Windows XP 管理模板詳細解析（一）：核心架構、NetMeeting、IE 與工作排程器設定

管理模板概觀

管理模板（.adm 檔案）用於配置 Windows XP 登錄中的設定，進而控制服務、應用程式與作業系統元件的行為。Windows XP Service Pack 1 內建五個管理模板，包含 600 多項設定，其中 100 多項為 XP Professional 新增。Windows Server 2003 部分設定不適用於 XP。完整設定清單請參考本模組結尾「其他資訊」引用的「原則設定」Excel 活頁簿。

內建 .adm 檔案與影響範圍

注意：必須手動在群組原則物件（GPO）中配置管理模板設定，才能套用至環境中的電腦與使用者。

設定分類與優先順序

• 電腦設定：儲存於 HKEY_LOCAL_MACHINE 登錄配置單元。
• 使用者設定：儲存於 HKEY_CURRENT_USER 登錄配置單元。

本指南定義的「企業客戶端」與「高安全性」環境均有對應建議。電腦設定適用於兩環境，使用者設定同樣適用。注意：使用者設定透過連結 GPO 套用至包含使用者的 OU（詳細請見模組 2）。若同一設定同時存在於電腦與使用者設定，電腦設定優先。

Microsoft Office XP 額外管理模板可從 Office XP Resource Kit 取得；若需其他群組原則設定，可自行開發自訂模板（詳細請見本模組「其他資訊」白皮書）。本模組未涵蓋所有可能設定，許多為非安全性的 UI 設定，請依組織安全目標決定採用哪些配置。

電腦設定：Windows 元件

本節討論「電腦設定 \ 管理模板 \ Windows 元件」下的建議設定。請透過連結至包含電腦帳戶 OU 的 GPO 套用；可攜式電腦設定納入連結至可攜式電腦 OU 的 GPO，桌上型電腦納入連結至桌上型電腦 OU 的 GPO。

NetMeeting

NetMeeting 允許透過網路召開虛擬會議。相關電腦設定位於：

電腦設定 \ 管理模板 \ Windows 元件 \ NetMeeting

停用遠端桌面共用

啟用此設定可防止使用者設定 NetMeeting 或透過網路遠端使用其傳送訊息/控制桌面，避免安全風險。企業環境預設未配置，高安全性環境建議啟用。

Internet Explorer

IE 群組原則有助於強制執行安全需求、防止透過瀏覽器交換非預期內容。核心原則包括：僅因使用者動作發出網路請求、資訊僅送達指定網站、明確識別受信任通道、腳本/程式在受限環境執行。設定路徑：

電腦設定 \ 管理模板 \ Windows 元件 \ Internet Explorer

注意：安全性區域設定無法透過群組原則配置，需使用 IEAK（Internet Explorer Administration Kit）。

IE 電腦設定建議總表

關鍵設定說明

• 停用 IE 元件自動安裝：防止瀏覽器自動下載/安裝網頁所需元件，讓管理員掌控可安裝元件。啟用前建議建立替代更新策略（如 SUS）。
• 停用定期檢查 IE 軟體更新：防止 IE 每 30 天自動檢查更新並通知使用者，利於版本控管。啟用前建議建立管理員定期更新替代策略。
• 停用程式啟動時的軟體更新外殼通知：使用軟體發佈通道更新程式時不通知使用者，允許管理員無需使用者干預即可部署更新。
• 根據電腦設定 Proxy 伺服器：確保同一電腦所有使用者 Proxy 設定一致，防止繞過代理伺服器的安全原則。桌上型建議啟用，可攜式建議停用（行動使用者出差可能需變更 Proxy）。
• 安全性區域：禁止使用者新增/刪除網站：鎖定安全性區域網站管理，防止使用者修改「受信任/受限網站」或「區域網路」設定。若啟用「停用安全性頁面」（使用者設定下），將移除「安全性」索引標籤並優先生效。
• 安全性區域：禁止使用者變更原則：停用「自訂等級」按鈕與安全性等級滑桿，凍結管理員建立的區域設定。同樣受「停用安全性頁面」影響。
• 安全性區域：僅使用電腦設定：將安全性區域資訊套用至同一電腦所有使用者，確保設定一致性。

工作排程器

設定路徑：

電腦設定 \ 管理模板 \ Windows 元件 \ 工作排程器

• 停用「建立新工作」：移除「新增排程工作」選項與「新工作精靈」，系統忽略拖放/複製/貼上至「排程工作」資料夾的動作。高安全性建議啟用，企業環境建議未配置。
• 停用「刪除工作」：從選單移除「刪除」命令，系統忽略刪除/拖離排程工作的動作。高安全性建議啟用，企業環境建議未配置。注意：不禁止管理員使用 At.exe 刪除工作。

終端服務 \ 用戶端/伺服器資料重新導向

終端服務提供將用戶端資源重新導向至伺服器的選項。設定路徑：

電腦設定 \ 管理模板 \ Windows 元件 \ 終端服務 \ 用戶端/伺服器資料重新導向

不允許磁碟機重新導向：禁止使用者將本機磁碟機共享給終端服務伺服器（對應路徑 \\TSClient\<磁碟機代號>$）。共享本機磁碟機會讓入侵者有機會竊取資料。高安全性建議啟用，企業環境建議未配置。