把公司电脑的本地管理员权限全收了，我拿两台样机试了三天才敢推

我们单位电脑以前是给每个用户开本地管理员权限的，图省事。结果这半年出了好几档子事：有人自己下破解软件把系统搞蓝屏，有人把安全软件卸了装全家桶，最气人的是有台财务的机器，浏览器主页被改了，用户自己都不知道啥时候点的。上个月领导发话，权限要收，但怎么收、收完大家还能不能干活，这事得我拿方案。

我先把话说前头，我干了二十年运维，最烦那种一刀切。你说直接组策略把管理员一关，看着痛快，第二天报修电话能给你打爆。所以我的搞法是先摸底再动手。挑了两台样机，一台是行政的办公机，一台是财务的打单机，这两台平时用的软件最杂，拿它们试错最保险。

第一步，我先把两台机子上装的所有软件拉了个清单，一个一个过，看哪些非要管理员权限才能跑。结果真翻出几个：一个老版打单软件，装的时候要写注册表；一个PDF虚拟打印机，驱动得管理员装；还有台扫描仪的配套工具，每次开机要自启个服务。这几样我提前做了提权白名单，让它们在安装或更新时临时提权，日常使用走普通账户。

第二步，我把用户目录和共享盘的权限重新捋了一遍。以前大家习惯把文件存C盘根目录，收权限后写不进去，这块得提前通知，让他们把东西挪到文档或者共享盘。我做了个一页纸的说明，写清楚哪些盘能存、哪些不能，贴群里，比发邮件管用。

第三步，我先在样机上跑了三天，故意模拟各种场景：装新软件、更新驱动、连打印机、访问共享文件夹。头一天就碰壁了，财务那台一开打单软件就弹报错，我蹲日志发现是它要往Program Files目录写临时文件，权限不够。后来给它单独开了个数据目录，改了个配置，才消停。

现在这两台样机跑了快两周，稳了，我才敢往下面推。我的经验就一句话：收权限是好事，但得先摸清每台机子的脾气，拿样机趟雷，别拿全公司当试验田。另外提一句，解压工具、看图工具这类，我选的都是无广告、能远程协助的，出了问题用户点一下就有人管，省得我跑断腿。

最后问一句：你们单位收本地管理员权限的时候，有没有碰到那种“看着能用、一跑就报错”的软件？都是咋处理的？