最可靠方式是通过组策略禁用sysdm.cpl控制面板项：用户配置→管理模板→控制面板→启用“禁止访问指定的控制面板项”，添加sysdm.cpl；并配合AppLocker阻止control.exe sysdm.cpl及SystemSettings.exe。
要限制域用户查看系统属性（即“系统属性”对话框，对应 sysdm.cpl），核心是精准屏蔽该控制面板项，同时封堵常见绕过路径。仅禁用整个控制面板过于粗暴，而单纯隐藏桌面图标或开始菜单入口无效——用户仍可通过命令、运行框或设置应用访问。
直接禁用系统属性控制面板项
这是最可靠、最轻量的方式，不影响其他控制面板功能：
- 在组策略管理控制台（GPMC）中编辑目标OU关联的GPO
- 导航至：用户配置 → 管理模板 → 控制面板
- 启用“禁止访问指定的控制面板项”策略
- 点击“显示”，在列表中添加一行：sysdm.cpl
- 确认策略已启用并链接到含标准域用户的OU
生效后，用户点击“此电脑→属性”、运行 control sysdm.cpl 或通过旧版控制面板打开“系统”均会提示“该项目已被禁用”。
同步阻断其他常见访问入口
系统属性在Windows 10/11中可通过多个非控制面板路径调用，需一并管控：
-
设置应用：系统→关于 页面虽不等同于传统系统属性，但含部分敏感信息（如设备ID、Windows规格）。GPO本身不控制“设置”，建议结合AppLocker，阻止标准用户运行
SystemSettings.exe -
PowerShell/命令行绕过：执行
control.exe sysdm.cpl可绕过界面级限制。应在AppLocker中为“可执行文件”规则添加拒绝项，路径匹配%windir%\system32\control.exe并限定参数含sysdm.cpl（需启用高级规则） -
右键“此电脑→属性”快捷方式：该行为最终仍调用
sysdm.cpl，前述GPO策略已覆盖，无需额外操作
验证与注意事项
部署后必须验证策略是否真正作用于目标用户：
- 客户端执行
gpupdate /force，然后注销并重新登录（用户策略需登录刷新） - 用
gpresult /h report.html检查该用户是否命中并应用了目标GPO - 分别以标准域用户、本地管理员、域管理员三类账户测试，确认仅标准用户受限
- 注意：已打开的系统属性窗口不会被强制关闭，策略只拦截新启动行为
不复杂但容易忽略：确保GPO未被更高优先级策略（如默认域策略）覆盖，且目标用户不在“管理员组”或“域管理员组”中——这些组默认不受此类用户配置策略限制。
