组策略实现终端权限管控需五层同步收紧：图形界面、命令工具、系统对象、网络通信、软件行为。单点封堵易被绕过，必须分层卡住每条通行路径，缺一不可。
用组策略（gpo）实现大规模终端权限管控，核心不是“封什么”，而是“分层卡住每条通行路径”：图形界面、命令工具、系统对象、网络通信、软件行为五个层面必须同步收紧，缺一不可。单点策略极易被绕过，比如只禁用控制面板，用户仍可用 powershell 启动 services.msc；只封 sc.exe，却忘了 powershell.exe 或 net.exe 同样能查服务。
一、锁死管理入口：从用户第一眼就切断操作可能
普通用户依赖图形界面操作，优先封堵最常用入口：
- 在用户配置 → 管理模板 → 控制面板中启用“禁止访问控制面板”，并叠加“禁止访问指定的控制面板项”，填入 inetcpl.cpl（Internet选项）、sysdm.cpl（系统属性）、mmsys.cpl（声音）等高频风险项
- 在用户配置 → 管理模板 → 系统 → 管理工具中启用“禁止使用服务”，彻底禁用 services.msc（包括 Win+R 输入、双击打开、从计算机管理中调用）
- Windows 10/11 的“设置”应用需单独处理：启用计算机配置 → 管理模板 → 控制面板 → 设置页面可见性，用 Hide:network-proxy;network-mobilehotspot 格式隐藏敏感页，避免 GUI 策略失效
二、阻断命令与脚本通道：防技术型绕过
图形界面关闭后，cmd、PowerShell、sc.exe 等仍是高危跳板：
- 在用户配置 → 管理模板 → 系统 → 可执行文件的限制中启用“不允许运行指定的Windows应用程序”，添加 sc.exe、regedit.exe、taskmgr.exe；慎封 cmd.exe 和 powershell.exe，若必须限制，建议先灰度测试
- 更推荐域环境使用AppLocker：在计算机配置 → 应用程序控制策略 → AppLocker → 可执行规则中新建拒绝规则，路径设为 %SystemRoot%System32sc.exe，作用对象为 Domain Users；可同时封禁常见更新进程如 Teams.exe、zoom.exe，防止其外联
- 对.ps1、.bat、.reg 等高危扩展名做注册表级加固：在计算机配置 → 策略 → Windows设置 → 注册表中强制设置 HKEY_LOCAL_MACHINESOFTWAREClasses.ps1 默认值为 Microsoft.PowerShellScript.1，并配以 ExecutionPolicy=2（AllSigned）或直接禁用脚本执行
三、收紧底层对象权限：让操作即使发起也必然失败
这是最根本的防线——工具可用，但无权操作：
- 进入计算机配置 → 策略 → Windows 设置 → 安全设置 → 系统服务，逐个编辑关键服务（如 Spooler、Dhcp、W32Time），点击“编辑安全性”，移除 Users 组的“读取”和“查询状态”权限，仅保留 Administrators 和 SYSTEM
- 同步清理用户组权限：在计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 用户权限分配中，确保普通用户不在 Network Configuration Operators、Backup Operators 等高危组中，并移除其“更改系统时间”“加载设备驱动程序”等权限
- 若部署了内部 NTP 服务器，还需在 GPO 中禁用默认域时间同步（启用“启用域NTP客户端”并设为“已禁用”），否则终端仍会自动回退到 DC 同步，绕过你指定的 NTP 源
四、统一网络与软件行为：把流量和安装收归可控路径
权限管控不能脱离运行环境，必须同步约束网络出口与软件来源：
- 防火墙出站默认阻止：在计算机配置 → Windows 设置 → 安全设置 → Windows Defender 防火墙与高级安全 → 出站规则 → 属性中，将域、专用、公用三配置文件默认行为均设为“阻止连接”，再按需添加白名单（如 svchost.exe、msedge.exe、内部DNS/WSUS地址）
- 软件安装源统一管控：启用计算机配置 → 管理模板 → 系统 → Internet通信管理 → 关闭Windows Installer的Internet下载功能，并配合 GPO 软件部署，只允许从 UNC 路径（如 \DC01Software）分发 MSI；确需禁用本地安装时，慎用“禁用Windows Installer”，以免阻断 GPO 自身部署
- 浏览器默认程序与协议关联通过 defaults.xml 强制：导出标准配置，精简保留 .pdf、http、mailto 等关键条目，放在 SYSVOL 中，再用计算机配置 → 管理模板 → Windows组件 → 文件资源管理器 → 将指定的应用程序设置为默认值策略指向该 XML
