限制域用户修改任务计划需组合策略：禁用taskschd.msc入口、封禁schtasks.exe、收紧Task Scheduler服务ACL、限制PowerShell/WMI访问，并验证效果。

限制域用户修改任务计划，核心是切断其对任务计划程序（taskschd.msc）、命令行工具（schtasks.exe、powershell中的scheduleservice模块）以及底层服务对象的写入权限。组策略本身没有“禁止编辑任务计划”的一键开关，但可通过组合策略实现精准管控。

禁用图形界面入口与关键命令行工具

阻止用户打开任务计划管理器是最直接的第一步：

• 在GPO中导航至：用户配置 → 管理模板 → 系统 → 管理工具，启用“禁止使用任务计划程序”策略。该策略会从“运行”对话框、计算机管理控制台及开始菜单中移除taskschd.msc入口。
• 同步封禁命令行操作：进入用户配置 → 管理模板 → 系统 → 可执行文件的限制，启用“不允许运行指定的Windows应用程序”，在列表中添加：
    • schtasks.exe
    • cmd.exe（慎用；若仅需限制计划任务，建议优先只加schtasks.exe）
• 如需更严格控制，可在AppLocker中为Domain Users组创建拒绝规则，路径为：
    C:\Windows\System32\schtasks.exe
    C:\Windows\System32\Taskschd.dll（部分PowerShell调用依赖此DLL）

收紧任务计划服务的安全描述符

即使工具被禁，高权限用户仍可能通过WMI或PowerShell绕过。需限制对任务计划服务本身的访问控制权：

• 编辑GPO，路径：计算机配置 → 策略 → Windows 设置 → 安全设置 → 系统服务
• 找到并双击“Task Scheduler”服务，勾选“定义此策略设置”，点击“编辑安全性”
• 在权限窗口中，移除“Users”和“Authenticated Users”组的“启动、暂停、继续、读取权限”等条目
• 仅保留“SYSTEM”、“Administrators”及必要运维组（如“SchedulerAdmins”）的“完全控制”或“读取+启动+停止”权限

限制PowerShell与WMI对计划任务的访问

PowerShell的Get-ScheduledTask、Register-ScheduledTask等命令是常见绕过方式，需分层阻断：

• 在GPO中启用：用户配置 → 管理模板 → Windows Components → Windows PowerShell → 关闭PowerShell脚本执行（设为“已禁用”或“仅允许签名脚本”）
• 通过WMI控制收紧权限：使用组策略首选项或登录脚本，在ROOT\Microsoft\Windows\TaskScheduler命名空间中移除普通用户的“启用账户”和“远程启用”权限
• 若环境允许，可将标准用户从“Performance Monitor Users”“Distributed COM Users”等隐式拥有调度权限的组中移出

补充验证与权限隔离建议

策略部署后必须实测，避免误封或失效：

• 客户端执行gpupdate /force，以标准域用户重新登录
• 测试行为：
    • 运行taskschd.msc → 应提示“此操作已被管理员禁止”
    • 执行schtasks /query → 应返回“拒绝访问”或空结果
    • 在PowerShell中运行Get-ScheduledTask → 应报错或无输出
• 确保GPO仅链接到普通用户OU，不被管理员组继承；本地管理员账户不受用户策略限制，无需额外处理
• 如需保留查看权限但禁止修改，可在服务ACL中保留“读取”但移除“写入”“更改配置”权限，而非全盘拒绝