核心思路是“不给权限 + 拦住安装行为”：一、剥离本地管理员权限，阻断高权限安装；二、禁用Windows Installer服务，拦截MSI安装包；三、启用软件限制策略并设哈希规则，默认禁止执行；四、禁用PowerShell脚本执行、限制cmd/powershell.exe及下载目录自动执行。

核心思路是“不给权限 + 拦住安装行为”，而不是等软件装完再禁止运行。在 windows server 域环境中，最有效、最稳妥的方式是结合权限控制与组策略双重设防。

一、先剥离本地管理员权限

这是最基础也最关键的一步。只要域用户不是目标计算机上的本地 Administrators 组成员，绝大多数安装程序（尤其是需要写入 Program Files、注册表 HKEY_LOCAL_MACHINE 或服务安装的）根本无法完成。

• 在域控制器上打开“Active Directory 用户和计算机”
• 找到对应客户端计算机所在的组织单位（OU）
• 确认该 OU 下没有将域用户或域安全组自动加入本地 Administrators 的策略（例如通过“组策略首选项 → 本地组”配置）
• 检查每台关键客户端：用域用户登录后，运行 lusrmgr.msc → “组” → 双击 “Administrators”，确认该用户或其所属域组不在列表中

二、禁用 Windows Installer 服务（针对 MSI 安装包）

很多正规软件（如 Office、Adobe 系列、企业级工具）使用 MSI 格式安装。禁用该服务可直接阻断这类安装流程。

Windows-Android_SSH_Remote_Control

通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。

下载

• 组策略路径：计算机配置 → 管理模板 → Windows 组件 → Windows Installer
• 启用策略：关闭 Windows Installer
• 注意：此设置对 EXE 自解压包、绿色版、便携版无效，但能覆盖大量标准商业软件

三、启用软件限制策略（推荐哈希规则）

比“禁止运行指定程序”更可靠——它不依赖文件名，而是基于文件内容生成唯一哈希值。改名、换路径都绕不过去。

• 组策略路径：计算机配置 → Windows 设置 → 安全设置 → 软件限制策略
• 若无策略项，右键“软件限制策略” → “创建软件限制策略”
• 默认安全级别设为：不允许（即所有未明确放行的程序一律禁止执行）
• 右键“其他规则” → “新建哈希规则” → 浏览选择已知安全的安装程序（如公司统一部署的安装器），设为“不受限制”
• 用户需注销并重新登录，策略才生效

四、补充：阻止常见绕过手段

有些用户会尝试用 PowerShell、CMD 或批处理静默安装，或运行自制安装脚本。可一并限制：

• 禁用 PowerShell 执行策略：计算机配置 → 管理模板 → Windows Components → Windows PowerShell → 启用“关闭 PowerShell 脚本执行”
• 限制命令行工具：在“软件限制策略”中新增路径规则，如 %SystemRoot%\System32\cmd.exe、%SystemRoot%\System32\powershell.exe，设为“不允许”（注意：需确保不影响管理员维护）
• 关闭下载目录自动执行权限：通过路径规则限制 %USERPROFILE%\Downloads\*.exe、%TEMP%\*.exe 等高危路径