如何在 Windows 11 上啟用管理員保護

在 Windows 11 中，您可以啟用管理員保護來加強管理員帳戶的安全性。
此功能可防止靜默權限提升，並要求使用 Windows Hello 或同意提示進行確認。
您可以透過群組原則中的「安全性選項」 > 「管理員核准模式」啟用它，或在登錄中將TypeOfAdminApprovalMode值設為2來啟用它。
也可以透過 Windows 安全中心應用程式啟用該功能。

在Windows 11中，您現在可以啟用「管理員保護」功能，以便在執行需要提升權限的應用程式時增加一層額外的安全性保障。本指南將說明如何透過群組原則、登錄和 Windows 安全中心設定此功能。

什麼是管理員保護？

管理員保護是 Windows 11 的安全功能，旨在增強具有管理員權限的帳戶的安全性。通常，“管理員”群組的使用者可以不受限制地修改系統設定和安裝應用程式。雖然這些功能很有用，但也存在嚴重的安全風險，因為惡意攻擊者可以利用這些功能來入侵系統。

此功能有助於降低這些風險，減少使用者誤操作進行系統層級變更的可能性，並防止惡意軟體在背景進行未經授權的修改。

管理員保護機制是如何運作的？

此功能應用了「最小權限原則」（PoLP），預設將管理員帳戶視為標準使用者。只有在明確批准後，才會依照「即時」（JIT）權限提升流程授予提升的權限。

例如，如果您嘗試執行管理任務（例如修改系統設定或安裝應用程式），則必須先批准權限提升。這可以透過Windows Hello 驗證（預設方法）或在安全性環境中同意提示（無需額外驗證）來完成。

任務獲得批准後，Windows 11 會使用系統產生的獨立使用者帳戶暫時建立一個隔離的管理員令牌。該令牌僅在任務期間使用，任務完成後立即銷毀。微軟表示，這可以確保管理員權限不會永久保留。每次後續要求提升權限時，都會重複整個過程，從而維護安全的環境。

此外，提示訊息採用不同的配色方案，以視覺方式提示與該行為相關的潛在風險。

管理員保護和使用者帳號控制是一回事嗎？

雖然看起來很相似，但管理員保護與使用者帳戶控制 (UAC)並不相同。微軟將UAC 定義為“一種縱深防禦功能”，而管理員保護旨在確保任何對提升權限會話的程式碼或資料的存取或篡改，都必須經過使用者的適當確認才能執行。

簡而言之，使用者帳戶控制側重於系統範圍的變更通知，而管理員保護則透過最大限度地減少權限濫用來加強管理員帳戶的安全模型。

在本指南中，我將概述在 Windows 11 上為管理員啟用新安全功能的三種方法。

警告：在進行任何操作之前，請務必了解修改 Windows 註冊表的風險。錯誤的變更可能導致系統不穩定或運作問題。因此，在進行任何更改之前，請確保已完整備份系統。請謹慎操作並充分理解相關風險。

在 Windows 11 上透過「安全性」應用程式啟用管理員保護

若要透過 Windows 安全性更新啟用管理員保護，請依照下列步驟操作：

完成這些步驟後，電腦上的安全功能將會啟用。

若要在 Windows 11 專業版中透過群組原則編輯器啟用管理員保護，請依照下列步驟操作：

完成這些步驟後，這些設定將套用至 Windows 11 專業版或企業版，下次執行需要提升權限的應用程式時，系統會提示您同意操作或使用可用的 Windows Hello 方法之一進行驗證。

若要透過登錄在 Windows 11（家用版和專業版）上啟用管理員保護，請依照下列步驟操作：

打開開始。
搜尋「regedit」，然後點選第一個搜尋結果開啟登錄編輯程式。
打開以下路徑：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
右鍵點選TypeOfAdminApprovalMode鍵，然後選擇「修改」選項。
將其值改為2以啟用該功能。
點選“確定”按鈕。
重啟電腦。