核心是阻断控制面板（control.exe）和“设置”应用入口，配合AppLocker禁止gpedit.msc、regedit.exe等工具，并通过用户权限分配移除普通用户对关键配置的读取权限，严格遵循最小特权原则。
要限制域用户查看系统配置，核心是控制其访问关键管理界面和底层配置工具的权限，而不是简单隐藏图标。重点在于阻断实际调用路径，同时避免影响必要运维。
禁用控制面板与设置入口
控制面板（control.exe）和“设置”应用是普通用户查看系统配置最常用的两个入口：
- 在GPO中启用“用户配置 → 管理模板 → 控制面板 → 禁止访问控制面板”，该策略会屏蔽开始菜单图标、运行命令及所有.cpl项调用
- 对Windows 10/11，仅禁用控制面板不够——需配合AppLocker规则，阻止
SystemSettings.exe、ms-settings:协议及常见设置页URI（如ms-settings:network-status） - 若需保留部分功能（如网络状态），可启用“禁止访问指定的控制面板项”，明确列出
inetcpl.cpl、sysdm.cpl等高风险.cpl文件
阻止组策略编辑器和注册表编辑器
普通用户不应具备修改或查看系统级策略的能力：
- 通过AppLocker创建可执行规则，拒绝用户运行
gpedit.msc、regedit.exe、secpol.msc、mmc.exe（限制其加载gpedit.msc或devmgmt.msc等管理单元） - 不建议直接删除或移动
gpedit.msc文件——这属于客户端本地操作，无法集中管控且易被绕过；应统一通过GPO+AppLocker实现 - 对域环境，确保这些AppLocker规则部署在“计算机配置”下，以覆盖所有登录会话
限制用户权限分配
即使能打开工具，也要让其无权读取关键配置数据：
- 在GPO的“计算机配置 → 策略 → Windows设置 → 安全设置 → 本地策略 → 用户权限分配”中，检查并移除普通用户组对以下权限的分配：
• “查询信息”类：如“从网络访问此计算机”、“允许通过远程桌面服务登录”（除非业务必需）
• “查看配置”类：如“管理审核和安全日志”、“调试程序”（非管理员无需此权限） - 特别注意“拒绝本地登录”策略——不要随意添加域用户，否则可能导致无法登录；应只用于明确禁止的测试账号或已离职人员
- 启用“最小特权原则”：普通用户默认不应属于
Power Users、Administrators或Remote Management Users等高权限组
验证与防绕过要点
策略生效后必须主动验证，防止表面禁用但实际可绕过：
- 使用
gpresult /h report.html确认目标用户确实应用了相关GPO；用rsop.msc检查实时生效策略 - 测试常用绕过方式：运行
control desk.cpl、shell:::{ED7BA470-8E54-465E-825C-99712043E01C}（设置快捷方式）、双击.inf文件调出安装界面等 - 若业务依赖LDAP认证的OA或Wiki系统，请确保GPO未误封
lsass.exe或Kerberos相关服务——这类误封会导致单点登录失败
