环境：Windows 10 专业版 | Docker Desktop 最新版
2026-04-23
报错长这样
安装 Docker Desktop 的时候弹了一个框：
The C:\ProgramData directory must be owned by an elevated account.
字面意思很简单：C:\ProgramData 这个目录的所有者得是提权账户。
我的账户明明就是管理员，why？
排查
先确认了一下自己到底有没有权限。
whoami
# desktop-flbds16\sanlin
whoami /groups | findstr "S-1-16-12288"
# Mandatory Label\High Mandatory Level Label → 高权限管理员，没问题
账户属于 Administrators 组，高权限运行，OK。
再看文件夹本身：
icacls "C:\ProgramData"
C:\ProgramData NT AUTHORITY\SYSTEM:(F)
BUILTIN\Administrators:(OI)(CI)(F)
BUILTIN\Users:(OI)(CI)(M)
Administrators 组有完全控制权限（F），我的账户在组里，权限也没毛病。
到这里就卡住了。改了几轮 takeown、icacls，改来改去还是报同样的错。甚至一度怀疑是不是 UAC 的 ConsentPromptBehaviorAdmin 设置有问题，差点让用户改注册表重启电脑。
折腾了几轮之后，才想起来去搜一下。结果 Docker 社区论坛上，2026 年 4 月 22 号（就是前一天）有人发了一模一样的帖子：
答案就一句话：删掉 DockerDesktop 文件夹，在管理员 PowerShell 里重新建一个。
原因
之前为了"修复权限"反复用 takeown 和 icacls 操作 C:\ProgramData\DockerDesktop，结果文件夹的权限条目被改得乱七八糟。
Docker Desktop 安装程序检测 elevated account 的逻辑是这样的：它不是看你的用户有没有管理员权限，而是看这个文件夹的所有者令牌干不干净。被 takeown/icacls 改过的文件夹会通不过这个检测。
所以越改权限越不行，陷入死循环。
解决
# 管理员 PowerShell
Remove-Item "C:\ProgramData\DockerDesktop" -Recurse -Force
New-Item -Path "C:\ProgramData\DockerDesktop" -ItemType Directory
删掉，重建，让文件夹从 ProgramData 干净地继承权限，安装程序就认了。
就这么简单。
反思
回头看这次排查，最大的问题是先动手，后搜索。
正确的顺序应该是：
报错 → 复制错误信息去搜社区/论坛/GitHub
↓
找到案例 → 直接抄方案
↓
没找到 → 再自己排查
如果一开始就去搜 Docker 论坛，可能五分钟就解决了。实际花了半小时。
附：Windows 权限到底怎么分的
"管理员 = 最高权限" 这个认知其实是不准确的。
TrustedInstaller > SYSTEM > Administrators > 标准用户
- TrustedInstaller 拥有 Windows 核心文件的所有权，SYSTEM 都不能随便动它
- SYSTEM 是操作系统自己的账户，比任何登录用户都高
- Administrators（就是我们）还要被 UAC 限制，日常运行其实是"降权"模式
- 标准用户就不用说了
UAC 这个东西让管理员平时跑在受限模式下，只有弹窗确认后才拿到完整权限。所以有些操作你觉得"我是管理员为什么做不了"，就是因为还没走 UAC 那一下。
快速修复命令
# 管理员 PowerShell 里跑这几行就行
# 确认当前是高权限
whoami /groups | findstr "S-1-16-12288"
# 清理重建 DockerDesktop
if (Test-Path "C:\ProgramData\DockerDesktop") {
Remove-Item "C:\ProgramData\DockerDesktop" -Recurse -Force
}
New-Item -Path "C:\ProgramData\DockerDesktop" -ItemType Directory
# 验证
icacls "C:\ProgramData\DockerDesktop"
