Windows 群組原則進階技巧：防止「自鎖」與差異化權限管控實戰

群組原則 是 Windows 網域環境管理的核心杠桿，但許多管理員僅停留在基礎設定 (密碼原則、腳本部署、軟體安裝)。本文揭示兩大進階實戰技巧：破解「只允許執行指定 Windows 應用程式」導致的 gpedit.msc 自鎖死局、實現「同一伺服器、不同使用者、差異化存取控制權限」的精細授權模型。

技巧一：破解「只允許執行指定應用程式」自鎖陷阱

陷阱重現

1. 開啟 gpedit.msc → 使用者設定 → 系統 →「只允許執行指定的 Windows 應用程式」 → 啟用。
2. 點擊「顯示」 → 「新增」 → 加入允許執行的應用程式 (如 notepad.exe, calc.exe)。
3. 未加入 gpedit.msc / mmc.exe / regedit.exe → 確定套用。
4. 原本開啟的 gpedit.msc 視窗仍可操作，但 新開啟任何管理工具 (含 gpedit.msc) 即被攔截，提示「限制原則阻止執行」。
5. 若已關閉原視窗 → 完全失去圖形介面修改原則的能力，陷入「自鎖」。

解鎖方案 A：未關閉原視窗 → 就地復原 (最優雅)

1. 在仍開啟的 gpedit.msc 視窗中，回到「只允許執行指定的 Windows 應用程式」設定。
2. 選擇 「未設定」 → 確定 → 原則立即解除限制，管理工具恢復可用。
3. 重新啟用原則，此次務必將 gpedit.msc, mmc.exe, regedit.exe, cmd.exe 全部加入允許清單。

解鎖方案 B：已關閉視窗 → 安全模式 + MMC 手工掛載 (終極救援)

1. 重開機 → 按 F8 → 選擇 「帶命令提示字元的安全模式」 → 登入 Administrator。
2. 命令列輸入 mmc.exe → 檔案 → 新增/移除嵌入式管理單元 → 獨立標籤 → 新增 → 群組原則物件編輯器 → 完成 → 確定。
3. 在 MMC 主控台中展開「本機電腦原則」 → 依方案 A 步驟修改為「未設定」或補全允許清單。
4. 儲存主控台檔案 (GP_Unlock.msc) 留作未來急救備用。

根因與預防鐵律

• 根因：軟體限制原則 (AppLocker 前身) 在使用者模式下攔截進程建立，gpedit.msc 本身即受限。
• 鐵律 1：啟用「只允許執行指定應用程式」前，必先將管理工具完整加入允許清單 (gpedit.msc, mmc.exe, regedit.exe, cmd.exe, powershell.exe, compmgmt.msc, devmgmt.msc, services.msc, eventvwr.msc, secpol.msc, rsop.msc, gpmc.msc)。
• 鐵律 2：保留一個「解鎖用 MMC 主控台檔案」 (GP_Unlock.msc) 於管理員桌面/隨身碟。
• 鐵律 3：生產環境優先使用 AppLocker (Win7/Server 2008 R2+)，支援發布者/路徑/雜湊規則、稽核模式、例外處理，較舊版軟體限制原則更安全彈性。

技巧二：同一伺服器、不同使用者、差異化存取控制權限

場景

檔案伺服器共用資料夾 \\FS\Data，需求：

• 群組 Finance：讀寫 \Finance、讀取 \Reports、無權存取 \HR。
• 群組 HR：讀寫 \HR、讀取 \Reports、無權存取 \Finance。
• 群組 Managers：讀寫所有子資料夾、具備「完全控制」委派權限。
• 群組 Interns：僅讀取 \Public、其他拒絕。

實作步驟：群組原則 + NTFS ACL 雙層防護

1. 建立安全性群組 (ADUC) 對應上述四類角色。
2. 配置 NTFS ACL (資料夾層級)：
   • 右鍵資料夾 → 內容 → 安全性 → 進階 → 停用繼承 → 轉換為明確權限。
   • 依需求為各群組設定 Allow/Deny ACE (注意：Deny 優先級高於 Allow，慎用)。
   • 啟用「存取本機檔案/資料夾」稽核 (成功/失敗) 供事後追蹤。
3. 共用權限設為「大家 完全控制」 (或「已驗證使用者 讀取/變更」) — 實際權限以 NTFS ACL 為準，共用權限僅作大門守衛。
4. 群組原則精細化部署 (GPO 連結至 OU/站台/網域)：
   • 使用者設定 → 系統 → 登入/登出腳本：部署 net use 對應網路磁碟機，依群組動態映射不同路徑。
   • 使用者設定 → 系統 → 資料夾重新導向：將「我的文件」、「桌面」重新導向至個人專屬網路資料夾 (權限自動套用)。
   • 電腦設定 → Windows 設定 → 安全性設定 → 檔案系統：將關鍵資料夾 ACL 納入 GPO，實現「版本化、可審計、可回滾」的權限基線管理。
   • 電腦設定 → Windows 設定 → 安全性設定 → 登錄機碼：保護關鍵登錄碼 (如服務啟動類型、防火牆規則) 不被非授權修改。
5. 驗證工具：rsop.msc (結果原則集合) → 選擇目標使用者/電腦 → 模擬生效原則；gpresult /h report.html 產生詳細報告。

進階模式：動態存取控制 (DAC) 前瞻

Windows Server 2012+ 引入 DAC，支援屬性基礎存取控制 (如 Department=Finance、Classification=Confidential) 與中央存取原則，超越傳統群組/ACL 靜態模型。Win2000/2003 環境可透過「群組 + NTFS ACL + GPO 基線」近似實現同等效果。

總結

群組原則不僅是「設定推送工具」，更是「安全治理框架」。掌握 自鎖破解鐵律 保障管理通道永不中斷，建立 NTFS ACL + 共用權限 + GPO 基線 + 稽核 + 驗證 五層權限模型，實現精細化、可審計、可回滾的差異化存取控制，將群組原則從「必用利器」昇華為「治理核心」。