关于非管理员会话中无需输入管理员凭据启动带管理员权限（admin privilege）应用的方案咨询及同类问题求证

嗨，我刚好处理过不少类似的企业场景案例，先给你梳理下情况和可行的解决办法：

同类问题求证 #

确实有大量企业用户在2023年6月微软补丁更新后遇到了一模一样的问题——原本能在非管理员会话里直接以管理员权限运行的程序，现在必须输入管理员账号密码才能启动。这完全是因为那次补丁里微软收紧了UAC（用户账户控制）的权限规则，修复了一个潜在的权限提升漏洞，导致旧的自动提权机制失效了。

无需输入管理员凭据的启动方案 #

结合你提到的用户都在Active Directory管理下的场景，优先推荐用GPO（组策略）批量配置，下面分几种靠谱的方式：

• GPO部署计划任务（最推荐）
  这是目前最安全且适合批量管理的方法，核心思路是用管理员身份预配置好执行程序的计划任务，让非管理员用户可以触发它：

  1. 在AD管理中心新建一个组策略对象（GPO），右键选择「编辑」；
  2. 定位到「用户配置」→「首选项」→「控制面板设置」→「计划任务」，新建一个「任务（Windows Vista及更高版本）」；
  3. 在「常规」选项卡勾选「使用最高权限运行」，指定一个有管理员权限的服务账号（避免用个人管理员账号）；
  4. 在「触发器」里添加一个「当特定用户登录时」或者「当用户运行指定快捷方式时」的触发条件；
  5. 在「操作」选项卡选择「启动程序」，填入你的应用路径；
  6. 把这个GPO链接到对应的用户组或OU，这样所有目标用户都能无需输入凭据启动带管理员权限的应用。

• GPO配置UAC白名单/软件限制策略
  如果你的应用有正规的数字签名，可以用这个方法：

  1. 编辑目标GPO，定位到「计算机配置」→「Windows设置」→「安全设置」→「软件限制策略」；
  2. 新建一个「哈希规则」，导入你的应用程序的哈希值，设置规则为「允许」，并勾选「以管理员权限运行」；
  3. 这个方法能让系统信任你的应用，自动提升权限而不触发UAC提示，但需要注意应用更新后要重新生成哈希值并更新规则。

• 临时单机器方案（不适合批量）
  如果只是测试或者个别用户需求，可以右键应用→「属性」→「兼容性」，勾选「以管理员身份运行此程序」，但这还是会触发UAC提示，除非降低系统UAC等级——非常不推荐，会大幅降低系统安全性。

另外还有个runas命令的方法：runas /user:admin_account /savecred "C:\path\to\your\app.exe"，第一次运行需要输入管理员密码，之后会保存凭据在本地，但这个方法有凭据泄露的风险，不建议在企业环境批量使用。

备注：内容来源于stack exchange，提问作者ctinarelli