公司电脑怎么用命令行看域账户权限

很多人在公司电脑上遇到权限问题时，公司第一反应是电脑点右键看属性，但图形界面能看到的用命往往只有本地组和文件权限，域账户到底属于哪些域组、令行有没有被拒绝登录、看域本机管理员里有没有它，账户这些信息在界面上经常藏得很深。权限命令行（CMD 或 PowerShell）能在几秒内把关键信息拉出来，公司尤其适合排查“为什么我访问不了共享盘”“为什么装不了软件”“为什么远程桌面连不上”这类问题。电脑

需要先明确一点：你只能查看当前登录账户或你有权限查询的用命账户信息，且域环境下的令行完整权限最终以域管理员和 IT 部门的配置为准。本文讲的看域是“自己动手做初步排查”的方法，不是账户绕过权限限制的手段。

先分清三种“权限”，权限别混在一起看

域账户权限通常分三层：一是公司账户本身的状态（是否被禁用、是否被锁定、密码是否过期）；二是它加入了哪些域安全组，组决定了它能访问什么；三是这台电脑本地给了它什么权限，比如是否在本地 Administrators 组里。命令行排查时要按这个顺序走，否则容易把“域组没加”误判成“本机权限不够”。

最常用的入口是 CMD 和 PowerShell。普通权限就能查到不少信息，但涉及域控制器查询的命令，可能因为权限或网络策略而失败，这时不要反复试，直接记录报错找 IT。

第一步：查当前账户和本机本地组

在 CMD 里执行 whoami，会显示当前登录的域账户，格式一般是 域名\用户名。如果显示的是本机名而不是域名，说明你当前用的是本地账户登录，后续域权限的判断都要重新考虑。接着执行 whoami /groups，它会把当前账户所属的所有组列出来，包括域组和本地组，注意看“组名”和“类型”两列，域组通常带域名前缀。

想看这台电脑本地管理员组里有哪些域账户，用 net localgroup Administrators。这条命令不需要域管理员权限，普通用户也能看到成员列表。如果某个域账户出现在这里，说明它在这台机器上有本地管理员权限，但这不代表它在域里也是管理员，两者是独立的。

还可以用 whoami /priv 查看当前进程拥有的特权，比如是否具备备份文件、调试程序等敏感权限。这项信息对判断“为什么某些操作被拒绝”很有帮助，但普通办公账户通常只有基础特权，看到一堆 Disabled 是正常的。

第二步：查域组和域账户状态

在 CMD 里可以用 net user /domain 用户名 查询域账户的基本信息，包括账户是否启用、密码上次设置时间、登录脚本等。注意这条命令需要能连上域控制器，如果提示“找不到域控制器”或“拒绝访问”，多半是网络或权限问题，不是账户不存在。想查某个域组的成员，用 net group "组名" /domain，组名要写准确，带空格的组名必须加引号。

在 PowerShell 里，如果机器装了 RSAT 或 AD 模块，可以用 Get-ADUser 用户名 -Properties MemberOf 直接看账户加入了哪些组，用 Get-ADGroupMember "组名" 看组成员。但很多公司电脑没有装这些模块，执行会报“无法识别命令”。这时不要急着装东西，先回退到 net 系列命令，或者用 gpresult /r 看当前账户应用了哪些组策略，间接判断权限来源。

另一个实用命令是 gpresult /r /scope:user，它会列出当前用户生效的组策略对象和所属安全组。排查“为什么我的权限和同事不一样”时，对比两个人的 gpresult 输出往往最快找到差异。

第三步：查文件共享和远程访问权限

如果问题是访问不了某个共享文件夹，可以在 CMD 里用 net use 看当前已映射的网络驱动器，用 net view \\服务器名 看对方共享了哪些目录。想看具体目录的权限，命令行不如图形界面直观，可以用 icacls "路径" 查看 NTFS 权限，输出里会列出哪些账户或组有什么级别的权限。域账户在共享权限里通常以域组形式出现，个人账户很少被单独授权。

远程桌面连不上时，可以查本机是否允许远程，用 reg query "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections，值为 0 表示允许，为 1 表示禁止。但这只是本机设置，域策略可能覆盖它，最终以组策略结果为准。

失败时怎么办，以及边界在哪

常见的失败分支有三种：一是命令提示“拒绝访问”，说明你的账户没有查询该对象的权限，这是正常的权限隔离，不要尝试用其他账户登录；二是提示找不到域控制器，先检查是否连上了公司网络或 VPN；三是命令存在但输出为空，可能是账户或组名写错，注意域名前缀和大小写通常不敏感，但拼写必须正确。

需要强调的是，命令行能查到的只是“配置层面”的权限，实际能否访问还受共享权限、NTFS 权限、组策略、防火墙、甚至服务器端会话限制共同影响。任何一条命令的输出都不能单独作为最终结论。涉及账户被锁定、密码策略、访问审批这类问题，正确做法是把命令输出截图或复制下来，带上时间和报错原文，提交给公司 IT 或域管理员处理，而不是自行修改本地组或注册表。以你所在公司的系统界面和 IT 部门说明为准，是这类问题最稳妥的边界。

小结一下可执行顺序：先 whoami 确认登录身份，再 whoami /groups 和 net localgroup Administrators 看本机组，然后 net user /domain 和 net group /domain 查域侧信息，最后用 gpresult /r 和 icacls 定位策略与文件权限。每一步都记下输出，排查效率会明显高于反复点鼠标。