超级管理员

Administrators是Windows中预设的一个用户组，介绍是：管理员对计算机/域有不受限制的完全访问权。这个组包含了所有的Windows管理员用户账户，加入这个组的用户账户就会自动成为管理员并拥有系统管理权。^[1]这个组的成员所具有的权限是所有真人用户中最高的。自从Windows Vista开始，Administrators的成员默认不再具有系统最高权限。

注：可以通过“本地用户和组”等管理工具更改这个组的成员。^[2][3]

完全控制根目录及以下的所有子文件与子文件夹（非系统分区）

修改当前文件夹并完全控制其子文件夹并读取和执行子文件（系统分区下的WINDOWS、Program Files和Program Files (x86)文件夹）

读取、写入和执行当前文件夹并完全控制其子文件与子文件夹（系统分区下的Boot文件夹）

完全控制（系统分区下的其他文件夹或文件）^[2]

注：特权分配可以在本地安全策略中更改，这里的特权仅针对除SYSTEM外的管理员^[4]

特殊（HKEY_LOCAL_MACHINE\SECURITY和HKEY_LOCAL_MACHINE\SAM\SAM以及它们的子项与值）

完全控制（其他所有内容）^[5]

特殊（所有内核级进程和大部分系统服务）

列出信息（部分svchost.exe）

拒绝访问（所有已登录的真人用户运行的进程，除Administrator用户的）

完全控制（所有Administrator用户的进程）

特殊（所有核心服务）

完全控制（其他服务）

查询（所有已登录的真人用户运行的进程的令牌(token)，除Administrator用户的）

特殊（所有系统进程的令牌）

完全控制（少数令牌）

特殊（大部分非系统线程）

拒绝访问（大部分系统线程和所有已登录的真人用户运行的线程，除Administrator用户的）

完全控制（少部分线程）

拒绝访问（所有系统事件和大部分非系统事件）

特殊（剩余事件）

特殊（部分系统进程的Window Stations）

完全控制（其他Window Stations）

拒绝访问（所有已登录的真人用户运行的进程Mutant，除Administrator用户的）

特殊（某些系统进程的mutant）

特殊（所有Job）

完全控制（全部Directory）^[5]

完全控制（应用程序日志、系统日志）

读取、清除（安全日志）

Administrators可以

1. 控制大部分文件
2. 拥有大量特权
3. 控制大多数注册表内容
4. 安装操作系统和系统组件（如硬件驱动程序、系统服务等）
5. 安装服务包（Service Pack）
6. 升级或修复系统
7. 配置关键操作系统参数（如密码策略、对象访问控制、对象审核策略、内核模式驱动程序配置以及其他内容）
8. 获取文件的所有权
9. 管理安全和审核系统日志与应用程序日志、检查安全日志
10. 备份系统、还原系统
11. 控制大多数句柄、进程以进行管理

Administrators的权限很高，这也使得许多病毒或有害程序尝试获取管理员权限并篡改你的电脑。黑客入侵的常用手段之一就是取得其中一个管理员用户账户的使用权。如果黑客已经取得就为时已晚了，因此我们需要做好有关的防范工作，防止自己的电脑被入侵。

对于一台电脑，如果是多人使用，不推荐使用超过1个管理员用户账户，而且每个管理员用户账户都应该设置强密码。这样能够有效地防止其他人使用管理员权限修改电脑中的重要数据。^[6]

在日常的电脑使用中，需要尽量避免使用管理员账户上陌生网站、运行未知程序，因为运行的脚本或程序都以管理员特权运行，可能就会对系统做出不需要的更改。同时应该开启UAC的保护至较高级别，能防止这些不明程序运行。同时也要避免一些不必要的提权。