共用電腦最頭痛：壁紙被換、IE 設定被改、工作管理員被濫用、隨意下載惡意程式……Windows XP 專業版內建的「群組原則」 (gpedit.msc) 就是免費的「系統防護盾」，幾分鐘設定，徹底杜絕未授權變更。
啟動群組原則
「開始」→「執行」→ 輸入 gpedit.msc → Enter。左側樹狀結構分「電腦設定」(機器層級) 與「使用者設定」(登入帳號層級)。
案例 1：壁紙鎖定，拒絕被惡搞
- 依序展開：使用者設定 → 系統管理範本 → 桌面 → Active Desktop。
- 雙擊「Active Desktop 塗布畫面」→ 「已啟用」。
- 「塗布畫面名稱」填入絕對路徑（如
C:\Windows\Web\Wallpaper\Bliss.bmp 或 UNC 路徑 \\Server\Share\Wallpaper.jpg）。
- 「塗布畫面樣式」選「置中/平鋪/拉伸」→ 確定。
套用後，「顯示內容」→「桌面」分頁的塗布畫面下拉選單灰色不可選，右鍵桌面「內容」也無法更換。
案例 2：隱藏 IE「網際網路選項」分頁，防篡改安全等級
- 展開：使用者設定 → 系統管理範本 → Windows 元件 → Internet Explorer → 網際網路控制台。
- 右側列出「停用一般索引標籤」、「停用安全性索引標籤」…等所有分頁對應策略。
- 需鎖定哪個分頁，雙擊該策略 → 「已啟用」→ 確定。需解鎖時改回「未設定」。
案例 3：讓「工作管理員」從 Ctrl+Alt+Del 選單消失
- 展開：使用者設定 → 系統管理範本 → 系統 → Ctrl+Alt+Del 選項。
- 雙擊「移除工作管理員」→ 「已啟用」。同理可移除「鎖定電腦」、「變更密碼」、「登出」、「關機」。
按下 Ctrl+Alt+Del 後，對應按鈕直接不見，極大降低誤操作與惡意終止進程風險。
案例 4：封鎖 IE 非使用者主動下載（防駭客掛馬自動下載）
- 展開：電腦設定 → 系統管理範本 → Windows 元件 → 安全性功能 → 限制檔案下載。
- 雙擊「Internet Explorer」→ 「已啟用」。
- 此後 IE 遭遇非使用者點擊觸發的下載（iframe 自動下載、腳本下載）將直接攔截，不再彈出提示。
案例 5：檔案/資料夾存取稽核，留下誰動了什麼的鐵證
- 展開：電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 稽核原則。
- 雙擊「稽核物件存取」→ 勾選「成功」與「失敗」。
- 對需監控的資料夾右鍵 → 內容 → 安全性 → 進階 → 稽核 → 新增「Everyone」→ 勾選「完全控制」的「成功/失敗」。
- 事件檢視器 → 安全性記錄，即可查看 Event ID 4663 (成功) / 4660 (失敗/刪除) 詳細紀錄。
套用與生效機制
- 「電腦設定」：重開機或
gpupdate /force 立即生效。
- 「使用者設定」：使用者重新登入或
gpupdate /force 立即生效。
- 本機原則優先序：本機 < 網域 < 組織單位 < 子組織單位（後者覆蓋前者）。
進階建議
- 將上述設定匯出為
.reg 或 .inf 範本，部署至多台電腦只需雙擊/腳本導入。
- 搭配「軟體限制原則」(電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則)，僅允許簽章/路徑/雜湊通過的程式執行，徹底阻擋未授權 EXE。
- 定期匯出安全性記錄分析，建立基線偏差警報。
群組原則是 XP 專業版隱藏的企業級管理利器，善用它，共用電腦也能擁有伺服器級的秩序與安全。
