Windows 10 的用户帐户类型，说简单点就两大类：管理员跟标准用户。管理员能装软件、改系统设置、动其他用户的文件，标准用户只能老老实实用自己的桌面和文档。平时大家改用户类型，十有八九都是打开“设置—账户—家庭和其他用户”，点一下“更改帐户类型”，选一下完事。这个入口确实简单，但问题也很明显：信息量太少，批量操作要一个个点，碰到某些版本或策略限制还会被锁死。今天这篇我整理出四种平时很少有人主动提、但实际效率极高的更改用户帐户类型的方法，覆盖图形界面、命令行、脚本三种路线，从家庭版到企业批量部署都能照顾到。
先交代一下适用人群：不管是自己装机后想建一个日常用的标准账户，还是帮同事批量设置权限，或者是公司IT在部署时要做本地账户管理，这篇文章都值得看完。每种方法我都会讲清楚操作的完整步骤、背后的原理，以及实际使用中踩过的坑。尤其是命令行和 PowerShell 那两种，熟练之后你会觉得“设置”里的入口实在太慢了。
1. 用户帐户类型到底在管什么，为什么值得改
1.1 管理员与标准用户的角色划分
很多用户搞不明白，为什么 Windows 要区分管理员和标准用户，直接所有人都是管理员不就行了吗？其实不行。管理员账户拥有对整个系统的完全控制权，可以修改系统关键配置、安装驱动、更改所有用户的文件和数据。而标准用户只能运行已安装的软件、修改自己的用户配置，没有权限动系统级的东西。用生活类比来说，管理员就像物业经理，拿着总钥匙能进所有房间，标准用户就像租客，只能开自己那一户的门。
Windows 10 在权限模型上延续了 Windows NT 时代的思路，用户类型并不是一个孤立属性，它是由用户归属于哪个本地组决定的。本地组里最关键的是两个：Administrators（管理员组）和 Users（标准用户组）。你把一个账号塞进 Administrators 组，它就是管理员；把它从管理员组踢出去，它就变回标准用户。理解了这一层，后面所有方法就会变得特别通透。
下表是两类账户的典型权限对比：
| 权限点 | 管理员账户 | 标准用户 |
|---|---|---|
| 安装/卸载软件 | 允许 | 需要管理员凭据 |
| 修改系统时间与区域 | 允许 | 部分受限 |
| 修改系统服务 | 允许 | 拒绝 |
| 查看其他用户配置文件 | 允许 | 拒绝 |
| 执行 UAC 提权 | 直接触发同意 | 需要输入管理员密码 |
1.2 哪些场景需要调整用户帐户类型
先说几个我实际遇到过的典型场景，你对照看看是不是也碰到过：
新电脑买回来，默认第一个用户是管理员，很多人就直接拿这个管理员账户当日常主力用。这时候最好再建一个标准用户作为日常操作账户，系统一旦被流氓软件篡改，破坏范围最多控制在这个标准用户自己的文件里，不会影响整个系统。给家里人或者孩子用的电脑，也建议统一设成标准用户，省得乱装软件、乱改设置。
公司办公电脑，员工入职时 IT 给他建一个本地账户，结果发现权限给大了，能装各种乱七八糟的软件，影响安全。或者员工离职了，他的管理员权限要及时收回。这种场景下，如果每台电脑都去“设置”里点，效率极低，用命令行批量处理会快得多。
还有一种情况，某些软件安装时必须要管理员权限，但当前登录的是标准用户，安装过程中会反复弹 UAC 提示让你输入管理员密码。这时候要么临时切到管理员账户操作，要么把这个用户临时提权，装完再降回去。掌握快捷的变更方法就显得非常重要了。
2. 四种不为人知的更改方法详解
2.1 方法一：lusrmgr.msc 本地用户和组，最直接的图形化入口
提到图形化改用户类型，很多人只想到“设置”，但其实 Windows 10 专业版、企业版和教育版里一直带一个老牌的“本地用户和组”管理工具，通过运行窗口输入 lusrmgr.msc 就能直接打开。这个工具是 Windows 2000 时代就存在的 MMC 管理单元，功能比“设置”里那几项强大太多，除了能改用户组，还能管理账户密码策略、用户状态、全名备注等。
具体操作步骤：
- 按下 Win + R，输入 lusrmgr.msc，回车。
- 左侧导航栏选择“用户”，右侧会列出所有本地用户。
- 右键目标用户，选择“属性”。
- 切换到“隶属于”选项卡，这里会显示当前用户属于哪些组。
- 要把用户提升为管理员，点击“添加”，在“输入对象名称来选择”里输入 Administrators，点击“检查名称”，确认后确定。
- 要把用户从管理员降级为标准用户，在“隶属于”列表里选中 Administrators，点击“删除”，剩下 Users 组就代表它是标准用户了。
