用户删除当前文件夹和文件，如果用户在该文件或文件夹上没有删除权限，但是在其父级的文件夹上有删除子文件及文件夹权限，那么就仍然可以删除它；
⑾读取权限(Read Permissions)：该权限允许用户读取文件或文件夹的权限列表；
⑿更改权限(Change Permissions)：该权限允许用户改变文件或文件夹上的现有权限；
⒀取得所有权(Take Ownership)：该权限允许用户获取文件或文件夹的所有权，一旦获取了所有权，用户就可以对文件或文件夹进行全权控制。
这里需要单独说明一下“修改”权限与“写入”权限的区别：如果仅仅对一个文件拥有修改权限，那么，不仅可以对该文件数据进行写入和附加，而且还可以创建新文件或删除现有文件。而如果仅仅对一个文件拥有写入权限，那么既可以对文件数据进行写入和附加，也可以创建新文件，但是不能删除文件。也就是说，有写入权限不等于具有删除权限，但拥有修改权限，就等同于拥有删除和写入权限。
2.共享权限(Shared Permission)
只要是共享出来的文件夹就一定具有此权限。如该文件夹存在于NTFS分区中，那么它将同时具有NTFS权限与共享权限，如果这个资源同时拥有NTFS和共享两种权限，那么系统中对权限的具体实施将以两种权限中的“较严格的权限”为准──这也是“拒绝优于允许”原则的一种体现！
例如，某个共享资源的NTFS权限设置为完全控制，而共享权限设置为读取，那么远程用户就只能使用“读取”权限对共享资源进行访问了。
注意：如果是FAT16/FAT32文件系统中的共享文件夹，那么将只能受到共享权限的保护，这样一来就容易产生安全性漏洞。这是因为共享权限只能够限制从网络上访问资源的用户，并无法限制直接登录本机的人，即用户只要能够登录本机，就可以任意修改、删除FAT16/FAT32分区中的数据了。因此，从安全角度来看，我们是不推荐在Windows XP中使用FAT16/FAT32分区的。
设置共享权限很简单，在右键选中并点击一个文件夹后，在右键快捷菜单中选择“共享与安全”项，在弹出的属性对话框“共享”选项卡设置界面中点击选中“共享该文件夹”项即可，这将使共享资源使用默认的权限设置(即“Everyone”用户拥有读取权限)。如果想具体设置共享权限，那么请点击“权限”按钮，在打开的对话框中可以看到权限列表中有“完全控制”、“更改”和“读取”三项权限可供选择。如图4所示。
图4
下面先简单介绍一下这三个权限的含义：
①完全控制：允许用户创建、读取、写入、重命名、删除当前文件夹中的文件以及子文件夹，另外，也可以修改该文件夹中的NTFS访问权限和夺取所有权；
②更改：允许用户读取、写入、重命名和删除当前文件夹中的文件和子文件夹，但不能创建新文件；
③读取：允许用户读取当前文件夹的文件和子文件夹，但是不能进行写入或删除操作。
说完了权限的含义，我们就可以点击“添加”按钮，将需要设置权限的用户或用户组添加进来了。在缺省情况下，当添加新的组或用户时，该组或用户将具备“读取”(Read)权限，我们可以根据实际情况在下方的权限列表中进行复选框的选择与清空。
接着再来说说令很多读者感到奇怪的“组和用户名称”列表中的“Everyone”组的含义。在Windows 2000中，这个组因为包含了“Anonymous Logon”组，所以它表示“每个人”的意思。但在Windows XP中，请注意──这个组因为只包括“Authenticated Users”和“Guests”两个组，而不再包括“Anonymous Logon”组，所以它表示了“可访问计算机的所有用户”，而不再是“每个人”！请注意这是有区别的，“可访问计算机的所有用户”意味着必须是通过认证的用户，而“每个人”则不必考虑用户是否通过了认证。从安全方面来看，这一点是直接导致安全隐患是否存在关键所在！
当然，如果想在Windows XP中实现Windows 2000中那种“Everyone”设计机制，那么可以通过编辑“本地安全策略”来实现，方法是：在“运行”栏中输入“Secpol.msc”命令打开“安全设置”管理单元，依次展开“安全设置”→“本地策略”，然后进入“安全选项”，双击右侧的“网络访问：让‘每个人’权限应用于匿名用户”项，然后选择“已启用”项既可。
注意：在Windows XP Professional中，最多可以同时有10个用户通过网络登录(指使用认证账户登录的用户，对于访问由IIS提供的Web服务的用户没有限制)方式使用某一台计算机提供的共享资源。
3.资源复制或移动时权限的变化与处理
在权限的应用中，不可避免地会遇到设置了权限后的资源需要复制或移动的情况，那么这个时候资源相应的权限会发生怎样的变化呢？下面来了解一下：
(1)复制资源时
在复制资源时，原资源的权限不会发生变化，而新生成的资源，将继承其目标位置父级资源的权限。
