Windows 10添加用户全攻略：本地账户、权限与远程登录配置指南

1. 添加用户之前，先搞清楚这些账户概念

很多人拿到"添加用户"这个需求，第一反应是打开设置面板，点几下鼠标就完事。但实际做下来你会发现，添加用户这个操作本身并不难，难的是想清楚该添什么样的用户、添完以后给什么权限、会不会影响现有环境。尤其是给公司电脑、家里共用电脑或者远程服务器加账户时，选错账户类型后续会非常被动。

我在处理这类需求时，通常先花两分钟确认三个问题：这台机器是个人独用还是多人共用？新用户是需要装软件、改系统设置，还是只做日常办公？后续需不需要用这个账户远程登录？这三个问题的答案基本决定了账户类型和创建方式。下面先把概念理清楚，再给实操路径。

1.1 本地账户与微软账户，到底该选哪个

Windows 10 里添加用户时有两条路线：本地账户和微软账户。很多人没意识到这两者的区别，随手选了其中一个，后面登录、同步、重置密码时才发现麻烦。

本地账户，说白了就是只在这台电脑上生效的账号，账户信息存在本机，登录时验证的是本机密码。它不依赖网络，适合内网办公机、测试机、不联网的专用设备。缺点是换电脑就得重新建账号，也没有云同步。

微软账户则是把账号和微软的云服务绑定，登录用的是邮箱地址加密码，也可以设置PIN码。它的优势是跨设备同步主题、浏览器收藏、密码等设置，还能在忘记密码时通过微软官方渠道重置，适合个人电脑和经常需要随身同步的场景。缺点是你创建账户的过程会引导你连接网络，完全离线的环境反而要多绕几步。

从我实际使用体验来说，公司电脑、生产环境、工控机一律用本地账户，避免和云服务绑定带来审计和依赖上的麻烦。个人电脑如果在意同步体验，可以选微软账户，但我个人通常也建本地账户，因为大部分场景用不到云同步，反而本地账户干净、可控。创建时如果想绕开微软账户引导，可以在设置界面选择"不使用 Microsoft 账户登录"，或者在断网状态下创建。

1.2 标准用户和管理员，权限差在哪

账户类型上，Windows 10 分标准用户和管理员两种。标准用户能运行常规软件、修改自己的文件夹、更改不影响其他用户的系统设置，但安装软件、修改系统级配置、访问其他用户目录时需要输入管理员密码。管理员则拥有整机控制权，可以装驱动、改防火墙、创建删除用户。

这个权限差异在实际使用中容易被低估。很多人图省事，把所有账户都设成管理员，结果一台电脑上谁都能装软件、改设置，系统被搞乱的概率大大增加。我处理过的案例里，不少"电脑越用越慢""莫名其妙多了全家桶"的问题，根源就是全员管理员。

正确的做法是：日常主力账户用管理员，给其他人建的账户给标准用户权限。哪怕是家人共用，也建议对方用标准用户。这样对方操作失误时有一个缓冲层，UAC弹窗需要你的密码，很多误操作就能被拦下来。后面要临时提权的话，提升了再降回来也不麻烦。

1.3 什么时候需要动手添加新用户

这个看似多余的问题，其实决定了你后续怎么操作。常见的场景无非这么几类：

• 家庭共用电脑：孩子用学习软件、老人用浏览器，需要一个独立账户隔离各自的文件和设置。
• 公司电脑交接入职员工：人事给新人分配电脑，首先要创建一个只属于他的账户，避免共用原同事的账号。
• 用管理员账号做维护，日常工作用普通账号：这是安全习惯比较好的做法，降低日常使用中误删系统文件的概率。
• 远程登录需求：很多 Windows 机器需要开远程桌面，单独建一个用户用来远程连接，比直接暴露管理员账号更安全，也方便后续审计和撤销权限。
• 给特定用途建独立环境：比如测试软件、跑批处理任务、给某个服务程序单独一个账户，避免和主账户混在一起。

不管你是哪种需求，接下来的三种添加路径都能覆盖到。只是不同场景适合的路径不同，我分别拆开讲。

2. 三种添加用户的实操路径，按场景自取

Windows 10 里添加用户的方法有好几条路，常见的就是设置界面、计算机管理、命令行。三条路本质都是在做同一件事——创建用户并配置基本属性，但各自适合的场景差别很大。

我的建议是：新手用设置界面，因为它最直观；老手维护机器用计算机管理，因为可以顺便改组成员身份；批量化或远程操作时用命令行，因为效率最高。下面把三条路的操作细节和坑都说清楚。

