**GPO - Windows 10 のルートディレクトリにフォルダーとファイルの作成をブロックする方法

Question 1

悪い考えです。やらないでください。
すべてのシステムが完全にロックダウンされ、誰もインストールする必要がなくなる場合を除きます。
システムドライブのルートでフォルダー/ファイルの作成をブロックすると、多くのソフトウェアが壊れます。特にデバイスドライバーのインストーラーは、ドライブのルートから直接作業フォルダーを作成することが多いためです。
また、Windows 10 のインプレースアップグレード (およびおそらく他の Windows アップデートも) は、ルートフォルダーに書き込む必要があります。
また、休止状態などの一部のシステムプロセスも、おそらくこれを好まないでしょう。

また、他の回答で一部の人が示唆しているように、「認証されたユーザーを拒否」は管理者に対する拒否でもあります。拒否はすべてに優先します。管理者はそれを元に戻すことができますが、それには手動による介入が必要であり、WindowsUpdate などでは実行できません。

管理されたソフトウェア環境 (SCCM など) では、インストーラーごとにラッパーとして何かを用意できますが、これは大変な作業です。
または、SCCM にローカル (非ドメイン) 管理者アカウントを使用して、フォルダーアクセスを "ドメインユーザー" に制限することもできます。ただし、これも設定が難しく、セキュリティリスクになる可能性があります (各コンピューターでそのアカウントの個別のパスワードを設定し、SCCM が使用できるようにどこかに保存する必要があります。どこでも同じパスワードを使用すると、1 つのパスワードが侵害されると、すべてのコンピューターが侵害されます)。
実際、私が勤務する会社では、SCCM と各コンピューター (約 200,000 のシステム) の個別のローカル管理者アカウントを使用してそのように実行していますが、ルートドライブをロックダウンするほどクレイジーではありません。さまざまな奇妙な副作用や問題を引き起こす可能性が高すぎます。

Answer

悪い考えです。やらないでください。
すべてのシステムが完全にロックダウンされ、誰もインストールする必要がなくなる場合を除きます。
システムドライブのルートでフォルダー/ファイルの作成をブロックすると、多くのソフトウェアが壊れます。特にデバイスドライバーのインストーラーは、ドライブのルートから直接作業フォルダーを作成することが多いためです。
また、Windows 10 のインプレースアップグレード (およびおそらく他の Windows アップデートも) は、ルートフォルダーに書き込む必要があります。
また、休止状態などの一部のシステムプロセスも、おそらくこれを好まないでしょう。

また、他の回答で一部の人が示唆しているように、「認証されたユーザーを拒否」は管理者に対する拒否でもあります。拒否はすべてに優先します。管理者はそれを元に戻すことができますが、それには手動による介入が必要であり、WindowsUpdate などでは実行できません。

管理されたソフトウェア環境 (SCCM など) では、インストーラーごとにラッパーとして何かを用意できますが、これは大変な作業です。
または、SCCM にローカル (非ドメイン) 管理者アカウントを使用して、フォルダーアクセスを "ドメインユーザー" に制限することもできます。ただし、これも設定が難しく、セキュリティリスクになる可能性があります (各コンピューターでそのアカウントの個別のパスワードを設定し、SCCM が使用できるようにどこかに保存する必要があります。どこでも同じパスワードを使用すると、1 つのパスワードが侵害されると、すべてのコンピューターが侵害されます)。
実際、私が勤務する会社では、SCCM と各コンピューター (約 200,000 のシステム) の個別のローカル管理者アカウントを使用してそのように実行していますが、ルートドライブをロックダウンするほどクレイジーではありません。さまざまな奇妙な副作用や問題を引き起こす可能性が高すぎます。

Question 2

以下のようにトラブルシューティングを試みることができます:

Windows 10 がドメイン環境にある場合、ドメイン内にある場合は、Windows 10 で gpresult レポートを実行して、ポリシーが適用されているかどうかを確認できます。適用されていても、フォルダーとファイルの作成をブロックできない場合は、手順 2 に進みます。
ルートディレクトリ内の他のフォルダーをブロックして、グループポリシーを正常に適用できるかどうかを確認します。正常に適用できる場合は、システムルートディレクトリのアクセス許可を設定できない可能性があります。
Windows 10 がドメイン環境にない場合は、このプロセスはグループポリシー管理機能を実行しているサーバーがあるドメインでのみ使用できることに注意してください。スタンドアロンシステムとワークグループでは、これらのアクセス許可を手動で割り当てる必要があります。そのため、アクセス許可を手動で設定することができます。

参照：

グループポリシー経由でファイルとフォルダの権限を割り当てる

https://www.linkedin.com/pulse/assign-file-folder-permissions-via-group-policy-farid-soltani

ファイルシステムセキュリティGPOの作成

https://library.netapp.com/ecmdocs/ECMP1401220/html/GUID-A8D101D3-729F-4299-A591-4AC55A5DD12E.html

グループポリシー – GPResult の例

https://blog.thesysadmins.co.uk/group-policy-gpresult-examples.html

Answer