Windows Server 2025 / Gerenciar usuários e grupos locais

Um usuário local pertence a uma instalação do Windows Server; um grupo local reúne contas às quais esse servidor pode atribuir direitos. Separe contas diárias e administrativas, e adicione cada conta somente aos grupos necessários para sua tarefa.

Distinga identidades locais e de domínio

O usuário local labuser no FS1 é gerenciado pelo FS1. Criar o mesmo nome em outro servidor cria uma identidade diferente. Contas de domínio são gerenciadas no Active Directory e podem autenticar em computadores associados.

Realize este exercício no FS1 como servidor autônomo ou membro do domínio, e não em um controlador de domínio. Um controlador não expõe o gerenciamento de contas locais de servidor membro comum da mesma forma; a ausência do nó Usuários e Grupos Locais no DC1 não é um erro em si.

Crie o usuário e o grupo na interface gráfica

1. Entre como administrador no FS1 e execute compmgmt.msc.
2. Abra Ferramentas do Sistema → Usuários e Grupos Locais → Usuários, depois crie um novo usuário.
3. Crie o labuser com uma senha única. Escolha as condições de alteração de senha apropriadas ao método de login planejado e à política.
4. Crie um grupo chamado LabReaders e adicione labuser. Não o adicione aos Administradores.

LabReaders é o nome do seu próprio grupo e não muda com o idioma da interface do Windows. Os nomes de exibição de grupos integrados podem ser localizados, então verifique descrições e membros, bem como os nomes.

Apenas a associação não concede acesso a arquivos ou login remoto. Você deve atribuir separadamente as permissões do grupo em um recurso ou direitos na política de logon aplicável.

Crie a configuração equivalente com o PowerShell

Se esses objetos já foram criados na interface gráfica, não execute os comandos de criação novamente. Caso ainda não existam no FS1, use o Windows PowerShell de 64 bits aberto como administrador. New-LocalUser aceita uma senha do tipo SecureString:

$labPassword = Read-Host 'Password for labuser' -AsSecureString
New-LocalUser -Name 'labuser' -Password $labPassword -Description 'Lab standard user'
New-LocalGroup -Name 'LabReaders' -Description 'Lab read access group'
Add-LocalGroupMember -Group 'LabReaders' -Member "$env:COMPUTERNAME\labuser"
Get-LocalGroupMember -Group 'LabReaders'

O comando final deve listar FS1\labuser em LabReaders. Não coloque a senha no código-fonte nem use um atalho sem senha. Verifique o suporte da plataforma na referência do módulo LocalAccounts.

Verifique o estado da conta e a sessão real do usuário

Verifique a criação separadamente do acesso efetivo. Get-LocalUser mostra se a conta está habilitada; as consultas aos grupos mostram quais contas participam de cada um. Execute whoami na sessão do usuário padrão real, não em uma janela de administrador.

Get-LocalUser -Name 'labuser' | Select-Object Name,Enabled,LastLogon
Get-LocalGroupMember -Group 'LabReaders'
whoami
whoami /groups

Uma sessão existente pode reter seu token de acesso original após alterações na participação em grupos. Faça logout e login novamente antes de comparar os resultados. Para falha de logon, verifique a habilitação da conta, senha, idioma do teclado e identidade local versus de domínio. Uma política de negação de logon pode prevalecer sobre a participação em um grupo; conceder direitos de administrador não é uma solução geral.

Desative contas temporárias antes de excluí-las

Esses comandos executam ações opostas. Execute apenas o que for necessário:

Disable-LocalUser -Name 'labuser'
Enable-LocalUser -Name 'labuser'

Antes de remover permanentemente a configuração do laboratório, verifique as permissões atribuídas ao grupo, remova a associação e, em seguida, exclua o grupo e o usuário se não forem mais necessários:

Remove-LocalGroupMember -Group 'LabReaders' -Member "$env:COMPUTERNAME\labuser"
Remove-LocalGroup -Name 'LabReaders'
Remove-LocalUser -Name 'labuser'

Uma conta recriada com o mesmo nome possui um identificador de segurança (SID) diferente, então as permissões anteriores não o seguem automaticamente. Mantenha a conta caso futuros exercícios de permissão de arquivo precisem dela. Antes de desativar qualquer conta administrativa, verifique outra rota de entrada administrativa funcional.