核心是图形界面、命令工具、对象权限三者协同：一、禁用services.msc和控制面板等GUI入口；二、用AppLocker或可执行限制封禁sc.exe、powershell.exe等绕过工具；三、在计算机配置中修改关键服务安全描述符，移除Users组读取与查询权限，仅保留Administrators等必要组权限。
用组策略（gpo）管理 windows 用户权限，核心是分层控制：既要限制非必要操作入口，也要收紧底层访问能力，还得兼顾兼容性与可维护性。单纯启用某一项策略往往留有绕过路径，真正有效的做法是图形界面、命令工具、对象权限三者协同。
禁用常用管理入口，阻断标准用户第一触点
多数用户依赖图形界面操作，优先封堵最常被调用的路径：
- 在用户配置 → 管理模板 → 系统 → 管理工具中启用“禁止使用服务”，让 services.msc 完全不可用，包括 Win+R 输入、双击 .msc 文件、从计算机管理中打开等全部方式
- 同样在用户配置下，启用“禁止访问控制面板”，或更精细地启用“禁止访问指定的控制面板项”，填入 inetcpl.cpl、sysdm.cpl 等具体 .cpl 文件名
- Windows 10/11 中，“设置”应用需单独管控：启用计算机配置 → 管理模板 → 控制面板 → 设置页面可见性，用 Hide:network-proxy;network-mobilehotspot 这类格式隐藏敏感页面
封禁命令行与脚本工具，防止技术型绕过
图形界面关闭后，用户仍可能通过 sc.exe、powershell.exe 或 cmd.exe 执行服务查询或控制：
- 在用户配置 → 管理模板 → 系统 → 可执行文件的限制中启用“不允许运行指定的Windows应用程序”，添加 sc.exe；如需严格控制，再加 powershell.exe（注意影响范围）
- 更推荐使用 AppLocker（适用于域环境）：计算机配置 → 应用程序控制策略 → AppLocker → 可执行规则，新建拒绝规则，路径设为 %SystemRoot%\System32\sc.exe，作用对象为 Domain Users
- 避免直接封禁 cmd.exe，除非已评估对日常办公无影响；若必须限制，建议先做灰度测试
收紧服务对象本身的安全描述符
即使工具可用，也可让操作因权限不足而失败——这是最根本的防线：
- 进入计算机配置 → 策略 → Windows 设置 → 安全设置 → 系统服务，逐个添加关键服务（如 Spooler、Dhcp、W32Time）
- 双击服务 → 勾选“定义此策略设置” → 点击“编辑安全性” → 移除 Authenticated Users 和 Users 组的所有权限（特别是“读取”“查询状态”“启动”）
- 仅保留 Administrators、SYSTEM 及必要运维组的最小必要权限，例如只给“查询状态”而非“完全控制”
- 不建议全量修改所有系统服务，按实际安全等级逐个加固即可
验证与注意事项
策略配置完成只是第一步，必须验证是否真实生效：
- 客户端执行 gpupdate /force，然后以标准域用户身份全新登录（用户策略需新会话才加载）
- 实测：运行 services.msc、输入 sc query、执行 Get-Service 命令，确认全部返回“拒绝访问”或直接拦截
- 注意策略继承关系，确保 GPO 链接到普通用户 OU，且未被管理员组策略覆盖
- 增强权限控制可能影响部分软件或系统功能，上线前务必在测试环境中模拟典型用户行为
