Windows 群組原則入門與實戰：從介面客製化到安全性鎖定

群組原則 是 Windows 專業版/企業版/教育版內建的強大管理工具，將散落登錄表各處的設定集中為直覺的介面，支援本機與網域環境。本文帶你從啟動方式、管理模板架構，到實際客製化「開始選單」、「桌面」、「資源管理器」等常見場景。

一、群組原則基礎觀念

什麼是群組原則？

本質上是對登錄表特定機碼的標準化修改介面。早期 Windows 9x/NT 使用「系統原則」，以 Config.pol 覆寫登錄表；Windows 2000 引入群組原則，直接操作登錄表，支援 Active Directory、站台、網域、OU 多層級管理，並提供結果集 (RSOP) 模擬與診斷。

啟動方式

• 本機原則：Win+R → gpedit.msc
• 遠端/多電腦管理：mmc → 檔案 → 新增/移除嵌入式管理單元 → 群組原則物件 → 瀏覽選擇目標電腦/AD 物件

管理模板架構

預設 .adm 檔位於 %SystemRoot%\Inf：

• System.adm：系統設定
• Inetres.adm：Internet Explorer 原則
• Wmplayer.adm：Windows Media Player
• Conf.adm：NetMeeting

可右鍵「管理模板」→「新增/移除範本」載入廠商提供的 ADM/ADMX（Vista+ 使用 ADMX，集中於 PolicyDefinitions）。

二、實戰：個人化我的電腦

路徑均為 使用者設定 → 管理模板 下對應分類。

1. 隱藏「開始」選單「文件」選單

任務列和「開始」選單 → 「不在『文件』選單中顯示最近使用的文件」→ 啟用。登出再登入生效。

2. 移除「開始」選單「執行」命令

任務列和「開始」選單 → 「從『開始』選單移除『執行』命令」→ 啟用。同時禁用 Win+R、工作管理員「新增工作」、IE 網址列 UNC/本機路徑存取。

3. 精簡「開始」選單

任務列和「開始」選單 → 啟用下列項目：

• 「從『開始』選單移除使用者資料夾」
• 「移除『Windows Update』存取與連結」
• 「從『開始』選單移除公用程式群組」
• 「從『開始』選單移除『我的文件』圖示」

4. 隱藏/禁用桌面所有項目

桌面 → 「隱藏桌面上所有圖示」→ 啟用。圖示消失但程式仍可透過其他方式啟動。

5. 登出不儲存使用者桌面設定

桌面 → 「登出時不儲存桌面設定」→ 啟用。圖示位置、工作列大小/位置等變更將不保存。

6. 啟用/禁用 Active Desktop

桌面 → Active Desktop → 「啟用 Active Desktop」/「禁用 Active Desktop」。若同時啟用以「禁用」為準；若「禁用 Active Desktop 和 Web 檢視」啟用則覆蓋兩者。

7. 從「我的電腦」移除「共用文件」

Windows 元件 → Windows 檔案總管 → 「不顯示『共用文件』資料夾」→ 啟用。工作組環境下隱藏 Web 檢視中的共用文件。

8. 刪除檔案直接永久刪除（略過資源回收筒）

Windows 元件 → Windows 檔案總管 → 「不將已刪除的檔案移至資源回收筒」→ 啟用。極度謹慎啟用，誤刪無法復原。

三、進階應用方向

• 腳本部署：電腦設定/使用者設定 → Windows 設定 → 指令碼（啟動/關機、登入/登出）
• 軟體安裝：電腦設定 → 軟體設定 → 軟體安裝（需 MSI，支援指派/發佈）
• 資料夾重導向：使用者設定 → Windows 設定 → 資料夾重導向（文件、桌面、應用程式資料等導向網路共享）
• 安全性設定：帳戶原則（密碼、鎖定、Kerberos）、本機原則（稽核、使用者權利指派、安全性選項）
• 偏好設定：Win Server 2008+ 引入，可設定磁碟機對應、印表機、登錄表、檔案、捷徑、服務等，支援項目層級鎖定與動作模式

四、常用診斷指令

• gpupdate /force：強制重新套用原則
• gpresult /h report.html：產生 HTML 報告
• rsop.msc：群組原則結果集模擬

總結

群組原則是 Windows 管理的核心槓桿。善用它可實現：介面標準化、安全性基準、軟體自動部署、環境漫遊。建立測試環境（虛擬機/非生產 OU）驗證後再推廣，善用 RSOP 模擬與 gpresult 診斷，讓管理事半功倍。