如果我的帐户是管理员组的成员，为什么需要以管理员身份运行命令？

如果我的帐户已经是管理员组的成员，为什么Windows 7上的某些功能需要我以管理员身份运行它们？我认为那是隐含的？

成功登录Windows计算机后，将生成代表该登录会话的访问令牌。除其他事项外，此令牌还包含您的用户名和您成为其成员的组。

您在该会话中启动的所有程序都对此令牌进行了引用。当程序想要执行某项操作时，它会向Windows提供访问令牌，Windows会使用它来验证用户是否有权执行该操作。

问题在于，当您以管理员身份登录时，启动的每个程序都以管理员身份运行。这很方便，但也意味着邮件阅读器，文本编辑器以及您下载和运行的每个随机程序都可以根据需要对系统进行处理。

这是用户帐户控制旨在解决的问题

从Windows Vista开始，当管理员登录时，将为他们分配两个单独的访问令牌：

• 一个标准令牌，包含除“管理员”之外的所有组成员身份。
• 一个提升的令牌，其中包含所有组成员身份，包括“管理员”。

在正常使用期间，将使用标准访问令牌。使用此令牌启动程序时，它具有与标准用户相同的权限。如果它尝试执行只有管理员有权访问的操作，则Windows将拒绝访问，因为标准令牌不包含管理员的成员身份。

如果您启动程序“以管理员身份”，则Windows将为程序提供提升的令牌，而不是标准令牌。现在，只要应用程序尝试访问仅限于管理员的内容，令牌就会包含该成员身份，并且操作将成功。

UAC的目的是在程序利用其管理特权时通知用户。文本编辑器和邮件阅读器通常不需要以管理员身份运行，因此看到针对这些程序的UAC对话框应引起警报或至少进行一些审查。

还可以提供Microsoft 对UAC的解释以及一些处理UAC的步骤。

这个想法是提供最少的特权。

最小特权原则已被广泛认为是增强对数据和功能的保护，以防止故障（容错）和恶意行为（计算机安全）的重要设计考虑因素。

使用管理凭据运行的程序越多，您越容易受到故障或恶意软件的攻击。允许您执行需要管理访问权限的操作而无需执行具有该访问权限级别的所有操作的折衷办法是根据具体情况明确提示-仅仅是因为您属于管理组，并不意味着您想提供每个程序具有完整的行政权力。