限制用户对C盘根目录写入权限的本质是精准配置NTFS ACL：在组策略“计算机配置→Windows设置→安全设置→文件系统”中添加C:\，对域用户组拒绝写入、修改、删除等操作，同时允许读取和执行，并启用继承。
限制用户对c盘根目录的写入权限，本质是调整ntfs访问控制列表（acl），不是隐藏图标或禁用资源管理器。关键在于：只拒绝写入类操作，保留读取和执行权限，确保系统正常运行。
在组策略中配置C:\的NTFS拒绝权限
必须使用“计算机配置”路径，因为NTFS权限由计算机加载，用户配置无法生效：
- 打开组策略管理编辑器（gpedit.msc 或 GPMC），定位到：计算机配置 → Windows 设置 → 安全设置 → 文件系统
- 右键空白处 → “添加文件” → 手动输入 C:\（不能点选盘符，必须输完整路径）
- 双击刚添加的C:\条目 → 点击“编辑安全” → 找到目标用户组（如 Users 或具体域/本地用户）
- 在“拒绝”列勾选：写入、修改、删除子文件夹和文件、删除、更改权限、取得所有权
- 务必勾选窗口下方的“替换所有子对象的权限项”，否则仅影响根目录，子目录不受控
确保读取与执行权限仍被允许
完全禁止C盘会导致系统无法启动、更新失败、日志写入中断。因此需明确保留基础访问能力：
- 对同一用户组，在“允许”列保持勾选：读取、读取和执行、列出文件夹内容
- 不要勾选“拒绝读取”——这会阻止复制、打开程序、加载DLL等必要行为
- 若用户需运行安装包或绿色软件，还需确认其所在目录有“读取和执行”权限
验证继承性与策略落地效果
策略推送后，权限是否真正生效取决于继承状态和系统保护机制：
- 在一台目标计算机上运行 gpupdate /force，重启或等待策略刷新
- 右键C:\ → “属性” → “安全” → “高级”，确认“启用继承”已勾选（否则子目录权限失效）
- 用受限账户测试：echo test > C:\test.tmp 应提示“拒绝访问”；notepad C:\windows\system.ini 应能打开（读取正常）
- 注意：部分终端防护软件（如BeyondTrust）可能拦截ACL变更，需同步检查其策略白名单
避开常见无效做法
以下设置看似相关，但无法真正阻止写入操作：
- “防止从我的电脑访问驱动器”（位于用户配置→管理模板→Windows资源管理器）：仅隐藏图标、拦截双击，命令行、PowerShell、映射路径仍可写入
- 禁用UAC批准模式：虽减少弹窗干扰，但会削弱安全边界，不推荐作为权限控制手段
- 隐藏C盘或设为系统隐藏属性：不影响任何底层文件操作，纯界面遮掩
