Windows Server 2003 群組原則限制使用者僅能執行白名單應用程式

設定目標

防止一般使用者隨意執行伺服器上的應用程式，僅允許執行白名單內的程式。

操作步驟

1. Win+R → gpedit.msc。
2. 「使用者設定」→「管理範本」→「系統」→「只執行允許的 Windows 應用程式」→「已啟用」。
3. 點選下方「允許的應用程式清單」→「顯示」→「新增」逐一輸入允許執行的可執行檔名稱 (如 notepad.exe、calc.exe、mspaint.exe、winword.exe 等)。
4. 「確定」套用，無需重開機 (下次使用者登入生效)。

效果

• 一般使用者嘗試執行非白名單程式會彈出「Windows 無法存取指定裝置、路徑或檔案」錯誤訊息。
• 系統管理員 (Administrators 群組) 不受此限制。

注意事項

• 需輸入完整檔名 (含 .exe)，路徑不需指定 (系統會搜尋 PATH 環境變數)。
• 白名單過少會嚴重影響使用者生產力，建議先盤點業務必要應用程式再部署。
• 可搭配「軟體限制原則」 (路徑規則/雜湊規則/憑證規則) 實現更精細管控。