XP 群組原則禁止安裝軟體：禁用 Windows Installer 與限制執行程式

企業/學校/共用電腦需防止使用者隨意安裝軟體，XP 專業版可透過群組原則實現：

核心設定路徑

Win+R → gpedit.msc →

1. 禁用 Windows Installer

電腦設定 → 系統管理範本 → Windows 元件 → Windows Installer

• 「禁用 Windows Installer」→ 已啟用 → 選「永遠」
• 「禁止使用者安裝」→ 已啟用

2. 禁用「新增/移除程式」

使用者設定 → 系統管理範本 → 控制台 → 「隱藏『新增/移除程式』」→ 已啟用

3. 只允許執行指定程式（白名單模式）

使用者設定 → 系統管理範本 → 系統 → 「只執行允許的 Windows 應用程式」→ 已啟用 → 「允許的應用程式清單」→ 新增 explorer.exe, iexplore.exe, winword.exe 等

進階：限制存取 gpedit.msc 本身

使用者設定 → 系統管理範本 → 系統 → 「禁止存取登錄編輯工具」→ 已啟用，防止使用者自行解除限制。

注意事項

• 僅 XP 專業版/企業版支援 gpedit.msc，家用版無群組原則
• 設定生效需 gpupdate /force 或重新登入
• 管理員帳號不受「只執行允許程式」限制（預設）
• 過度限制可能導致系統更新、合法軟體安裝失敗，建議測試後部署

繞過風險

使用者若具備：

• 本地管理員權限 → 可停用原則、修改登錄表
• 安全模式啟動 → 部分原則不生效
• PE/Linux Live USB → 直接操作檔案/登錄表

物理存取權 = 完全控制權，群組原則只能誠實者守約。