2.1 设置界面操作：适合新手的最快路径

这是 Windows 10 粒面最友好的入口，按 Win + I 打开设置，依次进入"账户" → "家庭和其他用户" → "将其他人添加到这台电脑"。

这时候系统会先让你输对方的邮箱或手机号，容易误以为必须用微软账户。注意看窗口下方的"我没有这个人的登录信息"，点进去后选择"添加一个没有 Microsoft 账户的用户"，就可以创建本地账户了。输入用户名，设置密码和密码提示，点击下一步就完成。

这里有个细节很多人不知道：在设置界面先输邮箱创建的其实是微软账户，只是在本地建了一个关联项；而选择"没有 Microsoft 账户"创建的才是真正的本地账户。如果你在无网络环境下给机器加账户，只能用后者。

设置界面路径的优点是快、直接、有图形引导，适合不熟悉控制面板的人。缺点是你只能创建标准用户，虽然创建成功后会显示在用户列表里，但想改成管理员还是得到"账户类型"下拉框里改一次。另外，设置界面不能设置账户永不过期、不能改用户主目录路径这些进阶项，这些需要下面两条路径来补。

2.2 计算机管理：更接近经典管理习惯

如果你习惯于传统的 Windows 管理界面，可以右键开始菜单，选择"计算机管理"，然后展开"本地用户和组" → "用户"。在右侧空白处右键，选择"新用户"。

弹窗里需要填用户名、全名、描述、密码。这里比设置界面多几个选项，我的建议是：

• "用户下次登录时须更改密码"：适合给新员工、临时账号使用，让对方首次登录后自己改密码。
• "用户不能更改密码"：适合服务账户或公用账号，防止密码被乱改。
• "密码永不过期"：适合跑在后端的服务账户，避免密码过期导致服务中断。
• "账户已禁用"：适合临时封禁账号，而不是把账号删掉，保留配置方便以后重新启用。

我一般新建普通用户时会勾选"用户下次登录时须更改密码"，这样初始密码由管理员设定，实际密码只有用户自己知道；给服务建账户则勾选"密码永不过期"，否则某天凌晨服务突然报错，排查半天发现是密码过期，那种体验很酸爽。

创建完成后，右键用户名选择"属性" → "隶属于" 选项卡，可以看到这个用户属于 Users 组。如果需要给管理员权限，点"添加"输入"Administrators"再确定即可。

2.3 命令行与PowerShell：批量环境和运维首选

命令行是我最常用的方式，尤其是需要批量建用户、或者通过远程会话管理时，效率秒杀图形界面。

用 net user 建用户是最基础的操作，命令格式如下：

bat复制net user newuser P@ssw0rd /add

这条命令会在本机创建用户名为 newuser、初始密码为 P@ssw0rd 的用户。默认加进 Users 组，也就是标准用户。如果需要同时加入管理员组，可以接着执行：

bat复制net localgroup administrators newuser /add

如果你是维护大量机器或需要脚本化处理，可以写成一个批处理脚本，循环读取用户名列表来批量创建。

PowerShell 的写法更灵活，对应的命令是：

powershell复制New-LocalUser -Name "newuser" -Password (ConvertTo-SecureString "P@ssw0rd" -AsPlainText -Force) -FullName "New User" -Description "ops account"

创建之后同样需要加入用户组：

powershell复制Add-LocalGroupMember -Group "Administrators" -Member "newuser"

需要注意，PowerShell 的 New-LocalUser 命令在旧版本 PowerShell 里可能没有，需要 5.1 及以上版本，Windows 10 自带的版本一般没问题。

命令行方式的核心优势是可控和可复制。比如你需要在三台同样配置的电脑上加同一个账户，手点三次图形界面很容易漏一项，而脚本执行的结果是完全一致的。另外，远程维护场景（比如通过 WinRM 或计划任务）下，命令行几乎唯一的选择。

3. 用户创建完只是开始，权限和安全配置才是关键

账户建好只是第一步，接下来要做权限分配、安全加固和可用性验证。这一步如果漏了，后面出问题的概率很高。我在给客户处理机器时，见过太多因为权限不匹配或者安全策略不当导致的"看起来能登录但什么都干不了"的情况。

