Windows XP 群組原則禁止軟體安裝：封鎖所有媒體來源
企業、學校、家長常需防止使用者自行安裝軟體 (遊戲、盜版軟體、惡意程式)。Windows XP 專業版內建群組原則提供「Windows Installer」原則，可直接封鎖所有安裝媒體來源 (光碟、磁碟片、USB、網路共享)，無需第三方軟體。
設定步驟
- 「開始」→「執行」輸入
gpedit.msc 開啟群組原則編輯器。
- 依序展開：本機電腦原則 → 使用者設定 → 系統管理範本 → Windows 元件 → Windows Installer。
- 右側窗格雙擊 「禁止任何安裝媒體來源」 (或英文版 "Disable media source for any installation")。
- 在「設定」索引標籤選擇 「已啟用」，點選「確定」。
- 關閉群組原則編輯器，設定即時生效 (無需重開機)。
效果驗證
使用者嘗試從光碟、USB 隨身碟、磁碟片、網路共享執行 Setup.exe、Install.msi 等安裝程式時，系統彈出錯誤訊息：
「系統管理員已設定原則，禁止從此媒體來源安裝。」
安裝程式無法繼續執行。
適用範圍與限制
| 項目 | 說明 |
|---|
| 封鎖對象 | 所有使用 Windows Installer (MSI) 技術的安裝程式 |
| 不封鎖 | 舊式 EXE 安裝程式 (非 MSI)、綠色免安裝軟體、解壓縮即用程式、ActiveX 元件、瀏覽器外掛 |
| 影響使用者 | 僅限「使用者設定」下設定的使用者/群組；若在「電腦設定」配置則影響所有使用者 |
| 管理員權限 | 本機管理員仍可透過群組原則編輯器關閉此限制，或使用 msiexec 命令列參數繞過 (需測試) |
進階補充：結合軟體限制原則
為更全面封鎖，可在「電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則」建立新原則：
- 預設安全性等級： 「不允許」 (僅允許明確規則許可的程式執行)。
- 額外規則： 新增「路徑規則」允許
%SystemRoot%、%ProgramFiles%、核心管理工具路徑。
- 指定檔案類型： 加入
.exe、.msi、.bat、.cmd、.vbs、.js 等可執行副檔名。
警告： 「不允許」預設等級極嚴格，設定錯誤可能導致系統無法開機或管理工具無法執行，請在測試環境驗證後再部署。
結語
「禁止任何安裝媒體來源」是最簡單有效的第一道防線，專門針對 MSI 安裝程式 (現代軟體主流封裝格式)。結合軟體限制原則可構建更完整的執行控制體系，但複雜度與風險較高，建議依環境需求分級部署。
