要限制本地账户安装未签名驱动，关键是启用驱动签名强制并关闭用户绕过权限：启用“设备驱动程序的代码签名”设为“阻止”，启用“禁止用户安装驱动程序软件”，并可选启用“允许管理员忽略设备安装限制”以实现最小权限管理。
要限制本地账户安装未签名驱动，关键不是“禁止安装”，而是让系统在加载驱动前就拒绝未签名代码——核心是启用驱动签名强制并关闭用户绕过权限。
启用设备驱动程序的代码签名（设为“阻止”）
这是最直接有效的控制点：
- 打开 gpedit.msc → 计算机配置 → 管理模板 → 系统 → 驱动程序安装
- 双击“设备驱动程序的代码签名”，选择“已启用”，下方选项选“阻止”
- 该策略生效后，任何未签名驱动（包括.inf手动安装、PnP自动加载、第三方工具注入）都会被内核直接拒绝，不弹窗、不提示
禁止用户安装驱动程序软件
堵住用户通过图形界面或右键安装.inf的路径：
- 在同一位置（驱动程序安装节点下），启用策略“禁止用户安装驱动程序软件”
- 启用后，普通用户双击.inf文件、在设备管理器中“更新驱动”→“浏览我的电脑”等操作均会失败，提示“权限不足”
- 注意：该策略不影响管理员账户，但本地标准账户将完全失去驱动安装能力
允许管理员忽略限制（可选但推荐）
避免运维人员也被锁死：
- 定位到：计算机配置 → 管理模板 → 系统 → 设备安装 → 设备安装限制
- 启用“允许管理员忽略设备安装限制”，确保域管理员或本地Administrators组成员仍可部署可信驱动
- 此项与上两项配合，实现“用户受限、管理员可控”的最小权限原则
验证与补充建议
策略生效需重启或运行 gpupdate /force，之后可通过以下方式确认：
- 尝试用标准账户双击任意未签名.inf文件 → 应提示“无法安装此硬件”或直接无响应
- 在设备管理器中右键任意设备 → “更新驱动程序” → “浏览我的电脑” → 选未签名驱动目录 → 应报错0x000000d（签名无效）
- 检查注册表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CI\Policy，值“1”表示签名强制已启用