3.1 把标准用户提权为管理员，两种方式

前面提到，通过设置界面创建的默认是标准用户。如果你想给某个用户管理员权限，有两条路：

一种是在设置界面"账户" → "家庭和其他用户" → 点击目标用户名 → "更改账户类型"，把"标准用户"改成"管理员"。这是图形界面的快速做法。

另一种是在计算机管理或命令行里操作，把用户加入 Administrators 组。区别在于：在设置界面改类型，本质上也是改组成员关系，只是 Windows 帮你做了简化。但设置界面一次只能改一个用户，而命令行可以批量操作，例如把 users.txt 里的每行用户名都加入管理员组：

bat复制for /f %u in (users.txt) do net localgroup administrators %u /add

提权之前一定要想清楚：这个账户真的需要管理员权限吗？管理员权限意味着能装软件、改系统文件、关防火墙、查看所有用户的数据。如果只是日常办公，标准用户完全够用。我见过有些公司全员管理员，结果一台电脑中了勒索软件，把整个磁盘都加密了，这种教训太惨痛。

3.2 UAC与文件访问权限容易踩的坑

添加用户后最常遇到的坑，是提示"拒绝访问"或者"没有权限打开这个文件夹"。根源多半是 NTFS 权限，而不是账户本身有问题。

Windows 里每个文件夹都有独立的 ACL（访问控制列表），默认情况下用户 A 创建的文件，用户 B 基于标准用户身份是访问不了的。比如你在 C 盘根目录新建了一个"共享资料"文件夹，往里面放了些文档，然后告诉同事新账户能直接打开，对方一打开发现提示拒绝访问，原因就是共享文件夹没有给新用户分配 NTFS 权限。

具体操作是右键文件夹 → "属性" → "安全" → "编辑" → "添加" → 输入用户名或用户名组 → 勾选"读取"和"读取和执行"权限 → 确定。如果这个文件夹需要多人写入，还要勾选"写入"权限。

另一个常被忽略的是 UAC（用户账户控制）。在某些企业环境中，管理员帮用户装好软件后，用户登录发现无法运行，弹窗提示需要提升权限。这不一定是权限配置错了，很可能是软件安装在系统目录或注册表里，标准用户没有写入权限。稳妥的办法是：共享软件尽量安装时选择"仅当前用户"，或者装到非系统盘的自定义目录；确实需要安装在 Program Files 下的，建议由管理员安装后测试一下标准用户能否正常运行。

3.3 安全策略：密码、锁定和删除用户的正确姿势

创建用户后，我强烈建议顺手做几项安全配置，成本低，收益大。

第一是要求首次登录改密码。给同事或家人建账号时，初始密码是管理员设的，属于"共享秘密"状态。让对方改掉密码，能保证只有本人知道。命令行下可以通过以下命令设置：

bat复制net user newuser /logonpasswordchg:yes

或者用 PowerShell 的 Set-LocalUser 设置：

powershell复制Set-LocalUser -Name "newuser" -PasswordNeverExpires $true

第二是设置账户锁定策略。对于对外开放远程桌面访问的账户，建议在"本地安全策略"中设置"账户锁定阈值"，比如连续 5 次密码错误锁定 30 分钟。这样可以在一定程度上防止暴力破解密码。

第三是注意安全日志。可以在"事件查看器" → "Windows 日志" → "安全"里筛选"账户登录事件"，查看某台机器有哪些用户登录、在哪里登录。对于共享电脑，这个习惯能帮你快速定位是谁在凌晨改动了系统设置。

最后是删除用户的正确姿势。如果某个人离开公司或不再需要这台机器，不建议直接删账户，而是先禁用，观察一段时间。因为用户的文件、配置、邮件都可能需要找回。禁用命令是：

bat复制net user newuser /active:no

确认文件归档完毕后，再通过"本地用户和组"或 net user 用户名 /delete 彻底删除。直接删除账户会连带把该目录下的配置文件一起清掉，如果目录里有重要文件就麻烦了。

4. 结合热门场景延伸：JDK安装与远程登录的联动配置

做完基础的用户创建和权限配置后，我注意到很多人搜"Windows 10 添加用户"时，真正的目的并不只是加个账号，而是为了后续部署环境或开启远程登录。结合最近的相关搜索词，有两个场景特别典型：一是给新用户装 JDK 1.8，二是让新用户能通过远程桌面登录。我在这里把这两个联动场景的细节整理一下。

4.1 给新用户配置Java环境的小坑

有相当比例的人搜"window10 安装jdk1.8"，其实是为了跨账号使用 Java 开发环境。新加了一个用户后，在这个用户下装 JDK 1.8 并配置 JAVA_HOME 和 PATH，看似简单，但有几个坑值得注意。

