Windows权限隔离需分层控制：按用户组设登录与操作边界，用GPO/NTFS/AppLocker组合实施，辅以UAC、AGDLP权限结构、AppLocker白名单及Windows 11隐私与容器化机制。
windows环境下权限隔离的核心不是“一刀切”禁用，而是分层控制：按用户组定边界、按资源类型设规则、按应用行为做拦截。关键在于组合使用ntfs权限、组策略（gpo）和applocker，而不是依赖单一手段。
按用户组统一管控登录与系统操作权限
对核心用户组（如CoreUsers）实施登录级限制，是最基础也最有效的隔离起点。
- 域环境用GPMC：在“用户权限分配”中，将Core用户组添加到“拒绝通过网络访问这台计算机”“拒绝通过远程桌面服务登录”等策略项，从源头切断非必要入口
- 工作组环境用gpedit.msc：反向配置——只在“允许本地登录”“允许通过远程桌面服务登录”中明确加入该组，其他权限默认不继承
- 同步启用UAC提权控制：将“以管理员批准模式运行所有管理员”设为已启用，防止组内成员绕过提示静默提权
按文件与注册表资源细化NTFS访问控制
权限必须落到具体对象上，不能只靠策略“喊话”。推荐采用AGDLP原则（账户→全局组→域本地组→权限）设计结构。
- 不直接给用户授予权限，而是创建“Finance_Readers”“HR_Editors”等职能组，再将用户加入对应组
- 对共享文件夹右键→属性→安全→编辑，仅赋予职能组所需级别（如“修改”或“读取和执行”），勾选“替换子容器和对象的所有权限项”确保下级目录一致
- 敏感系统路径（如C:\Program Files、HKLM\SOFTWARE）可额外设置“拒绝写入”ACE，防止普通用户意外覆盖
按应用行为启用程序级白名单控制
AppLocker比传统软件限制更精准，支持按发布者签名、文件哈希或路径匹配，适合阻止未授权工具运行。
- 首次启用需在“应用程序控制策略→AppLocker”中点击右侧“配置规则”，选择“基于路径的规则”或“基于发布者的规则”
- 建议先开启“审核模式”：规则不实际拦截，仅记录日志，观察一周确认无误后再切换为“强制模式”
- 重点限制脚本类（PowerShell、.vbs）、安装包（.msi、.exe）和下载目录（如%USERPROFILE%\Downloads\*），避免恶意载荷落地执行
按系统功能开启隐私与容器化隔离
Windows 11自带的应用权限框架和AppContainer机制，是面向终端用户的轻量级隔离补充。
- 在“设置→隐私和安全性→应用权限”中，关闭所有全局开关（如摄像头、位置），再手动勾选可信应用（如系统相机、企业微信）
- 在“Windows 安全中心→应用与浏览器控制→应用执行控制”中启用“受控文件夹访问”，保护桌面、文档、图片等用户目录不被未知进程篡改
- 对MSIX打包应用（如Microsoft Store安装的软件），系统会自动启用AppContainer沙箱，无需额外配置即具备进程隔离与资源受限能力
