公司电脑人人都有本地管理员权限，要不要收回来？怎么收？

问题

小公司当年图省事，装机时把每个员工都设成本地管理员，装软件随便装。几年下来：流氓软件清不完、中一次病毒一片电脑遭殃、电脑越用越卡还说不清谁装的什么。现在想收紧权限，又怕员工闹"装个输入器都要找 IT"，怎么办？

原因

人人管理员等于每台电脑都敞着门：网页挂马、捆绑安装、勒索软件加密文件，拿到的都是最高权限，感染一台扩散一片；出问题也定不了位，因为谁都能改系统。但一刀切断权限、又没有配套的软件供给渠道，员工确实会堵在门口——所以收敛权限从来不是"改个设置"的事，是一套组合动作。

分步解决

第一步，摸底：收集两周内"哪些软件在装、哪些要管理员才能跑"的清单（软件资产盘点），把高频软件列成白名单，这是后面不挨骂的底气。

第二步，建供给：常用软件由 IT 统一打包分发或做个内部软件目录，员工自助点装、不用提权；个别确实要管理员安装的，集中装好再交付。

第三步，试点分批切换：先切行政和技术部的一两台，员工账户降为标准用户，观察一两周，收集"哪些软件跑不起来"补进白名单，再全公司推开。

第四步，留应急通道：部署微软 LAPS 给每台电脑的本地管理员账户设独立随机密码、定期自动轮换，密码集中存在域里、IT 需要时按权限查看。这样机器出问题有后门可进，又不至于全员共享一个"万能管理员密码"。

第五步，划红线但别做绝：确有特殊岗位（开发、测试）需要管理员，可以单独给一台豁免或走申请-审批-定期回收流程，别为省事全局放开通。

预防

新员工入职电脑默认标准权限，从源头不再产生新的管理员账户；每季度复查一次本地管理员组成员，把悄悄加进去的账户清出来。权限收敛这类整改，贵州诚鑫致达科技帮客户整套做过，要聊搜"诚鑫致达"。