组策略使能“只允许指定程序”之后，组策略没法打开

neutronlmk

win10 组策略编辑器使能“只允许指定程序”之后，组策略没法打开。
已经把“gpedit.msc”加入允许列表中。

gzhuli

管理控制台的母体是mmc.exe，msc文件只是相当于mmc.exe下面的子应用。

neutronlmk

gzhuli 发表于 2022-10-9 16:10
管理控制台的母体是mmc.exe，msc文件只是相当于mmc.exe下面的子应用。
(引用自2楼)

摸索出方法了。
使能“只允许指定程序”，把“mmc.exe“和”gpedit.msc“都加入列表中。

neutronlmk

相当于间接实现了禁止用户安装任何软件的功能

neutronlmk

gzhuli 发表于 2022-10-9 16:10
管理控制台的母体是mmc.exe，msc文件只是相当于mmc.exe下面的子应用。
(引用自2楼)

又出新问题了。系统点击“关机”没反应。要允许关机、重启，该把哪个程序加入允许名单呢？

pengdewei

shutdown /s /t 0

neutronlmk

pengdewei 发表于 2022-10-9 18:09
shutdown /s /t 0
(引用自6楼)

把 “shutdown.exe”添加到允许运行了，还是无法使用菜单关机/重启。

vtte

rundll32.exe

neutronlmk

vtte 发表于 2022-10-9 19:25
rundll32.exe
(引用自8楼)

rundll32.exe
user.exe
shutdown.exe
都添加进去了

tim

再加 winlogon.exe 试试

neutronlmk

tim 发表于 2022-10-9 20:14
再加 winlogon.exe 试试
(引用自10楼)

加了测试，还是不行。

vtte

可能是你系统问题，我实测添加这几个可以关机。  Win7 64位。

neutronlmk

vtte 发表于 2022-10-9 21:10
可能是你系统问题，我实测添加这几个可以关机。  Win7 64位。
(引用自12楼)

我把截图几个加上也不行，我的系统不一样。win server 2022，我用win 10试试看。

cantonguy

这么多年了，我还没搞清楚分组怎么玩
例如分组想做一个账户，只能运行某个几个程序，在桌面也只能有这些程序，而且系统设置不能动，这么简单我还没研究出来

neutronlmk

cantonguy 发表于 2022-10-10 12:00
这么多年了，我还没搞清楚分组怎么玩
例如分组想做一个账户，只能运行某个几个程序，在桌面也只能有这些程 ...
(引用自14楼)

就用我上述的白名单策略。
目前整理到的exe对应关系：

1. 系统：
   
2. mmc.exe——组策略
   
3. ServerManager.exe——服务器管理器
   
4. mstsc.exe——远程桌面客户端
   
5. control.exe——控制面板/windows 管理工具
   
6. cmd.exe——命令行
   
7. notepad.exe——记事本
   
8. 自装：
   
9. PotPlayerMini64.exe——POT播放器
   
10. vmware.exe——VM虚拟机
    
11. firefox.exe——火狐浏览器

复制代码

cantonguy

neutronlmk 发表于 2022-10-10 14:08
就用我上述的白名单策略。
目前整理到的exe对应关系：
(引用自15楼)

很复杂，所以，WINDOWS设计感觉是不是有点问题？
从WIN2000就开始重视分组这些东西，但实际上用户不懂细节根本没版本操作，你这个研究透彻一般人做不到

neutronlmk

cantonguy 发表于 2022-10-10 14:41
很复杂，所以，WINDOWS设计感觉是不是有点问题？
从WIN2000就开始重视分组这些东西，但实际上用户不懂细 ...
(引用自16楼)

如果你没有洁癖，把用户分配且仅分配给“guests”用户组，那此用户只能安装一些低权限要求的软件，删除此用户之后，所有软件会被清除。

cantonguy

neutronlmk 发表于 2022-10-10 15:09
如果你没有洁癖，把用户分配且仅分配给“guests”用户组，那此用户只能安装一些低权限要求的软件，删除此 ...
(引用自17楼)

guests也可以用管理员级别账户安装的软件，总之还是比较麻烦

neutronlmk

cantonguy 发表于 2022-10-10 15:59
guests也可以用管理员级别账户安装的软件，总之还是比较麻烦
(引用自18楼)

没有管理员密码就不能安装高权限软件。
低权限软件，你用我白名单的方法就好。
白名单很容易绕过，这个无解。