用组策略（GPO）控制Windows功能开关和软件安装的核心是管执行、控路径、限权限，需通过禁用Windows Installer服务、拦截常见安装器进程、配置AppLocker白名单或软件限制策略实现批量管控，而非依赖用户自觉或弹窗提醒。
用组策略（gpo）控制 windows 功能开关和软件安装，核心是“管执行、控路径、限权限”，不是靠弹窗提醒或用户自觉。它在域环境中能批量生效，在本地也能通过 gpedit.msc 实现基础管控。
关闭或启用系统内置功能
很多 Windows 功能（如 SMB 1.0、Telnet 客户端、Windows 功能子集）可通过 GPO 启用或禁用，不依赖手动 PowerShell 或 DISM 命令：
- 路径：计算机配置 → 管理模板 → Windows 组件 → Windows 功能
- 例如禁用 SMB 1.0：启用「SMB 1.0/CIFS 文件共享支持」策略并设为「已禁用」
- 启用 .NET Framework 3.5：使用「启用或禁用 Windows 功能」策略，勾选对应项（需指定源路径，如指向 Windows 安装镜像的 sourcessxs 文件夹）
- 注意：部分功能（如 Hyper-V、WSL）需硬件支持且仅限专业版/企业版，GPO 只能触发启用动作，无法绕过系统限制
阻止未授权软件安装
重点不在“识别某个软件”，而在切断通用安装路径：
- 禁用 Windows Installer 服务：计算机配置 → 首选项 → 控制面板设置 → 服务 → Windows Installer → 设为「已禁用」
- 拦截常见安装器进程：计算机配置 → 管理模板 → 系统 → 「不要运行指定的 Windows 应用程序」→ 添加 setup.exe、install.exe、*.msi 等名称
- 路径级拦截（推荐）：通过「软件限制策略」或更优的 AppLocker → 新建「可执行规则」→ 拒绝所有用户运行 C:Users*Downloads*.exe、%TEMP%*.exe
- AppLocker 白名单更稳妥：先设默认规则「拒绝所有」，再为 %SystemRoot%、%ProgramFiles% 等可信路径添加「允许」规则
静默部署合规软件
GPO 软件分发只支持 MSI 包，且必须满足几个硬性条件：
- 源文件放在域内可访问的 UNC 路径（如 \serverppschrome.msi），共享与 NTFS 权限均需授予 DOMAINComputers 读取权
- 分配给计算机：开机自动静默安装；分配给用户：登录后首次运行时触发（或勾选「登录时安装」）
- 更新软件需新版 MSI 具备相同 UpgradeCode、更高 ProductVersion，并在 GPO 中重新创建「已分配」项，勾选「重新安装此应用程序，如果它比此包更新」
- 失败排查优先看事件查看器 → 应用程序日志中「MsiInstaller」和「GroupPolicy」事件 ID
浏览器与启动项统一配置
这类设置不涉及安装，但属于典型 GPO 管控场景，影响终端行为一致性：
- Chrome 插件：计算机配置 → 管理模板 → Google → Chrome → 扩展程序 → 「强制安装扩展程序」→ 填入真实 Extension ID 和官方或内部更新 URL
- Edge 主页：计算机配置 → 管理模板 → Microsoft → Edge → 启动、主页和新标签页 → 配置「主页按钮」和「启动页」为目标 URL
- 锁定开始菜单：用户配置 → 管理模板 → 开始菜单和任务栏 → 「阻止用户自定义其“开始”」+「阻止更改“任务栏和‘开始’菜单”设置」
- 禁用 Cortana 或搜索框：用户配置 → 管理模板 → Windows 组件 → 搜索 → 「允许使用 Cortana」设为「已禁用」
