windows应用权限隔离需分层设防：按用户组管控登录与操作边界、细化ntfs/注册表权限、用applocker白名单拦截程序行为、启用appcontainer与受控文件夹访问实现运行时沙箱化，缺一不可。
windows 环境下应用权限隔离不是靠开一个开关就能搞定的事，核心在于分层设防：从系统级入口控制、文件与注册表访问限制、程序行为拦截，到应用运行时沙箱化，每层都得配到位。
按用户组统一管控登录与操作边界
这是隔离的第一道防线。不能让非授权用户随便连进来，更不能让他们静默提权。
- 域环境：用 GPMC 编辑 GPO，在“用户权限分配”里把 CoreUsers 组加进“拒绝通过网络访问这台计算机”“拒绝通过远程桌面服务登录”等策略项
- 工作组环境：用
gpedit.msc，只在“允许本地登录”“允许通过远程桌面服务登录”中明确加入该组，其他权限默认不放行 - 同步启用 UAC 的“以管理员批准模式运行所有管理员”，防止绕过提示直接提权
按资源类型细化 NTFS 与注册表权限
权限必须落到具体对象上，不能只靠策略喊话。推荐用 AGDLP 模型（账户→全局组→域本地组→权限）来组织。
- 不直接给用户授予权限，而是建职能组，比如
Finance_Readers、HR_Editors，再把人加进去 - 对共享文件夹右键→属性→安全→编辑，只给职能组分配“读取和执行”或“修改”，勾选“替换子容器和对象的所有权限项”确保继承一致
- 对
C:\Program Files、HKLM\SOFTWARE这类敏感路径，额外加一条“拒绝写入”的 ACE，防误覆盖或恶意篡改
按应用行为启用 AppLocker 白名单控制
AppLocker 比传统软件限制更准，支持按发布者签名、文件哈希或路径匹配，适合堵住未授权工具。
- 首次启用建议先开“审核模式”：规则不拦截，只记日志，观察一周确认无业务影响后再切“强制模式”
- 重点限制
.exe、.msi、PowerShell 脚本（.ps1）、VBScript（.vbs）和下载目录（如%USERPROFILE%\Downloads\*） - 规则优先级要理清：发布者规则 > 文件哈希 > 路径，避免被重命名绕过
按运行时环境启用 AppContainer 与受控文件夹访问
这是面向终端用户的轻量级隔离补充，尤其适合防破解软件、绿色工具越权。
- 在“设置→隐私和安全性→应用权限”中，关闭所有全局开关（摄像头、位置、相册等），再手动勾选可信应用
- 在“Windows 安全中心→应用与浏览器控制→应用执行控制”中，开启“启用应用执行控制”和“受控文件夹访问”，保护桌面、文档、下载等关键目录
- 若系统为 Win11 专业版及以上，还可进
gpedit.msc，启用“强制 Win32 应用在 AppContainer 中运行”，进一步降权
不复杂但容易忽略