这里有个细节：单独把用户添加到 Administrators 组并不能自动把它从其他组移除，所以如果做降级操作，一定要手动删除 Administrators 组项，否则用户还是管理员。另外，如果用户已经存在于 Users 组，不用重复添加。
这个工具的隐藏价值在于它直接面对组关系，权限变更的“确认感”比设置界面强得多。但要注意，Windows 10 家庭版没有这个工具，输入 lusrmgr.msc 会提示找不到文件，具体解决办法我在后面版本差异部分会展开讲。
2.2 方法二：netplwiz 经典窗口里的“组成员”选项卡
很多老玩家知道 netplwiz 是因为它有个“要使用本计算机，用户必须输入用户名和密码”的勾选框，用来取消开机自动登录。很少有人注意到，这个窗口里还藏着一个“组成员”选项卡，可以直接切换用户类型。
具体操作步骤：
- 按下 Win + R，输入 netplwiz，回车。
- 在弹出的“用户帐户”窗口里，会列出所有本地用户和微软账户。
- 选中目标用户，点击“属性”。
- 切换到“组成员”选项卡。
- 这里有三项：标准用户、管理员、其他。默认选“标准用户”，改成“管理员”即可提升权限。
- 如果选择“其他”，下拉框里会出现 PowerShell Users、Remote Desktop Users 等高阶组，方便做更细粒度的权限分配。
这个方法的好处是 MySQL 的“其他”下拉菜单能让你直接看到所有可选的组，不像 lusrmgr.msc 那样需要手动输入组名。同时 netplwiz 在 Windows 10 全版本里都存在，包括家庭版，不会出现找不到工具的尴尬。
顺带说一句，如果你在运行窗口输入 control userpasswords2，打开的是同一个“用户帐户”窗口，只是入口名字不同，效果完全一样。这个方法可以当作 netplwiz 的双胞胎入口，交互上没有任何差别。
实际操作中我发现，netplwiz 的“组成员”选项卡在你快速切换单个用户类型时非常顺手，因为它不需要像 lusrmgr.msc 那样经历添加、检查名称、删除等好几层操作，点两个单选按钮就完成了。适合那种临时把用户提权，装完软件再降回来的场景。
2.3 方法三：net 命令，脚本批量改权限的利器
如果你需要管理的是几十台、上百台电脑，挨个打开图形界面点选项是不现实的，这时候 net 命令就派上用场了。net 命令是 Windows 自带的老牌网络管理工具，其中 net localgroup 子命令专门用于管理本地组和组成员关系。
常用命令如下：
查看当前系统所有本地组：
net localgroup把指定用户加入管理员组：
net localgroup administrators "用户名" /add把指定用户从管理员组移除：
net localgroup administrators "用户名" /delete查看管理员组里都有谁：
net localgroup administrators需要注意，执行这些命令前，必须先以管理员身份打开命令提示符。怎么判断你有没有管理员权限？方法很简单，在开始菜单里找到“命令提示符”，右键选择“以管理员身份运行”，如果标题栏显示“管理员: 命令提示符”，就说明权限正确。如果没有提权，系统会返回“拒绝访问”或者“发生系统错误 5”。
关于用户名带空格的情况，一定要用双引号括起来，比如用户叫 Zhang San，命令要写成：
net localgroup administrators "Zhang San" /add这个命令之所以适合批量操作，是因为它可以配合循环脚本使用。比如把一批需要提权的用户名写入 users.txt，再执行下面的脚本：
for /f %i in (users.txt) do net localgroup administrators "%i" /add这样一台电脑上的批量操作就完成了。如果再配合远程桌面或者其他远程管理工具，甚至可以一次性处理多台机器。我在帮朋友公司调整几十台电脑权限时，就是用这类脚本在每台电脑上跑一遍，比挨个点设置快太多了。
2.4 方法四：PowerShell 命令行管理本地用户组
PowerShell 是比 net 命令更现代的玩法，它提供了专门的 LocalAccounts 模块，命令语义清晰，而且能精细控制输出结果。Windows 10 内置的 PowerShell 5.1 就支持这些命令，不需要额外安装任何东西。
常用命令如下：
查看所有本地用户：
Get-LocalUser查看管理员组有哪些成员：
Get-LocalGroupMember -Group "Administrators"把用户加入管理员组：
Add-LocalGroupMember -Group "Administrators" -Member "用户名"把用户从管理员组移除：
