什么是 Batch 权限？
-
定义: Batch 是一个特殊的 SID（S-1-5-3），表示以批处理方式登录系统的用户或进程。它通常由任务计划程序（Task Scheduler）或其他自动化脚本触发。
-
作用: 用于标识和控制以非交互式方式运行的作业（如计划任务或脚本），确保这些进程拥有适当的权限。
-
典型场景: 当某个任务以批处理模式执行时，系统会将其登录类型标记为 Batch。
Batch 权限的具体能力
Batch 权限的具体能力取决于任务运行时使用的账户及其所属组，默认包括：
-
文件和文件夹管理:
-
默认权限:
-
取决于运行批处理任务的账户权限。
-
如果以普通用户账户运行，仅限于该账户可访问的资源（如 C:\Users\用户名）。
-
如果以系统账户（如 SYSTEM）运行，则拥有更高权限。
-
-
限制: 无独立的文件访问权限，权限继承自执行账户。
-
-
系统配置:
- 无权直接修改系统设置，除非运行账户属于 Administrators 组。
-
软件和进程:
-
可以执行指定的批处理脚本或程序。
-
权限范围由任务配置中指定的用户账户决定。
-
-
特权:
- 默认拥有 SeBatchLogonRight（以批处理方式登录的权限），由系统分配给运行批任务的账户。
与 Administrators、Users 和其他组的关系
-
与 Administrators 的对比:
-
Administrators: 拥有完全控制权。
-
Batch: 权限取决于运行账户，不具备独立的高权限。
-
-
with Users 的对比:
-
Users: 标准用户权限固定。
-
Batch: 动态权限，随运行账户变化（如可能是 Users 或 Administrators）。
-
-
与 Service 的对比:
-
Service: 用于服务进程，拥有类似但更持久的权限。
-
Batch: 用于一次性或定时任务，权限临时分配。
-
-
与 TrustedInstaller 的关系:
- Batch 无权修改受 TrustedInstaller 保护的文件，除非运行账户有更高权限并接管所有权。
Batch 权限的特点
-
动态性: Batch 不是固定用户组，而是登录类型的标识，权限随运行账户而定。
-
非交互性: 与交互式登录（Interactive）不同，Batch 表示后台运行的任务。
-
默认状态: 默认不分配给任何用户，需通过任务计划程序或其他机制触发。
如何管理 Batch 权限？
-
查看权限:
-
Batch 本身不直接出现在安全选项卡中，需检查运行任务的账户权限。
-
打开任务计划程序（taskschd.msc），查看任务的“安全选项”中指定的账户。
-
-
配置 Batch 任务:
-
创建任务：任务计划程序 → 创建任务 → 常规 → 指定运行账户（如 SYSTEM、Administrator 或普通用户）。
-
勾选“不管用户是否登录都要运行”可能涉及 Batch 登录。
-
-
分配特权:
-
本地安全策略（secpol.msc）→ 本地策略 → 用户权限分配 → “以批处理方式登录”：
- 默认分配给 Administrators 和 SYSTEM，可能手动添加其他账户。
-
-
运行示例:
- 使用命令行 schtasks /create /tn "MyTask" /tr "script.bat" /sc daily /ru "username" 创建批处理任务。
实际应用场景
-
定时备份: 使用任务计划程序运行备份脚本，以普通用户身份执行，权限限于该用户可访问的文件夹。
-
系统维护: 以 SYSTEM 账户运行批处理任务（如清理临时文件），拥有更高权限。
-
自动化脚本: 在企业中，运行夜间数据处理任务，权限由指定账户控制。
注意事项
-
权限依赖账户: Batch 权限不是独立权限，而是由运行任务的账户决定。
-
安全性: 如果以高权限账户（如 SYSTEM）运行 Batch 任务，需确保脚本安全，避免被恶意利用。
-
日志: 任务执行结果可在事件查看器（eventvwr.msc）中检查。
总结
Batch 权限是为批处理登录设计的权限状态，主要用于任务计划程序或其他自动化作业。它的权限范围完全取决于运行任务的账户，可以是低权限（如 Users）或高权限（如 Administrators），但本身不具备独立权限定义。与 TrustedInstaller 无直接关系，权限级别低于其保护的系统资源。Batch 的核心在于非交互式执行，适用于后台自动化任务。