防止使用者更改註冊表

Question

背景：我運行一個由 10 台電腦組成的小型電腦實驗室，使用 Windows 7 x64 Enterprise。我們的用戶被設定為有限用戶。對於其他限制，我使用 Microsoft 管理控制台為非管理員設定了本機群組原則。

問題：最近，我發現其中一些限制已被取消。檢查 MMC 和 ntuser.pol 中的設定表明這些設定應該仍然存在。但是，ntuser.dat 中缺少相關的登錄設定。我已經在 GPO 中禁用了註冊表編輯（儘管不是在靜默模式下）。

問題：處理這種情況的最佳方法是什麼？我應該考慮防止註冊表設定更改嗎？我是否應該設定註冊表審核以找出這些金鑰最初是如何更改的？或者我應該放棄幽靈並編寫某種登入腳本來強制註冊表值（如果它們已更改）？還有其他想法嗎？

Answer 1

好的，問題是您使用 gpedit 進行了一些更改，但這些更改沒有出現在註冊表中，對吧？使用策略編輯器進行變更後，您是否立即檢查它們是否在登錄中？

您可能需要審核註冊表項以找出誰/什麼正在更改它們。這將使停止它變得更容易，因為正如您所考慮的，它可能是其他東西（例如係統進程或其他東西）正在進行更改，因此對用戶群組設定限制沒有效果。

您可以使用以下命令進行設定群組原則編輯器，但我發現權限對話框對話框更容易：