什么是 Distributed COM Users 权限？
-
定义: Distributed COM Users 是一个内置安全组，其成员被授予使用分布式 COM（Distributed Component Object Model, DCOM）对象的特定权限。
-
DCOM 简介: DCOM 是微软的一种技术，允许应用程序通过网络在不同计算机之间通信和调用对象。它是 COM（组件对象模型）的扩展，广泛用于企业级应用程序和系统服务。
-
作用: 该组的权限设计用于支持需要跨计算机运行 DCOM 应用程序的用户，而不授予他们完整的管理员权限。
Distributed COM Users 权限的具体能力
Distributed COM Users 组的权限主要集中在 DCOM 的使用上，默认包括：
-
DCOM 操作:
-
启动和激活: 可以本地或远程启动和激活 DCOM 对象。
-
访问: 可以访问已配置为允许该组使用的 DCOM 应用程序。
-
-
文件和文件夹管理:
- 默认情况下，该组对系统文件或文件夹没有特殊权限，除非管理员明确分配。
-
系统配置:
- 无法直接修改系统设置或注册表，除非同时属于 Administrators 组。
-
软件管理:
- 可以运行依赖 DCOM 的程序，但无权安装或卸载软件。
-
限制:
- 权限仅限于 DCOM 相关的操作，不包括对系统其他部分的控制。
与 Administrators 和其他组的关系
-
与 Administrators 的对比:
- Administrators 拥有完全控制权，包括配置 DCOM 设置和修改系统资源，而 Distributed COM Users 仅限于使用已配置的 DCOM 对象。
-
与 Users 的对比:
- Users 组成员默认无法启动或访问 DCOM 对象，除非被特别授权，而 Distributed COM Users 具有这方面的特权。
-
与 Authenticated Users 的对比:
- Authenticated Users 是更广泛的组，包含所有经过身份验证的用户，但没有特定于 DCOM 的权限。
-
与 TrustedInstaller 的关系:
- TrustedInstaller 保护系统文件，与 Distributed COM Users 的权限无直接交集。
如何管理 Distributed COM Users 权限？
-
查看组成员:
-
打开“计算机管理”（compmgmt.msc）→ 本地用户和组 → 组 → Distributed COM Users。
-
默认情况下，该组可能为空。
-
-
添加成员:
- 管理员可以将用户账户添加到此组，授予其 DCOM 使用权限。
-
配置 DCOM 权限:
-
使用工具如 dcomcnfg（组件服务）：
-
打开“组件服务” → 计算机 → 我的电脑 → DCOM 配置。
-
找到特定应用程序，右键 → 属性 → 安全选项卡 → 配置启动、激活和访问权限。
-
-
可以为 Distributed COM Users 组分配特定 DCOM 对象的权限。
-
-
检查权限:
- 默认情况下，该组成员只能操作已明确授权的 DCOM 对象。
Distributed COM Users 权限的特点
-
默认成员: 默认情况下，Distributed COM Users 组为空，需手动添加用户。
-
专用性: 权限高度专注于 DCOM 操作，不涉及其他系统功能。
-
安全性: 通过限制权限范围，避免用户获得不必要的系统控制权。
实际应用场景
-
企业应用程序: 一个财务软件通过 DCOM 在客户端和服务器之间通信，管理员将相关用户加入 Distributed COM Users 组以确保其正常运行。
-
远程管理: IT 人员可能为某些账户分配此权限，以便远程调用 DCOM 服务，而无需提升至 Administrators。
-
开发测试: 开发人员测试分布式应用程序时，可能需要此权限来启动和调试 DCOM 对象。
注意事项
-
权限范围有限: Distributed COM Users 仅适用于 DCOM，不能执行其他管理员任务。
-
配置依赖: 如果 DCOM 对象未正确配置，即使属于该组也可能无法访问。
-
安全性: 不应随意添加用户到此组，以防止未经授权的 DCOM 调用。
总结
Distributed COM Users 权限是为需要使用分布式 COM 功能的用户设计的特殊权限，允许他们启动、激活和访问 DCOM 对象，而不授予完整的系统控制权。它比 Users 组权限稍高，但远低于 Administrators 和 TrustedInstaller，适用于特定的分布式应用程序场景。通过 dcomcnfg 工具和组成员管理，可以精确控制其权限范围。