Windows 7 專業版/旗艦版/企業版內建 gpedit.msc (群組原則編輯器)，可深度控制系統行為。為防止其他使用者誤修改關鍵設定，可透過**移動/重命名 `gpedit.msc` 執行檔**並設定權限，物理阻擋存取。此法簡單有效，無需複雜權限設定。
操作步驟
- 取得 `gpedit.msc` 檔案控制權：
- 檔案位置：
C:\Windows\System32\gpedit.msc。
- 右鍵 → 內容 → 安全性 → 進階 → 擁有者 → 編輯 → 選擇你的管理員帳戶 → 勾選「取代子容器...」→ 「確定」。
- 回「權限」索引標籤 → 變更權限 → 新增 → 你的帳戶 → 完全控制** → 確定層層套用。
- 移動/重命名檔案：
- 將
gpedit.msc **剪下** 移至備份資料夾 (如 `D:\Backup\SystemTools\`)，或**重命名**為 gpedit.msc.bak / gpedit_hidden.msc。
- 此後執行 Win+R →
gpedit.msc 會提示「找不到檔案」。
- 驗證： Win+R →
gpedit.msc → 應出現「Windows 找不到 'gpedit.msc'」錯誤視窗。
恢復使用方法
- 將備份的 `gpedit.msc` 移回
C:\Windows\System32\ (或改回原檔名)。
- **務必記住備份位置**，否則自己也用不了。
更標準的權限控制方案 (企業/進階)
- 群組原則本身限制： `gpedit.msc` → 使用者設定 → 系統管理範本 → 系統 → 禁止存取群組原則編輯器** → 「已啟用」。**僅限當前使用者/群組生效，管理員帳戶通常不受限。**
- AppLocker / 軟體限制原則： 限制特定使用者執行 `mmc.exe`、`gpedit.msc`、`regedit.exe` 等管理工具。
- 標準使用者帳戶 (非管理員)： 日常使用標準帳戶，需管理時輸入管理員密碼 (UAC)，從源頭限制權限。
移動/重命名 `gpedit.msc` 是家用/小型環境最簡單有效的「物理隔離」法。企業環境請部署標準群組原則/AppLocker/標準帳戶策略。
