Windows 10：强制登录用户更新其本地组成员身份

Question

有没有办法强制用户获得新授予的本地权限，而不需要用户再次登录？

假设以下场景：

计算机是 Windows 域环境的一部分。用户域名\JOHN登录他的电脑，约翰。 这域\域用户团体是当地的一部分”用户“群组约翰.因此 John 被允许以普通用户身份登录 PC。

如果我们远程添加约翰到“管理员”组约翰：

psexec \\JOHNPC net localgroup 管理员/添加 DOMAIN\JOHN

这有效。如果仍然登录的 JOHN 执行

网络本地组管理员

他会将自己视为本地管理员。但是，Windows 并未反映这一点。尽管 John 是本地管理员，但他无法运行任何高级程序。我们注意到，他必须注销并再次登录，Widnows 才能识别他新获得的本地管理员权限。

有没有办法在 John 保持登录状态时强制更新此行为？

Answer 1

不可能。当用户登录， 一个访问令牌创建（因为 UAC 从技术上来说，它分为两种，一种是提升权限，一种是非提升权限）。令牌是不可变的。它包含一个不可变副本令牌所拥有的所有特权。

这些令牌通常在进程之间继承，除非提升。

获取新令牌的唯一方法是重新登录。您也可以使用runas来实现此目的，甚至重新启动explorer.exe。但任何正在运行的进程都会保留其旧令牌。