家庭安全与儿童账户：离线时还有多少效力

核验于 2026-10-292 分钟阅读

儿童账户、屏幕时间与内容限制如何生效、哪些部分必须联网，以及限制的边界在哪。

测试环境Pro (26H2) · 版本号 26300.9457 · x64

版本号: 26300.9457
版本: Pro (26H2)
架构: x64
支持: 文档（E1）
证据: E1官方文档
核验日期: 2026-10-29
页面类型: 任务

一句话结论

家庭安全是带本地代理的云服务，不是本地 Windows 功能。这一条解释了所有意外：

屏幕时间与应用/游戏限制对照在线家庭组判定；断网时执行不一致。
内容筛选作用于 Microsoft Edge 与 Microsoft Store——不是所有浏览器、所有应用。
活动报告要求账户是家庭组里的儿童账户。

如果机器必须离线受控，家庭安全就是错的工具：用标准用户账户加本地策略。

设置流程

孩子需要一个微软账户（不是本地账户）。
家长在 account.microsoft.com/family 把它加入家庭组。
在电脑上：设置 → 账户 → 家庭和其他用户 → 添加儿童账户。
在线配置限制——本地界面大多只是反映。

Get-LocalUser | Select-Object Name,Enabled,PrincipalSource,Description
Get-CimInstance Win32_UserAccount -Filter "LocalAccount=True" | Select-Object Name,SID,Disabled

儿童账户会显示 PrincipalSource : MicrosoftAccount。本地账户无论怎么命名都不是儿童账户。

哪些控制真的生效

控制	由谁执行	离线可用？
屏幕时间（时段）	云端 + 本地代理	部分——按本地时钟，同步滞后
应用/游戏限制	云端 + 商店	仅商店应用
内容筛选	Edge + 商店 + Bing	否
购买审批	商店	否
活动报告	云端	否
标准用户（无管理员）	本地 Windows	是

最后一行是唯一完全本地的，也是最重要的一条：标准用户装不了驱动、改不了系统设置。

大家撞上的边界

Steam、Epic、独立安装包不是商店应用，不受应用限制约束。
换一个浏览器就绕过了内容筛选。
有管理员权限的孩子可以解除家庭关联——不要把儿童账户设成管理员。
时区：屏幕时间按账户时区计算，跨时区会意外改变限制。

需要真正限制时

需求	更合适的做法
禁止安装	标准用户 + AppLocker/WDAC 策略
不论浏览器都挡站点	路由器层 DNS 过滤
固定可用时段	kiosk/受指派访问，或路由器时间表
审计运行过什么	事件日志或第三方工具

实验室边界

E1。家庭组行为有微软文档依据，并依赖云服务。实验室虚拟机不在家庭组中，因此未观察执行效果。