「跳過系統管理員」強制選項允許本機 Administrators 群組成員不受軟體限制原則約束，適用情境：
Active Directory 環境建議： 若透過 GPO 部署，Microsoft 建議拒絕 Administrators 群組對該 GPO 的「套用群組原則」權限，避免不必要的網路流量（因不適用的 GPO 設定不會下載）。
啟用方式： 在「強制執行屬性」對話框選擇「本機系統管理員以外的所有使用者」。
軟體限制原則僅管控「指派的檔案類型」清單中的副檔名。預設清單涵蓋 .exe、.bat、.cmd、.vbs、.js、.msi、.scr 等 50 餘種。若環境使用特殊副檔名（如 Perl 的 .pl），必須手動加入清單才能套用規則。
圖 6.10：「指派的檔案類型屬性」對話框
| 副檔名 | 檔案說明 | 副檔名 | 檔案說明 |
|---|---|---|---|
| .ade | Access 專案擴充 | .inf | 安裝資訊檔 |
| .adp | Access 專案 | .ins | 網際網路通訊設定 |
| .bas | Visual Basic 類別模組 | .isp | 網際網路通訊設定 |
| .bat | 批次檔 | .js | JScript 檔 |
| .chm | 編譯 HTML 說明檔 | .jse | JScript 編碼腳本 |
| .cmd | Windows NT 命令腳本 | .lnk | 捷徑 |
| .com | MS-DOS 應用程式 | .mde | Access MDE 資料庫 |
| .cpl | 控制台擴充 | .msc | 通用主控台文件 |
| .crt | 安全性憑證 | .msi | Windows Installer 套件 |
| .exe | 應用程式 | .msp | Windows Installer 修補 |
| .hlp | Windows 說明檔 | .mst | Visual Test 來源檔 |
| .hta | HTML 應用程式 | .ocx | ActiveX 控制項 |
| .pcd | Photo CD 影像 | .scr | 螢幕保護程式 |
| .pif | MS-DOS 程式捷徑 | .sct | Windows 腳本元件 |
| .reg | 登錄項目 | .shs | Shell 程式碼片段 |
| .url | 網際網路捷徑 | .vb | VB 檔 |
| .vbe | VBScript 編碼腳本 | .vbs | VBScript 腳本檔 |
| .wsc | Windows 腳本元件 | .wsf | Windows 腳本檔 |
| .wsh | Windows Script Host 設定 |
若原則限制 command.com、edit.com 等 16 位元程式，使用者仍可能執行。解決方案：安裝 Windows XP Professional Service Pack 1。
軟體限制原則不管控 Microsoft Win32 子系統以外的程式（如 POSIX 子系統）。
封鎖 POSIX 子系統： 刪除登錄機碼 HKLM\System\CurrentControlSet\Control\SessionManager\Subsystems 下的 POSIX 值。
啟用憑證規則後，系統會檢查憑證撤銷清單 (CRL) 驗證軟體簽章有效性，但會導致簽署程式啟動變慢。
圖 6.11：「受信任的發行者屬性」對話框
| 設定名稱 | 用途 |
|---|---|
| 企業系統管理員 | 僅允許企業系統管理員決定簽署內容信任決策 |
| 本機電腦系統管理員 | 允許本機管理員決定所有簽署內容信任決策 |
| 終端使用者 | 允許使用者自行決定簽署內容信任決策 |
| 發行者 | 驗證軟體發行者使用的憑證未被撤銷 |
| 時間戳記 | 驗證組織用於時間戳記的憑證未被撤銷 |
| 決策項目 | 考量因素 |
|---|---|
| 攜帶型 vs 桌上型電腦 | 行動使用者需更大彈性，考慮分離原則 |
| 伺服器共享、登入腳本、主目錄 | 需為從共享資料夾啟動的應用程式定義路徑規則 |
| GPO vs 本機安全性原則 | 本指南採用 GPO，但需評估本機原則影響 |
| 使用者 vs 電腦原則 | 本設計適用電腦層級所有設定 |
| 預設安全等級 | 建議設為「不允許」，再逐一開放；或用「不受限制」再逐一封鎖 |
| 額外規則 | 「不允許」模式下自動建立 4 個系統登錄路徑規則 |
| 原則選項 | 本機原則勾選「跳過系統管理員」；需檢查 DLL 勾選「DLL 檢查」；自訂副檔名加入指派清單；受信任發行者勾選「發行者」驗證 |
| 套用範圍 | 套用至桌上型/攜帶型電腦所在的 OU |
gpupdate.exe 後重開機修正找到桌上型/攜帶型電腦 OU，新增 GPO，依命名規範命名，專門用於軟體限制原則。
編輯 GPO →「Windows 設定」\「安全性設定」\「軟體限制原則」 → 右鍵選「新增軟體限制原則」。首次編輯會警告將定義預設值，確認無誤後繼續。
盤點工作站所需應用程式與腳本，建立對應路徑規則。範例規則：
*\Program FilesG:\Group ApplicationsLogon.bat*.lnk*.vbs（設為不允許）建議先設為「不受限制」完成所有規則設定並驗證無誤後，再改為「不允許」，避免設定過程中意外鎖定系統。
| 使用者介面顯示 | 說明 | 建議設定 |
|---|---|---|
| 不允許 | 軟體不會執行，無論使用者擁有何種存取權限 | 使用此預設規則 |
| 路徑規則 | 設定 |
|---|---|
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot% | 不受限制 |
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%\*.exe | 不受限制 |
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%\System32\*.exe | 不受限制 |
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir% | 不受限制 |
*.lnk | 不受限制 |
*.vbs | 不受限制 |
G:\Group Applications | 不受限制 |
Logon.bat（或登入腳本實際路徑） | 不受限制 |
*\Program Files | 不受限制 |
| 強制選項 | 建議 |
|---|---|
| 套用軟體限制原則的檔案 | 除 DLL 以外的所有軟體檔案 |
| 套用軟體限制原則的使用者 | 本機系統管理員以外的所有使用者 |
| 指派檔案類型 | 建議 |
|---|---|
| 指派的檔案類型屬性 | 移除 .mdb、新增 .ocx |
| 受信任的發行者 | 建議 |
|---|---|
| 允許選擇受信任發行者的使用者群組 | 本機電腦系統管理員 |
| 驗證憑證是否已撤銷 | 勾選「發行者」選項 |
軟體限制原則提供原則導向機制，識別並管控執行 Windows XP Professional 電腦上的軟體。可阻擋惡意腳本、鎖定環境或禁止特定應用程式。企業環境建議透過 GPO 統一管理，並依不同使用者群組與電腦需求調整各原則。正確部署將提升系統完整性與可管理性，根本降低作業系統擁有與維護成本。
更多關於 Windows XP Professional 與 Windows Server 2003 軟體限制原則的最新資訊，請參考 Microsoft 官方文件庫。
