Windows Server 2003 本機群組原則進階應用：僅對非管理員使用者套用限制原則

前言：工作組環境下的精細權限控制

Windows Server 2003 工作組 (非網域) 環境中，本機群組原則 (Local Group Policy) 預設套用至**所有使用者** (含 Administrators)。若需「限制一般使用者但保留管理員完整權限」，需透過**兩套 Registry.pol 切換技巧** 實現。本文說明完整操作流程。

核心原理

• 本機群組原則儲存於 %SystemRoot%\System32\GroupPolicy\User\Registry.pol。
• 登入時系統讀取此檔套用「使用者設定」。
• 若先以管理員登入套用「限制版」原則，再備份 Registry.pol，切換為「非限制版」原則，再將備份覆蓋回去，**後續登入的一般使用者將套用限制版，而管理員因已登入過非限制版而保有完整權限**。

步驟 1：建立「限制版」原則 (給一般使用者)

1. 以 **Administrator** 登入。
2. 執行 gpedit.msc (或 MMC 加入「群組原則物件編輯器」→ 本機電腦)。
3. 展開 使用者設定 → 系統管理範本，啟用所需限制，例如：
   ☐ 隱藏桌面上的「網路芳鄰」
   ☐ 隱藏桌面上的 Internet Explorer 圖示
   ☐ 移除「執行」命令
   ☐ 禁止存取登錄編輯工具
   ☐ 禁止存取命令提示字元
   ☐ 僅允許執行指定的 Windows 應用程式
4. 關閉 gpedit.msc，登出。

步驟 2：備份限制版 Registry.pol

1. 再次以 **Administrator** 登入。
2. 「資料夾選項 → 檢視」→ 勾選 顯示隱藏檔案和資料夾。
3. 複製 %SystemRoot%\System32\GroupPolicy\User\Registry.pol 至備份位置 (如 D:\Backup\Restricted_Registry.pol)。

步驟 3：建立「非限制版」原則 (給管理員)

1. 開啟 gpedit.msc，**停用/未設定** 步驟 1 中所有啟用的限制項目 (回到預設狀態)。
2. 關閉 gpedit.msc (此時系統會重新產生「非限制版」 Registry.pol)。
3. 登出。

步驟 4：還原限制版 Registry.pol 覆蓋

1. 以 **Administrator** 登入 (此次登入套用非限制版，管理員保有完整權限)。
2. 將備份的 Restricted_Registry.pol 複製回 %SystemRoot%\System32\GroupPolicy\User\Registry.pol (覆蓋)。
3. 登出。

步驟 5：驗證成效

• 以 **一般使用者** 登入 → 應受限制 (無「執行」、無登錄編輯器、桌面圖示隱藏等)。
• 以 **Administrator** 登入 → **無任何限制**，可正常管理系統。

重要注意事項

結語

透過「雙 Registry.pol 切換法」，Windows Server 2003 工作組環境可實現「一般使用者受限、管理員不受限」的精細權限控制，零成本、無需第三方工具。操作前請完整備份系統狀態，並在測試環境驗證後再套用至生產機。