必须通过组策略在“计算机配置→安全设置→文件系统”中为C:\添加NTFS拒绝权限，对Users组拒绝写入、修改、删除等操作，同时允许读取和执行，并勾选“替换所有子对象权限”以确保生效。

限制系统盘（c盘）读写权限，不能靠隐藏图标或禁用驱动器这类界面层设置，必须通过组策略推送底层ntfs权限。windows不允许完全锁死c盘——否则系统无法启动、更新、写日志。真正有效的方式，是在“计算机配置→安全设置→文件系统”中为c:\添加明确的拒绝规则，只拦非必要操作，保留系统必需的读取与执行能力。

用文件系统策略配置NTFS拒绝权限

这是唯一能实际生效的方法，作用于磁盘本身，不是用户界面：

• 运行gpedit.msc，定位到：计算机配置 → Windows 设置 → 安全设置 → 文件系统
• 右键空白处 → “添加文件” → 手动输入C:\（不能点选，必须输完整路径）
• 双击刚添加的C:\条目 → 点击“编辑安全” → 找到Users或对应域用户组（如DOMAIN\StandardUsers）
• 在“拒绝”列勾选：写入、修改、删除子文件夹和文件、删除、更改权限、取得所有权
• 务必勾选窗口下方的“替换所有子对象的权限项”，否则仅影响根目录，子目录仍可能继承宽松权限
• 保持“读取”“读取和执行”“列出文件夹内容”为允许状态，不可拒绝

确保权限能真正落地

策略推送后常因系统机制失效，需同步检查几项关键点：

• 在C:\属性 → “安全” → “高级”中，确认“启用继承”已勾选；若被手动关闭，组策略无法向下传递
• 检查C:\现有ACL中是否已有Users组拥有“修改”或“完全控制”权限；如有，需先手动降级或移除，再通过组策略统一拒绝
• 留意Windows强制完整性控制（MIC）和TrustedInstaller保护——系统更新后可能重置部分权限，建议更新后复查
• 若部署了终端防护软件（如CyberArk、BeyondTrust），它们可能拦截或覆盖ACL修改，需在对应平台配置放行或同步策略

别踩这些常见误区

以下策略看似相关，但对C盘写入控制无效或极易绕过：

• “防止从我的电脑访问驱动器”（用户配置 → 管理模板 → Windows组件 → 资源管理器）：只隐藏图标+拦截双击，命令行（notepad C:\test.txt）、PowerShell、映射网络路径均可绕过
• 禁用USB或CD/DVD写入策略：只针对可移动介质，对本地C盘无任何影响
• 关闭UAC管理员批准模式：不改变文件权限，仅影响提权弹窗，慎用且不解决根本问题
• 用户配置下的任何策略：NTFS权限是计算机级属性，必须在“计算机配置”路径下设置才有效

验证是否生效

用标准用户账号登录后测试：

• 执行echo test > C:\test.tmp，应提示“拒绝访问”
• 尝试新建文件夹、复制文件到C:\根目录，均应失败
• 同时确认C:\Windows\System32、C:\Program Files等关键路径仍可正常读取和执行（如能打开记事本、运行系统工具）
• 若测试失败，优先检查权限继承状态、是否有更高优先级GPO覆盖、或终端防护软件干预