Windows XP 群組原則進階實戰：防自鎖、即時生效、權限分級、IP 固定

群組原則 (gpedit.msc) 是 Windows 管理利器，但許多高階技巧鮮為人知。本文揭密四大實戰場景：避免「只允許執行指定程式」導致原則編輯器自我鎖定、讓原則修改即時生效、為不同使用者分配差異化權限、鎖定工作站 IP 設定防衝突。

場景一：限制可執行程式卻不鎖死 gpedit.msc

啟用「使用者設定 → 系統管理範本 → 系統 → 只執行允許的 Windows 應用程式」並加入允許清單後，若直接關閉視窗，系統會連 gpedit.msc 也一併封鎖 (自鎖)。

破解法：設定完成後不要關閉原則編輯器，另開「執行」輸入 gpedit.msc 驗證是否被鎖。若被鎖，立即回到未關閉的視窗，將該原則改為「未設定」→ 確定，即可同時達成「限制執行」與「保留管理入口」。

若已關閉視窗：重開機連按 F8 進入「命令提示字元安全模式」→ 執行 mmc.exe → 檔案 → 新增/移除管理單元 → 獨立 → 新增 → 群組原則 → 完成 → 關閉 → 確定，重獲編輯權。

場景二：透過登錄檔一鍵解除任意「自鎖」

所有原則最終寫入登錄檔。若因其他原則導致 gpedit.msc 無法開啟：

1. 執行 regedit (若 regedit 也被鎖，用上述 MMC 法載入登錄編輯器管理單元)。
2. 定位：HKEY_CURRENT_USER\Software\Policies\Microsoft\MMC\{8FC0B734-A0E1-11D1-A7D3-0000F87571E3}
3. 雙擊 Restrict_Run，數值改為 0，確定。
4. 再次執行 gpedit.msc 即可正常開啟。

場景三：原則修改即時生效 (免等 5–15 分鐘)

在「執行」或命令提示字元執行對應指令，新原則即刻套用。

場景四：為不同使用者分配差異化權限

路徑：電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 使用者權利指派。範例：

• 帳號 aaa：雙擊「拒絕本機登入」→ 新增 aaa → 該帳號僅能遠端桌面/網路存取，無法本機登入。
• 帳號 bbb：授予「本機登入」、「關閉系統」等。
• 帳號 ccc：授予「取得檔案或其他物件所有權」。

事後若伺服器在離線狀態遭植入非法檔案，可立即排除無「本機登入」權限的 aaa，快速鎖定嫌疑對象。

場景五：鎖定 TCP/IP 進階設定防 IP 衝突

路徑：使用者設定 → 系統管理範本 → 網路 → 網路和撥號連線 → 允許 TCP/IP 進階設定，設為 「已停用」。使用者開啟 TCP/IP 內容將無「進階」按鈕，無法修改 IP、閘道、DNS 等參數，從源頭杜絕 IP 衝突。

總結

善用群組原則不僅能鎖死環境，更能在誤鎖時自救、即時推送策略、實現最小權限分級、固定網路參數。掌握這些技巧，才算真正駕馭 Windows 管理核心。