企业IT管理员需通过组策略在Windows 10专业版或企业版中实施软件安装管控：1. 启用“禁用Windows Installer”并设为“始终”；2. 用“不要运行指定的Windows应用程序”拦截高频安装器进程；3. 用软件限制策略基于路径（如Downloads、Temp）阻断EXE执行；4. 域环境中通过GPO统一推送并强制刷新。
企业IT管理员需在Windows 10专业版或企业版中，通过组策略对终端设备实施统一的软件安装管控，防止员工擅自安装未经审核的程序，避免安全漏洞与合规风险。
启用Windows Installer服务限制
该策略直接禁用系统级安装引擎，使所有基于MSI/MST包的安装程序（如Office、Adobe套件、多数商业软件）无法启动安装流程。
按下Win + R，输入gpedit.msc回车→依次展开：计算机配置 → 管理模板 → Windows组件 → Windows Installer→双击“禁用Windows Installer”→选择“已启用”，下方选项勾选“始终”→点击确定。
【必须使用“始终”而非“仅限于非管理员”】否则普通用户仍可通过提权绕过，失去管控效力。
拦截高频安装器进程名称
适用于封堵独立EXE安装包（如ChromeSetup.exe、WeChatSetup.exe、ZoomInstaller.exe），不依赖文件签名或路径，响应快、覆盖广。
方法一：导航至计算机配置 → 管理模板 → 系统 → “不要运行指定的Windows应用程序”→启用→点击“显示…”→逐行输入：setup.exe、install.exe、installer.exe、chromeinstaller.exe、wechatsetup.exe→每输一行按回车确认→全部填完后点确定。
方法二：若需批量导入，可将上述文件名保存为纯文本（每行一个），复制全部内容→在“显示内容”窗口中右键粘贴→系统自动分行识别。
部署路径级软件限制策略
此方式基于执行路径实时拦截，特别适合阻断从下载目录、临时文件夹等高风险位置发起的安装行为，支持通配符，无需预知具体文件名。
第一步：按Win + R，输入secpol.msc回车，打开本地安全策略；
第二步：左侧展开“安全设置 → 软件限制策略”→若右侧显示“无软件限制策略”，则右键“软件限制策略”→选择“创建软件限制策略”；
第三步：右键“其他规则”→“新建路径规则…”→在“路径”栏输入：C:\Users\*\Downloads\*.exe→安全级别选“不允许”→确定；
第四步：重复第三步，添加：%USERPROFILE%\AppData\Local\Temp\*.exe和C:\Temp\*.exe；
注意：路径中*为通配符，匹配任意用户名，无需为每个用户单独配置。
域环境中统一推送GPO策略
面向Active Directory域控环境，确保全量终端策略一致生效，避免本地策略被手动修改。
在域控制器上打开组策略管理控制台（GPMC）→右键“组策略对象”→“新建”，命名为“企业软件安装管控”→右键该GPO→“编辑”→按前述三类策略路径，逐一导入对应配置→关闭编辑器→右键该GPO→“链接到”→选择目标OU（如“研发部计算机”、“销售部计算机”）→立即生效。
策略推送后，客户端运行gpupdate /force即可强制刷新，无需重启。
