核心思路是通过AD组策略在“计算机配置→Windows设置→安全设置→文件系统”中精准配置C:\的NTFS ACL：对域用户组显式拒绝写入、修改、删除等权限，同时允许读取和执行，并启用继承以确保子目录受控。要限制域用户对C盘根目录的写入权限，核心思路不是“禁止访问”，而是**精准控制NTFS文件系统权限**——让普通用户保留读取、执行等必要权限，但明确拒绝写入、修改、删除等操作。这比隐藏驱动器或禁用资源管理器入口更底层、更可靠，也符合企业安全合规要求。
优先使用计算机配置下的“文件系统”策略
组策略中真正能修改c盘根目录acl（访问控制列表）的位置，在计算机配置 → 策略 → windows设置 → 安全设置 → 文件系统。右键空白处 → “添加文件” → 浏览选择 c:\（注意必须输入完整路径，不能只选盘符图标）。添加后双击该条目，在弹出窗口中点击“编辑安全”。
- 确保已勾选“替换所有子对象的权限项”，否则仅影响根目录，子文件夹不受控
- 在权限条目中，找到Users或对应域用户组（如DOMAIN\StandardUsers）
- 将“写入”、“修改”、“删除子文件夹和文件”、“删除”、“更改权限”、“取得所有权”全部设为拒绝（Deny）
- 保持“读取”、“读取和执行”、“列出文件夹内容”为允许（Allow），避免影响系统运行和基础浏览
避免误用“防止访问驱动器”类策略
像“用户配置 → 管理模板 → Windows组件 → Windows资源管理器 → 防止从我的电脑访问驱动器”这类设置，只是隐藏C盘图标或弹出提示，不改变实际文件权限。用户仍可通过命令行（如notepad c:\test.txt）、脚本、第三方工具甚至映射网络驱动器方式绕过。它属于界面层限制，不能替代NTFS级控制。
注意继承性与系统保护机制
C盘根目录默认受Windows完整性机制（如Mandatory Integrity Control）保护，即使组策略成功推送，也可能被系统自动重置。因此需确认：
- 目标OU下的计算机已正确链接并启用该GPO，且无更高优先级策略覆盖
- 策略应用后，手动在一台客户机上运行
gpupdate /force，再检查C:\属性→安全→高级→启用继承是否被勾选（应启用，否则子目录权限失效） - 若环境部署了终端防护软件（如CyberArk、BeyondTrust），它们可能拦截或重写ACL，需在对应平台同步放行或配置例外
验证与回退准备
策略生效后，建议用标准域用户账号登录测试：
- 尝试新建文件：
echo test > c:\test.tmp→ 应报“拒绝访问” - 尝试删除现有文件：
del c:\temp.log→ 应失败 - 尝试修改文件属性：
attrib +r c:\readme.txt→ 应被阻止 - 同时确认系统服务、更新、日志写入等不受影响（这些由SYSTEM或TrustedInstaller账户完成，不受用户权限限制）
若出现异常，可临时在GPO中将该文件系统条目设为“未配置”，或通过备份的GPO快照快速还原。