首先是环境变量分用户级和系统级。如果你用图形界面的环境变量编辑器，在用户变量区设置的 JAVA_HOME 只对当前用户生效；系统变量区的配置则对所有用户生效。给新用户单独安装时，建议在系统变量里配置 JDK 路径，或者在创建完用户后切换登录到新用户，再执行一次安装程序。

其次是 JDK 1.8 较老，在 Windows 10 高版本（如 1903 以后）上安装可能会出现安装进度卡住或提示某些组件不兼容。一般解法是右键安装程序，选择"以管理员身份运行"，并且关闭杀毒软件和 Windows Defender 实时保护，等安装完成后再打开。另外，JDK 1.8 的不同小版本之间行为差异不小，建议选用较新的 8u 系列版本，不要用老掉牙的更早 update 版本。

装完以后，打开命令行输入 java -version，如果报"不是内部或外部命令"，多半是 PATH 变量没生效。此时不要重启电脑，先在新开的命令行窗口里执行 refreshenv，或者手动重新加载环境变量。若还不行，就检查 JAVA_HOME 路径是否指向了 jdk1.8.x 目录，而不是 jre 目录。这两个目录名容易搞混，jdk 目录里才有 javac 编译器。

我的习惯是把 JDK 安装到一个不带空格的目录，比如 D:\dev\Java\jdk1.8.0_202，免得某些老工具解析路径时因为空格出问题。这个建议同样适用于其他开发工具，安装路径尽量避开 Program Files 和带中文的目录。

4.2 为远程登录添加用户并放行RDP

另一个高频场景是给新用户设置远程登录权限。Windows 10 的远程桌面默认只允许管理员组和 Remote Desktop Users 组里的用户登录。刚创建的标准用户如果没有加入这些组，即使开启了远程桌面，登录时也会被拒绝。

具体操作分两步。第一步是确认远程桌面已开启：右键"此电脑" → "属性" → "远程桌面" → 勾选"启用远程桌面"。这一步需要管理员权限，而且 Windows 10 家庭版不带 RDP 服务端，需要专业版及以上版本才支持。

第二步是把新用户加进 Remote Desktop Users 组。命令行方式最省事：

bat复制net localgroup "Remote Desktop Users" newuser /add

或者用图形界面的计算机管理 → "本地用户和组" → "组" → 打开"Remote Desktop Users" → "添加" → 输入用户名。

这里有个非常容易踩的坑：如果你加入的是 Administrators 组，用户确实可以远程登录，因为管理员默认可远程连接。但这样也放大了权限。我的建议是能加入 Remote Desktop Users 组就尽量别加 Administrators，最小权限原则在远程场景下尤其重要。

远程连接时还需要确认防火墙放行 3389 端口。正常情况下勾选"启用远程桌面"会自动创建防火墙规则。但如果你的机器装了第三方安全软件，可能会拦截 3389 的入站连接，导致连接超时。排查时可以临时关掉安全软件试一下，如果恢复了，就在安全软件里放行"远程桌面"或添加 3389 端口规则。

4.3 Windows Server 场景的差异点

既然相关热搜词里有"win server 2012 添加用户并设置远程登录"，虽然标题是 Windows 10，但这类需求往往在服务器上更常见，也一并提一下差异点。

Windows Server 2012 添加用户的入口不太一样：右键开始按钮或按 Win + R 输入 lusrmgr.msc，打开"本地用户和组"管理单元，然后在用户节点右键新建。这个界面和 Windows 10 的"计算机管理"非常相似，操作方法基本一致。

远程登录设置方面，Server 2012 默认只有 Administrators 组可以远程登录。要让新普通用户远程登录，同样需要加入"Remote Desktop Users"组。如果你想让某个用户只能远程、不能本地登录，可以配合本地安全策略中的"允许通过远程桌面服务登录"和"拒绝本地登录"这两个策略来实现。

Server 系统上还有几个额外的坑：系统自带的防火墙默认拒绝远程桌面连接，需要在"高级安全 Windows 防火墙"里确认入站规则"远程桌面（TCP-In）"已启用；如果机器加入了域，组策略可能会禁用远程桌面，此时需要联系域管理员修改 OU 级别的 GPO，本机改了也会被策略覆盖。这些经验在 Windows 10 上相对少见，但在服务器上非常典型。