(2)移动资源时
在移动资源时，一般会遇到两种情况，一是如果资源的移动发生在同一驱动器内，那么对象保留本身原有的权限不变(包括资源本身权限及原先从父级资源中继承的权限)；二是如果资源的移动发生在不同的驱动器之间，那么不仅对象本身的权限会丢失，而且原先从父级资源中继承的权限也会被从目标位置的父级资源继承的权限所替代。实际上，移动操作就是首先进行资源的复制，然后从原有位置删除资源的操作。
(3)非NTFS分区
上述复制或移动资源时产生的权限变化只是针对NTFS分区上而言的，如果将资源复制或移动到非NTFS分区(如FAT16/FAT32分区)上，那么所有的权限均会自动全部丢失。
4.资源所有权的高级管理
有时我们会发现当前登录的用户无法对某个资源进行任何操作，这是什么原因呢？其实这种常见的现象很有可能是因为对某个资源进行的NTFS权限设置得不够完善导致的──这将会造成所有人(包括“Administrator”组成员)都无法访问资源，例如不小心将“zhiguo”这个文件夹的所有用户都删除了，这将会导致所有用户都无法访问这个文件夹，此时很多朋友就会束手无策了，其实通过使用更改所有权的方法就可以很轻松地解决这类权限问题了。
首先，我们需要检查一下资源的所有者是谁，如果想查看某个资源(如sony目录)的用户所有权的话，那么只需使用“dir sony /q”命令就可以了。在反馈信息的第一行就可以看到用户是谁了，例如第一行的信息是“lovebook\zhong”，那么意思就是lovebook这台计算机中的“zhong”用户。如图5所示。
图5
如果想在图形界面中查看所有者是谁，那么需要进入资源的属性对话框，点击“安全”选项卡设置界面中的“高级”按钮，在弹出的“(用户名)高级安全设置”界面中点击“所有者”选项卡，从其中的“目前该项目的所有者”列表中就可以看到当前资源的所有者是谁了。
如果想将所有者更改用户，那么只需在“将所有者更改为”列表中选择目标用户名后，点击“确定”按钮即可。此外，也可以直接在“安全”选项卡设置界面中点击“添加”按钮添加一个用户并赋予相应的权限后，让这个用户来获得当前文件夹的所有权。
注意：查看所有者究竟对资源拥有什么样的权限，可点击进入“有效权限”选项卡设置界面，从中点击“选择”按钮添加当前资源的所有者后，就可以从下方的列表中权限选项的勾取状态来获知了。
五、程序使用权限设定
Windows XP操作系统在文件管理方面功能设计上颇为多样、周全和智能化。这里通过“程序文件使用权限”设置、将“加密文件授权多个用户可以访问”和了解系统日志的访问权限三个例子给大家解释一下如何进行日常应用。
1.程序文件权限设定
要了解Windows XP中关于程序文件的访问权限，我们应首先来了解一下Windows XP在这方面的两个设计，一是组策略中软件限制策略的设计；二是临时分配程序文件使用权限的设计。
(1)软件限制策略
在“运行”栏中输入“Gpedit.msc”命令打开组策略窗口后，在“计算机配置”→“Windows设置”→“安全设置”分支中，右键选中“软件限制策略”分支，在弹出的快捷菜单中选择新建一个策略后，就可以从“软件限制策略”分支下新出现的“安全级别”中看到有两种安全级别的存在了。
这两条安全级别对于程序文件与用户权限之前是有密切联系的：
①不允许的：从其解释中可以看出，无论用户的访问权如何，软件都不会运行；
②不受限的：这是默认的安全级别，其解释为“软件访问权由用户的访问权来决定”。显然，之所以在系统中可以设置各种权限，是因为有这个默认安全策略在背后默默支持的缘故。如果想把“不允许的"安全级别设置为默认状态，只需双击进入其属性界面后点击“设为默认值”按钮即可。
(2)临时分配程序文件
为什么要临时分配程序文件的管理权限呢？这是因为在Windows XP中，有许多很重要的程序都是要求用户具有一定的管理权限才能使用的，因此在使用权限不足以使用某些程序的账户时，为了能够使用程序，我们就需要为自己临时分配一个访问程序的管理权限了。为程序分配临时管理权限的方法很简单：右键点击要运行的程序图标，在弹出的快捷菜单中选择“运行方式”，在打开的“运行身份”对话框中选中“下列用户”选项，在“用户名”和“密码”右侧的文本框中指定用户及密码即可。
显然，这个临时切换程序文件管理权限的设计是十分有必要的，它可以很好地起到保护系统的目的。
2.授权多个用户访问加密文件
Windows XP在EFS上的改进之一就是可以允许多个用户访问加密文件，这些用户既可以是本地用户，也可以是域用户或受信任域的用户。由于无法将证书颁发给用户组，而只能颁发给用户，所以只能授权单个的账户访问加密文件，而用户组将不能被授权。
要授权加密文件可以被多个用户访问，可以按照如下方法进行操作：