Remove-LocalGroupMember -Group "Administrators" -Member "用户名"PowerShell 有个特点，它不仅能操作本地用户组，还能读取并列出详尽的账户状态。比如通过这条命令，把“用户类型、是否启用、账户描述”集合在一起输出：
Get-LocalUser | Select-Object Name, Enabled, Description, PrincipalSourcePrincipalSource 这个字段很有意思，它会告诉这个用户是本地账户（Local）还是来自微软账户（MicrosoftAccount）。在混合账户环境下，这个信息对排查问题非常有帮助。
批量操作的场景下，PowerShell 的管道能力是 net 命令比不了的。比如你想把所有名字以 temp 开头的用户全部加入管理员组，一句话就能搞定：
Get-LocalUser | Where-Object { $_.Name -like "temp*" } | Add-LocalGroupMember -Group "Administrators"注意，把用户移除管理员组时，PowerShell 也会实时反馈成功或失败，并且如果有用户正在被其他程序占用而无法修改，会给出明确的错误信息，这一点比 net 命令那种“命令成功完成”的干巴巴响应要友好得多。
3. 版本差异与权限模型的细节
3.1 家庭版为什么找不到 lusrmgr.msc
我在前面提到，Windows 10 家庭版输入 lusrmgr.msc 会提示找不到文件，这不是你操作错了，而是因为这个版本默认没有安装“本地用户和组”管理单元。微软为了区分家庭版和专业版的功能边界，故意砍掉了部分管理工具。所以如果你用的是家庭版，图形化最方便的方法就是 netplwiz，或者直接用命令行。
关于 lusrmgr.msc 有个常见的误解：有人想着把 lusrmgr.dll 或相关 DLL 从专业版拷贝过来就能用，实际这个方法在多数版本上都会失败，因为管理单元注册表和权限策略也是缺失的。与其折腾这些，不如老老实实用 netplwiz 或 PowerShell。顺带说一句，谁家电脑要是预装了 Windows 10 企业版 LTSC 2021 或者专业版，那就可以放心用 lusrmgr.msc，它肯定在。
还要注意，Windows 10 的 LTSC（长期服务版）因为去除了商店等组件，某些版本在账户管理的某些细节上显示会略有不同，但 netplwiz 和命令行方法完全不受影响。这个大版本之间的功能差异，大家心里有数就行。
3.2 为什么“用户类型”背后其实是“组成员关系”
理解了这一步，各种方法之间的本质就打通了。Windows 10 在本地层面判断一个用户是不是管理员，不是看某个固定的“用户类型”字段，而是看用户是否存在于 Administrators 组里。用户类型只是系统通过入组成员关系计算出来的一个简化表达。
这也是为什么同一个用户可能同时属于多个组。比如，一个用户可能既是 Administrators 成员，又是 Remote Desktop Users 成员，意味着它既能当管理员，又能远程登录。如果你想让它保持管理员权限但不能远程登录，就需要编辑组成员关系而不是简单切换用户类型。
反过来看，netplwiz 里的“标准用户”和“管理员”两个单选按钮，实际上是通过调整用户在 Users 组和 Administrators 组之间的归属来生效的。选择“标准用户”时，如果用户不在任何特殊组，它天然就属于 Users 组；选择“管理员”时，它会加入 Administrators 组。这跟我们在 lusrmgr.msc 里手动修改组关系，最终达到的效果是一样的。
明白了这个模型，下次看到某个用户属性里同时挂着好几个组，你就不会乱了：提升和降级的核心操作，本质上就是增删 Administrators 组的成员关系。
3.3 UAC 与管理员提权机制的影响
Windows 10 默认开启 UAC（用户账户控制）之后，即使当前登录的是管理员账户，系统也不会直接给你最高权限，而是会触发 UAC 提示框，要求确认。这一点经常被初学者误解，以为“我是管理员，所以所有操作都不应该弹窗”。事实是，管理员账户在 UAC 开启时运行大多数程序，默认也会使用“标准用户”级别的令牌，只有当程序明确请求提升或以管理员身份运行时，才会弹窗确认。
这个机制带来的实际影响是：当你把某个标准用户提升为管理员后，他不需要立即注销，但要执行管理操作时必须面对 UAC 确认框。如果系统里只有一个管理员账户，而你把它降级了，那这台电脑就暂时没有可用的管理员凭证了，后续想装软件、改设置都会非常被动。更麻烦的是，如果你当前登录的就是这个唯一的管理员账户，而系统里没有其他管理员能来批准降级操作，那整个动作会被 UAC 拦住。正确的顺序一定是：确保至少有两个管理员账户存在，或者当前有一个独立的管理员账户可以批准操作，再执行降级。
