拒絕 Windows 7 多使用者亂象：本地安全性原則限制 Guest/標準帳號登入

多使用者環境下，即使主帳號設密碼、限制權限，其他人仍可建立新帳號安裝軟體、玩遊戲、瀏覽不當網站。透過「本地安全性原則」移除 Guest / 標準帳號的「允許本地登入」權利，並明確「拒絕本地登入」，從系統層面封鎖非授權帳號登入。

操作步驟

1. Win+R → secpol.msc → 「本地安全性原則」（Win 7 專業版/企業版/旗艦版支援，家用版無此工具）。
2. 展開「本地原則」→「使用者權限指派」。
3. 移除允許登入：雙擊「允許本地登入」→ 選取 Guest / 目標帳號 → 「移除」→ 確定。
4. 新增拒絕登入：雙擊「拒絕本地登入」→ 「新增使用者或群組」→ 輸入 Guest / 目標帳號 → 確定 → 確定。

優先權說明

「拒絕本地登入」優先權 高於 「允許本地登入」。若帳號同時出現在兩者，系統以「拒絕」為準。本文步驟先移除允許、再新增拒絕，雙重保險。

效果

• 目標帳號在歡迎畫面消失，無法透過本地登入（控制台、快速使用者切換、遠端桌面均受阻）。
• 系統管理員帳號不受影響（預設包含於 Administrators 群組，擁有「允許本地登入」且未被拒絕）。

副作用與風險

• 某些服務/排程任務以該帳號身分執行（如備份代理、監控 Agent）將啟動失敗。
• 家用版無 secpol.msc，需用 ntrights.exe (Windows Server 2003 Resource Kit) 命令列操作，或編輯註冊表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Policy\Accounts（高風險，不建議）。
• 若誤將自身管理員帳號加入拒絕清單，需進入安全模式或離線修復註冊表恢復。

替代方案

本地安全性原則封鎖登入屬於「核選項」，適用於高管控需求、非家用版環境。一般家庭建議使用「標準使用者 + UAC + 家長控制」組合，兼顧安全與易用性。