限制c盘写入需通过组策略配置ntfs拒绝权限：在“计算机配置→安全设置→文件系统”中添加c:\，对users组拒绝写入、修改、删除等权限，并勾选“替换所有子对象权限”，同时保持读取和执行允许；其他界面策略无效。
限制系统盘（c盘）读写完整性，本质是控制普通用户对 c:\ 根目录及其子路径的访问能力，而非“禁止所有操作”。windows 不允许完全锁死系统盘——否则系统无法启动、更新或记录日志。真正可行的做法，是通过组策略精准配置 ntfs 权限，在保留系统必需读取与执行权限的前提下，显式拒绝非必要写入行为。
用计算机配置下的文件系统策略设NTFS拒绝权限
这是唯一能真正生效的底层控制方式：
- 打开
gpedit.msc（域环境则在域控制器上编辑 GPO），定位到：
计算机配置 → Windows 设置 → 安全设置 → 文件系统 - 右键空白处 → “添加文件” → 手动输入
C:\（不能点选图标，必须输完整路径） - 双击刚添加的
C:\条目 → 点击“编辑安全” → 在“组或用户名”中找到 Users 或对应域用户组（如DOMAIN\StandardUsers） - 勾选“拒绝”列下的：
• 写入
• 修改
• 删除子文件夹和文件
• 删除
• 更改权限
• 取得所有权
（注意：不要勾选“读取”“读取和执行”“列出文件夹内容”，这些需保持“允许”） - 务必勾选窗口下方的“替换所有子对象的权限项”，否则仅影响根目录，子目录仍可能继承宽松权限
避免误用界面层策略替代真实权限控制
以下策略看似相关，但实际无效或易被绕过：
-
“防止从我的电脑访问驱动器”（位于用户配置 → 管理模板 → Windows组件 → 资源管理器）：只隐藏图标、拦截双击，命令行（
notepad C:\test.txt）、PowerShell、映射网络路径等方式均可绕过 - 禁用USB或CD/DVD写入策略：只针对可移动介质，对本地C盘无任何影响
- UAC相关开关（如关闭管理员批准模式）：不改变文件权限，仅影响提权弹窗，慎用且不解决根本问题
验证继承性与系统保护机制是否干扰
即使策略成功推送，也可能因系统自身机制失效：
- 检查
C:\属性 → “安全” → “高级” → 确认“启用继承”已勾选；若被手动关闭，组策略无法向下传递 - Windows 的强制完整性控制（MIC）和 TrustedInstaller 保护可能导致部分权限被重置，尤其在系统更新后
- 终端防护软件（如BeyondTrust、CyberArk）可能主动拦截或覆盖 ACL 修改，需在对应平台配置例外或同步策略
- 测试方法：用标准域/本地用户登录，执行
echo test > C:\test.tmp，应提示“拒绝访问”；若成功创建，则说明权限未生效或被覆盖
补充建议：降低策略副作用与维护弹性
纯拒绝权限虽强，但可能影响合法软件安装或日志写入，建议配套处理：
- 将应用日志、临时文件等重定向到非系统盘（例如用符号链接把
C:\Windows\System32\winevt\Logs指向D:\EvtLogs） - 若需允许特定程序写入（如企业OA客户端），可为其安装目录单独设置允许权限，避开全局拒绝
- 备份该GPO配置，或导出当前C盘ACL（
icacls C:\ /save c_acl.txt /t），便于故障时快速还原 - 策略刷新后，运行
gpresult /h report.html确认该GPO已成功应用到目标计算机
