Microsoft Windows 2000 操作系统安全的一个重要部分是由默认访问权限定义的，这些权限分三个组授予：用户组、Power User 组和管理员组。在高层次上，对这三个组可以描述如下：
管理员具有所有权限。默认 Windows 2000 安全设置不限制管理员对任何注册表或文件系统对象的访问。管理员可以执行操作系统所支持的所有功能。管理员在默认情况下不具有的任何权限都可以由自己赋予。
理想情况下，只有在下列情况管理员才需要访问系统：
－安装操作系统和组件（包括硬件驱动程序，系统服务及其它）。
－安装 Service Pack 和修补程序
－Windows Update
－将操作系统升级
－修复操作系统
－配置机器范围内的重要的操作系统参数
在实际操作中，管理员帐户必须经常用来安装和运行基于 Windows 的旧版应用程序。
User组和管理员是对立的。假如 Windows 2000 是在 NTFS 分区上的全新安装，默认安全设置用来防止用户破坏操作系统和安装的应用程序的完整性。用户不能修改机器范围的注册表设置、操作系统文件或程序文件。用户不能安装能够被其他用户运行的应用程序（防止特洛伊木马）。用户也不能访问其他用户的专用数据。因此，以下两个方面对于保证基于 Windows 2000 的系统的安全非常重要：
－保证终端用户仅是用户组的成员。
－部署普通用户可以顺利运行的应用程序。
理想情况下，用户应该能够运行由管理员、Power User 或自己事先安装的任何应用程序。用户应该不能运行由其他用户安装的应用程序。
Power User组是介于User组和管理员组之间的，默认情况下，Windows 2000为Power User组的安全设置是向下兼容Windows NT 4.0的。
理想状态下，Power User 组应该能够执行上面所描述的一些任务，因此，Power User 组应该可以作以下的事情：
-在每台机器上安装和卸载非系统服务的应用程序
-自定义资源（例如系统时间，显示设置，共享，电源设置，打印机，等等…）
注意：Power User组应该不能访问其他用户的数据。
实际上，Power User 组无法安装某些程序，因为这些程序可能在安装过程中试图替换操作系统的某些文件。
默认访问控制设置在你安装Windows 2000的时候就已经应用，不论你是Clean安装，或是从别的操作系统升级过来，当然，你必须使用NTFS分区。
Windows 2000不论是工作站服务器、服务器或者是域控制器，默认访问控制设置都可以在以下的文件中找到:
\winnt\inf\defltwk.inf -->Workstation
\winnt\inf\defltsv.inf -->Server
\winnt\inf\defltdc.inf -->Domain Control
