域控内置 Administrator 账号：设置点击「更改适配器选项」提示无法访问 control.exe 解决方案

现象

域服务器，使用域内置Administrator账号登录，进入 Windows 设置 → 网络和 Internet → 网络状态，点击更改适配器选项，弹出报错：
Windows 无法访问指定设备、路径或文件。你可能没有适当的权限访问该项目：C:\Windows\system32\control.exe

✅ 特殊特征：
直接Win+R运行control.exe、ncpa.cpl是正常的
仅从新版设置页面跳转调用control.exe才会报错
普通成员服务器无此问题，服务器提升为域控制器后才出现

问题根因

服务器提升为域控后，本地安全策略中内置管理员账户的 UAC 管理员批准模式策略丢失（变成未定义）。
域内置 Administrator 虽然是系统最高权限账号，但新版设置（Modern 设置）在跳转调用旧版控制面板程序时，会走 UAC 权限校验。
策略缺失导致权限校验失败，就会报这个权限类错误，并非真的缺少文件或管理员权限不足。

涉及策略：
用户账户控制：内置管理员账户的管理员批准模式（User Account Control: Admin Approval Mode for the Built-in Administrator account）

临时应急方案（无需重启，临时修改网卡）

Win+R 打开【运行】，直接执行命令打开网络适配器面板：
ncpa.cpl

可直接修改网卡 IP、DNS 等参数，应急调试网络。

永久修复方案

方法 1：本地安全策略 secpol.msc（推荐）

1. Win+R 输入 secpol.msc，打开【本地安全策略】

2. 依次展开：本地策略 → 安全选项

3. 找到策略：用户账户控制：内置管理员账户的管理员批准模式
   

4. 设置为：已启用
   

5. 顺带检查：`用户账户控制：对所有管理员使用管理员批准模式，同样设置为已启用
   

6. 保存策略，重启域控制器生效

⚠️ 注意：域控修改安全策略后必须重启，UAC 内核策略不支持热生效。

方法 2：注册表方式（适合批量 / 脚本部署）

管理员打开注册表编辑器 regedit.exe
定位路径：
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

修改 / 新建 DWORD 值 ：
FilterAdministratorToken = 1

重启

补充排查（策略修改后依旧报错时检查）

1. 域组策略 GPO / AppLocker
   打开gpmc.msc检查域组策略，是否有软件限制策略、AppLocker 阻止control.exe运行。

2. control.exe 文件权限
   进入C:\Windows\System32\control.exe右键 → 属性 → 安全，确认Administrators组拥有【读取和执行】权限。

3. 安全软件拦截
   检查 Defender、EDR、第三方杀毒，是否拦截control.exe进程调用。

小结

这个是 Windows Server 域控经典 UAC 坑，很多人第一反应以为是账号权限不足或者文件丢失，实际是域升级后内置管理员 UAC 策略丢失。

• 临时操作网卡：ncpa.cpl
• 根治：开启内置管理员 UAC 批准模式 + 重启服务器