GPO管理终端数字权限保护的核心是基于最小权限原则统一管控账户、服务、网络和程序四类权限。具体包括：锁定本地Administrator远程权限；限制普通用户系统级访问；启用LAPS自动轮换密码；通过AppLocker白名单控制程序执行；配置防火墙默认阻止出站并按程序路径精准放行。
通过 gpo 管理终端的数字权限保护，核心是把分散的本地权限控制收归域策略统一实施，重点覆盖账户权限、服务访问、网络交互和程序执行四个层面。它不是简单“禁用”或“开启”，而是基于最小权限原则，按角色、场景和风险等级精准赋权。
锁定高危本地账户权限
本地 Administrator 账户是横向移动的首选跳板，必须限制其远程活动能力：
- 新建专用 GPO（如 GPO_Terminal_LocalAdmin_Restrict），链接到工作站 OU
- 路径：计算机配置 → 策略 → Windows 设置 → 安全设置 → 本地策略 → 用户权限分配
- 为本地 Administrator 账户逐项添加拒绝策略：
– 拒绝通过网络访问该计算机
– 拒绝以批处理作业身份登录
– 拒绝以服务身份登录
– 拒绝通过远程桌面服务登录 - 注意：不删除该账户，也不重命名；仅剥夺其远程调用能力，保留本地应急使用
收紧用户对系统资源的访问边界
普通域用户不应拥有超出工作所需的系统级权限：
- 在终端专用 GPO 中配置“用户权限分配”，明确禁止非必要权限：
– 禁止“从网络访问此计算机”给 Users 组（仅保留 Domain Admins、Backup Operators）
– 禁止“加载和卸载设备驱动程序”给普通用户
– 禁止“调试程序”权限（防止内存注入与提权） - 启用 LAPS（本地管理员密码解决方案）GPO，让每台终端的本地管理员密码自动轮换并安全存储于 AD 属性中，切断凭据复用链
- 避免使用“Power Users”组——该组在现代 Windows 中已弃用，且权限边界模糊
控制程序运行与代码执行权限
权限保护不能只管“谁登录”，更要管“能跑什么”：
- 启用 AppLocker（非软件限制策略 SRP），在终端 GPO 中配置白名单规则：
– 仅允许签名的系统目录程序（如 %windir%\system32\**、%programfiles%\Microsoft\**）
– 允许企业自研应用的发布者证书或哈希值
– 明确阻止脚本（.ps1、.vbs、.js）、安装包（.msi、.exe 临时目录）等高风险执行体 - 配合 PowerShell 执行策略：设为 AllSigned 或 ConstrainedLanguage，并启用模块日志（事件 ID 4103/4104）
- 禁用 Office 宏自动执行、禁用 Internet Explorer 的 ActiveX 控件下载，从应用层堵住常见攻击入口
隔离网络通信中的权限上下文
出站连接本身即是一种权限行为，需结合防火墙策略约束执行主体：
- 在终端 GPO 中配置 Windows Defender 防火墙高级安全 → 出站规则：
– 默认行为设为“阻止连接”（三配置文件均启用）
– 白名单规则按程序路径（如 msedge.exe、chrome.exe）而非端口/IP 单独放行，避免绕过 - 对需要联网的业务软件，优先使用“程序+目标 IP+端口+协议”四元组规则，例如：
– 仅允许 ERP 客户端向 10.5.10.200:443 发起 HTTPS 连接
– 禁止 svchost.exe 向公网 DNS（8.8.8.8）发起 UDP 53 查询 - 禁用 ICMP 出站 Ping，除非运维管理主机明确列入白名单——多数勒索软件利用 ping 探测内网存活主机