选中已经加密的文件，用鼠标右键点击该加密文件，选择“属性”，在打开的属性对话框中“常规”选项卡下点击“高级”按钮，打开加密文件的高级属性对话框，点击其中的“详细信息”按钮(加密文件夹此按钮无效)，在打开的对话框中点击“添加”按钮添加一个或多个新用户即可(如果计算机加入了域，则还可以点击“寻找用户”按钮在整个域范围内寻找用户)。如图6所示。
图6
如果要删除某个用户对加密文件的访问权限，那么只需选中此用户后点击“删除”按钮即可。
3.日志的访问权限
什么是日志？我们可以将日志理解为系统日记，这本“日记”可以按系统管理员预先的设定，自动将系统中发生的所有事件都一一记录在案，供管理员查询。既然日志信息具有如此重要的参考作用，那么就应该做好未经授权的用户修改或查看的权限控制。因此，我们非常有必要去了解一下日志的访问权限在Windows XP中是怎样设计的。一般来说，Administrators、SYSTEM、Everyone三种类型的账户可以访问日志。
这三种类型的账户对不同类型的日志拥有不同的访问权限，下面来看一下表格中具体的说明，请注意“√”表示拥有此权限；“×”表示无此权限。
对应用程序日志的权限
账户
读取
写入
清除
Administrators
√
√
√
SYSTEM
√
√
√
Everyone
√
√
×
对安全日志的权限
账户
读取
写入
清除
Administrators
√
×
√
SYSTEM
√
√
√
Everyone
×
×
×
对系统日志的权限
账户
读取
写入
清除
Administrators
√
√
√
SYSTEM
√
√
√
Everyone
√
×
×
通过对比，可以看出SYSTEM拥有的权限最高，可以对任意类型的日志进行读写和清除操作；Everyone用户则可以读取应用程序和系统日志，但对安全日志无法读取。这是因为安全日志相对其他几种类型的日志在安全性方面的要求要高一些，只有SYSTEM能够对之写入。
如果想为其他用户赋予管理审核安全日志的权限，那么可以在“运行”栏中输入“Gpedit.msc”命令打开组策略编辑器窗口后，依次进入“计算机配置”→“Windows设置”→“安全设置”→“本地策略”→“用户权利指派”，双击右侧的“管理审核和安全日志”项，在弹出的对话框中添加所需的用户即可。
六、内置安全主体与权限
在Windows XP中，有一群不为人知的用户，它们的作用是可以让我们指派权限到某种“状态”的用户(如“匿名用户”、“网络用户”)等，而不是某个特定的用户或组(如“zhong”、“CPCW”这类用户)。这样一来，对用户权限的管理就更加容易精确控制了。这群用户在Windows XP中，统一称为内置安全主体。下面让我们来了解一下：
1.安全主体的藏身之处
下面假设需要为一个名为“zhiguo”的目录设置内置安全主体中的“Network”类用户权限为例，看看这群“默默无闻”的用户藏身在系统何处。
首先进入“zhiguo”目录属性界面的“安全”选项卡设置界面，点击其中的“添加”按钮，在弹出的“选择用户或组”对话框中点击“对象类型”按钮。在弹出对话框中只保留列表中的“内置安全主体”项，并点击“确定”按钮。
在接下来的对话框中点击“高级”按钮，然后在展开的对话框中点击“立即查找”按钮，就可以看到内置安全主体中包含的用户列表了。如图7所示。
图7
2.安全主体作用说明
虽然内置安全主体有很多，但正常能在权限设置中使用到的并不多，所以下面仅说明其中几个较重要的：
①Anonymous Logon：任何没有经过Windows XP验证程序(Authentication)，而以匿名方式登录域的用户均属于此组；
②Authenticated Users：与前项相反，所有经过Windows XP验证程序登录的用户均属于此组。设置权限和用户权力时，可考虑用此项代替Everyone组；
③BATCH：这个组包含任何访问这台计算机的批处理程序(Batch Process)；
④DIALUP：任何通过拨号网络登录的用户；
⑤Everyone：指所有经验证登录的用户及来宾(Guest)；
⑥Network：任何通过网络登录的用户；
⑦Interactive：指任何直接登录本机的用户；
⑧Terminal server user：指任何通过终端服务登录的用户。
……
在明白了内置安全主体的作用后，在进行权限的具体指派时就可以让权限的应用精确程度更高、权限的应用效果更加高效。显然，Windows XP中设置此类账户是十分有必要的，毕竟计算机是以应用为主，以应用类型进行账户分类，必然会使权限的管理不再混乱，管理更加合理！
From:http://www.itcomputer.com.cn/Article/Software/201309/1672.html