事故現場

本地安全性原則 → 使用者權利指派 → 「拒絕本機登入」誤加入 Everyone → 所有帳號（含 Administrator）無法互動式登入，提示「無法建立互動式工作階段」。

修復核心原理

本地安全策略資料儲存於 %windir%\system32\config\SECURITY (二進位登錄檔)。以預設備份覆蓋即可恢復。

兩種修復路徑

情況 A：FAT32 分區（較簡單）

1. 乾淨 Win98 開機磁碟啟動
2. 複製 C:\WINNT\repair\SECURITY → C:\WINNT\system32\config\SECURITY 覆蓋
3. 重開機，登入恢復正常

情況 B：NTFS 分區（標準做法）

方法 1：Windows 2000 安裝光碟/磁碟 → 修復控制台

1. 開機選「修復」→「修復控制台」
2. 選擇安裝項目、輸入管理員密碼
3. 命令列執行：

copy c:\winnt\repair\security c:\winnt\system32\config\security
exit

方法 2：預先安裝修復控制台至開機選單 (強烈建議)

1. 管理員登入 → 光碟機插入 Win2000 光碟
2. 執行：e:\i386\winnt32.exe /cmdcons (e: 為光碟機代號)
3. 依提示完成安裝
4. 開機選單將出現「Windows 2000 修復控制台」選項
5. 事發時直接選擇進入，無需光碟

修復控制台核心能力

• 啟動/停止服務
• 格式化磁碟、讀寫 NTFS 檔案
• 修復 MBR/開機磁區 (fixmbr, fixboot)
• 複製/刪除/重命名檔案 (含系統檔)
• 註冊表編輯 (regedit 受限版)

預防建議

1. 隱藏「本地安全性原則」捷徑：控制台 → 管理工具 → 右鍵屬性 → 隱藏
2. 需修改時用命令列啟動：secpol.msc /s
3. 變更前匯出註冊表備份 (regedit /e backup.reg)
4. 建立「修復控制台」開機選項，做為最後防線

結語

本地安全策略威力大、風險高。預先部署修復控制台、善用 Repair 目錄備份、謹慎授權管理工具存取，是避免「自己把自己鎖在門外」的關鍵。