5. 常见问题与排查实录

最后这部分把我在实际操作中遇到的典型问题集中整理一下，按发生频率排序。大多数问题并不是操作步骤错了，而是细节没注意到，排查思路比单纯记命令更重要。

5.1 添加用户后无法登录的几类原因

还有一个很容易被忽视的点：如果电脑加入了域，登录界面默认显示"登录到：域名"，此时用本地账户登录会出现奇怪的问题。处理办法是在用户名框输入"计算机名\用户名"，强制指定为本地账户登录。

5.2 与目录权限相关的典型故障

创建用户后无法访问某些共享文件夹、无法打开软件数据目录，这类问题几乎天天遇到。排查时先看错误提示：

如果提示"拒绝访问"，多半是 NTFS 权限缺失，按前面说的方法在文件夹属性里给用户添加读/写权限。

如果提示"你没有权限在此位置保存文件"，可能是用户主目录（C:\Users\用户名）被重定向或者权限异常。这种情况通常需要对 Users 目录下的账户文件重新执行一次权限继承，操作比较敏感，建议在管理员权限下做，否则容易把整个用户目录弄坏。

如果提示"需要管理员权限才能修改"，那就不是目录权限的问题，而是 UAC 拦截。这时可以右键以管理员身份运行，或者更换一个有管理员权限的账户。

建议在建好账户后，第一时间做好三件事：登录测试、创建测试文件夹看能不能读写、尝试运行一个常规软件。这样可以快速暴露绝大部分权限问题，再修复时成本很低。

5.3 一个完整的远程登录排查流程示例

我接待过一个挺典型的求助：用 net user 新建了账户，也加入了 Remote Desktop Users 组，但从另一台电脑远程桌面连接时一直报"凭据不工作"。

我当时带着对方按顺序排查：

第一步，确认远程桌面服务已开启。Win + R 输入 services.msc，找到 Remote Desktop Services，确认服务状态是"正在运行"且启动类型是"自动"。很多时候服务被手动停了，界面上勾了也没用。

第二步，确认防火墙规则。检查"允许应用通过防火墙"里"远程桌面"前面的勾是否被取消，如果取消则重新勾选。

第三步，用 RDP 文件测试，在远程桌面客户端输入"计算机名\用户名"加上正确的密码，注意不是微软账户的密码，是本地账户的密码。

第四步，查看安全事件日志。在"事件查看器" → "Windows 日志" → "安全"下找事件 ID 为 4625（登录失败），里面会写明失败原因，比如账号被禁用、密码错误、账户无远程登录权限。这一步能精准定位问题，比盲猜快得多。

最后发现对方把用户名输漏了主机名前缀。RDP 客户端在连接本地账户时，默认会去验证域账户或微软账户，必须在用户名前加"计算机名"。类似这种细节问题，没有日志辅助的话往往要折腾很久。

我个人的习惯是：给任何人建完账户后，先本地切换登录一次，再远程登录一次。两次都通过之后，才算真正完成。这个过程看似多花三四分钟，实则可以减少后面无数的沟通成本。

6. 一点实操心得

Windows 10 添加用户这个操作，越简单越容易被人轻视。真正做下来你会发现，用户类型的选择、组成员关系的配置、NTFS 权限的分配、远程登录的策略，每一环都可能出问题。我处理过很多"加个用户怎么会这么难"的事件，最后排查下来基本都是初始配置时少做了一步。

如果你只记住三件事，那我会这样说：第一，新用户默认给标准用户权限，不要随手给管理员；第二，任何共享目录和软件，都要明确给新用户分配对应的 NTFS 和 UAC 权限；第三，远程登录需求下，加入 Remote Desktop Users 组而不是 Administrators 组。

还有一个实用小技巧分享给大家。当需要一次性添加多个用户时，把用户信息整理成一个文本文件，比如一行一个"用户名 初始密码"，然后写一个批处理脚本，读取每一行执行 net user。这样不仅速度快，而且不易漏配置，适合在给实验室、办公室、机房批量准备电脑时使用。脚本本身没什么高深的，但批处理循环里注意判断用户名是否已存在，可以用 net user 用户名 先查一下，返回 2 说明不存在，返回 0 说明已存在，根据结果决定是新增还是跳过。

大概就是这样。希望这份记录能帮到正在处理 Windows 10 添加用户的朋友们，尤其是那些第一次上手就从图形界面一路摸到命令行、从建账号一路配置到远程登录的场景。踩坑记录都在上面了，照着走通常能省不少时间。