需组合配置组策略与AppLocker：禁用sysdm.cpl控制面板项、可选禁用整个控制面板、通过AppLocker拒绝SystemSettings.exe/msinfo32.exe/systeminfo.exe，并确保用户不在本地管理员组。
限制域用户查看系统属性（即“此电脑 → 属性”或 sysdm.cpl），核心是阻断其启动入口、屏蔽底层控制面板项，并防止常见绕过方式。这不是单一条策略能解决的问题，需组合配置才能真正生效。
禁用系统属性对应的控制面板项（最直接）
系统属性窗口由 sysdm.cpl 提供，组策略可精准屏蔽该组件：
- 打开组策略管理控制台（GPMC），编辑目标OU关联的GPO
- 导航至：用户配置 → 管理模板 → 控制面板 → 禁止访问指定的控制面板项
- 启用该策略，点击“显示”，在值列表中添加一行：sysdm.cpl
- 保存后，标准域用户点击“系统属性”、运行
control sysdm.cpl或从“此电脑”右键属性均会失败或跳过
同步禁用整个控制面板（可选，更彻底）
若无需保留其他控制面板功能（如网络连接、电源选项），推荐启用全局禁用：
- 路径：用户配置 → 管理模板 → 控制面板 → 禁止访问控制面板
- 启用后，开始菜单中控制面板图标消失，
control命令整体失效 - 注意：该策略不影响“设置”应用，需额外管控（见下条）
封堵“设置”应用中的系统信息入口
Windows 10/11 中，“设置 → 系统 → 关于”同样展示系统属性关键信息（版本、设备ID、激活状态等）。GPO本身不控制该界面，需借助AppLocker：
- 编辑同一GPO，进入：计算机配置 → 策略 → 应用程序控制策略 → AppLocker → 可执行规则
- 新建“拒绝”规则，路径设为：
C:\Windows\SystemApps\Microsoft.Windows.SettingsApp_8wekyb3d8bbwe\SystemSettings.exe - 作用范围选择“所有用户”，但排除管理员组（可在规则条件中指定安全组）
- 部署前建议先启用“审核模式”，观察日志确认无误再切为“强制模式”
防范绕过行为与权限加固
仅屏蔽图形界面不够，用户可能通过命令行、PowerShell 或第三方工具获取系统信息：
- 在AppLocker中一并拒绝：
msinfo32.exe（系统信息工具）、systeminfo.exe（命令行系统摘要） - 检查用户是否在本地
Administrators组中——若在，上述策略对其无效；确保目标用户仅为Domain Users或自定义受限组 - 验证策略链接正确：GPO必须链接到普通用户所在的OU，且未被更高层级GPO覆盖或继承
- 客户端执行
gpupdate /force后需重新登录，用户策略才刷新生效