实际操作经验是，给家人或者同事设置账户时，一定要保证系统里至少有一个你不常用的管理员账户作为“后援”，万一主力管理员账户出问题，还能用后援账户进系统修复。这个后援账户平时不用，密码存好就行。
4. 常见问题与排查技巧实录
4.1 提示“拒绝访问”或“发生系统错误 5”的处理思路
这个错误基本可以断定是命令提示符或 PowerShell 没有以管理员身份运行。net localgroup 和 Add-LocalGroupMember 这两类命令都要求高权限令牌，普通权限窗口执行时会直接被系统拒绝。解决办法是关闭当前窗口，右键重新以管理员身份打开。另外还有一种情况，电脑本身加入了域环境，域策略可能限制了本地管理员组的修改权限，这时候即使以管理员身份运行也可能失败。排查方法是打开事件查看器，查看“Windows 日志—系统”里是否有关于组策略或权限拒绝的事件记录。
如果是域环境下的机器，优先尝试通过域策略统一推送账户权限，不要在每台电脑上手工改。本地组管理规则在域机器上经常会被策略覆盖，手工改了过一段时间又会被拉回去，这是很常见的坑。
4.2 中文用户名与 Microsoft 账户的坑
用 net 命令或 PowerShell 添加中文用户名时，最稳妥的方式是直接从系统里复制用户名，而不是手动“背”名字。中文输入法切换导致的符号混淆（比如全角括号和半角括号）是命令执行失败的常见原因。如果用户是通过微软账户登录的，事情会更复杂一点：本地用户列表中，微软账户通常显示为邮箱地址的前缀，而完整的身份标识却是 MicrosoftAccount\邮箱全名，在命令行里直接输前缀可能找不到用户。
出现这种情况时，我建议先在命令窗口里执行 Get-LocalUser 查看确切的用户标识，再把名字完整复制进 Add-LocalGroupMember 的 -Member 参数里。微软账户用户在命令行操作时，往往需要这样写才能正确识别：
Add-LocalGroupMember -Group "Administrators" -Member "MicrosoftAccount\user@example.com"这种方法虽然可行，但每次敲起来很费劲。如果是长期要给微软账户用户提权，我反而建议先在本地创建一个映射账户，再把关系理顺，省得每次操作都要带全标识。
4.3 更改完成但没有立即生效怎么办
有不少人操作完发现，用户类型明明已经改了，但当前用户还是不能安装软件，或者权限好像没变。原因通常在于 Windows 会在用户登录时生成一个访问令牌，这个令牌缓存了用户所属的组信息。修改组成员关系后，已经登录的会话不会自动刷新令牌，必须注销再重新登录才能生效。
出现权限没变的情况，不要反复重试命令，直接注销当前用户重新登录。如果是在远程桌面会话中，直接断开重连通常也能触发新的登录。另外，如果你刚把用户从管理员降级为标准用户，发现某些软件还能继续以管理员权限运行，这也很正常，因为进程还在运行，它的令牌还是旧的。把相关进程全部结束、注销重登后，新令牌才会彻底生效。
一个小技巧是，在执行完组关系变更后，用下面这行命令检查当前会话的用户是否已经位于管理员组：
whoami /groups | Select-String "S-1-5-32-544"S-1-5-32-544 是 Administrators 组的固定 SID，如果输出中带有这个 SID 且属性列显示“启用的组”，说明当前令牌还是管理员状态；如果显示“用于拒绝的组”，则说明已经降级，只是当前会话没刷新。这个检查方法比凭感觉判断靠谱得多。
5. 个人在实际操作中的一点体会
这几年帮亲戚朋友和客户调整 Windows 10 账户权限，我个人已经很少去“设置”里点那个更改帐户类型了。倒不是因为它不好用，而是信息量确实太少，无法直观看到组关系，处理复杂情况时效率低。现在我的日常操作习惯是：单个用户快速调整直接 netplwiz，需要看具体组关系就开 lusrmgr.msc，批量处理一律交给 PowerShell 脚本。
最后再分享一个使用习惯：任何修改组成员关系的操作之前，我都会先用 Get-LocalGroupMember 或 net localgroup 把当前成员列表导出一份，作为修改前的备份。别小看这个动作，一旦遇到误操作把某个重要用户从管理员组踢出去，或者不小心把某个用户加到奇怪的高权限组，你手里有一份修改前的“对照表”，排查起来会轻松得多。命令行操作权限管理，功夫其实在输入命令之前。
