Win7禁止用户创建新账户：组策略隐藏“用户账户”控制面板项

共享电脑/公共终端需防止他人私自创建账户？通过组策略“隐藏指定的控制面板程序”将“用户账户”从控制面板移除，配合现有账户权限最小化，可有效阻断非授权账户创建路径，提升系统安全性。

组策略配置步骤

1. Win+R 输入 gpedit.msc 打开组策略编辑器
2. 依次展开：用户配置 → 管理模板 → 控制面板
3. 双击 隐藏指定的控制面板程序 → 选择 已启用
4. 点击 显示 → “不允许的控制面板程序列表” → 添加
5. 值输入：用户账户（或英文 UserAccounts）→ 确定层层保存
6. 打开控制面板验证：“用户账户”图标已消失

配合措施（纵深防御）

• 账户权限最小化：日常使用标准用户，管理员账户设强密码且仅维护时使用
• 禁用命令行创建：组策略→用户配置→管理模板→系统→“阻止访问命令提示符”→已启用
• 审计账户创建事件：本地安全策略→审核策略→“审核账户管理”→成功/失败均勾选
• 注册表等效：HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowCpl 添加字符串值 1=useraccounts.cpl

适用场景

• 家庭共享电脑（防孩子/长辈乱建账号）
• 企业公共终端/展示机/教学机房
• 服务器跳板机/运维堡垒机

注意：组策略仅隐藏控制面板入口，不阻断 net user /add / lusrmgr.msc / 注册表等底层创建方式，需配合权限审计实现完整管控。