要让只有管理员能安装未签名驱动，关键不是“放开限制”，而是收紧普通用户的执行与安装权限，同时保留管理员绕过能力：一、启用组策略“设备驱动程序的代码签名”设为“阻止”，并启用“禁止用户安装驱动程序软件”；二、启用“允许管理员忽略设备安装限制”，禁用windows installer服务及用户级驱动入口；三、uac设为最高级，确保普通用户被拦截而管理员可在设备管理器中手动安装。

要让只有管理员能安装未签名驱动，关键不是“放开限制”，而是收紧普通用户的执行与安装权限，同时保留管理员绕过能力。windows 本身不提供“仅管理员可装未签名驱动”的单一开关，需组合策略实现效果。

启用驱动签名强制并设为“阻止”

这是最基础的拦截层，确保所有用户（包括管理员）默认无法加载未签名驱动：

• 打开组策略编辑器（gpedit.msc，需专业版/企业版）
• 路径：计算机配置 → 管理模板 → 系统 → 驱动程序安装
• 启用策略“设备驱动程序的代码签名”，选项选“阻止”
• 同步启用“禁止用户安装驱动程序软件”，防止普通用户双击.inf手动安装

赋予管理员绕过权限（关键一步）

仅阻止还不够——管理员需要能临时或策略级绕过，否则连合规调试都无法进行：

• 路径：计算机配置 → 管理模板 → 系统 → 设备安装 → 设备安装限制
• 启用“允许管理员忽略设备安装限制”策略（设为“已启用”）
• 将“禁止安装未由其他策略设置描述的设备”设为“未配置”或“已禁用”
• 这样普通用户被策略拦住，而管理员在设备管理器中右键选择“更新驱动→浏览我的电脑→让我从列表中选”，仍可手动指定未签名.inf文件

切断普通用户的安装路径

未签名驱动常通过.inf双击、MSI包、绿色解压等方式“安装”，需一并堵住：

• 禁用Windows Installer服务：路径→计算机配置 → 首选项 → 控制面板设置 → 服务，新建msiserver服务项，启动模式设为“已禁用”
• 禁用用户级驱动安装入口：路径→用户配置 → 管理模板 → Windows组件 → 打印ers → “防止用户安装打印机驱动程序”设为“已启用”（虽名打印机，实际影响多数PnP驱动安装流程）
• UAC设为最高级：路径→计算机配置 → Windows设置 → 安全设置 → 本地策略 → 安全选项 → “用户账户控制：用于内置管理员账户的管理员批准模式”设为“已启用”

验证与补充建议

策略生效后，普通用户尝试安装会直接报错或无响应；管理员则需在设备管理器中以管理员身份运行操作：

• 重启后测试：普通用户双击.inf提示“此驱动程序未签名，无法安装”；管理员右键“以管理员身份运行”inf，或在设备管理器中手动更新，可成功
• 如仍失败，检查是否残留旧驱动：在设备管理器中卸载对应设备（勾选“删除此设备的驱动程序软件”），再重试
• 家庭版系统无gpedit？可用命令替代部分功能，例如：bcdedit /set nointegritychecks on仅对当前启动生效，不推荐用于生产环境