防止用户更改注册表

Question

背景：我经营着一个由 10 台使用 Windows 7 x64 Enterprise 的计算机组成的小型计算机实验室。我们的用户设置为受限用户。为了增加限制，我使用 Microsoft 管理控制台为非管理员设置了本地组策略。

问题：最近，我发现其中一些限制已被删除。查看 MMC 和 ntuser.pol 中的设置表明这些设置应该仍然有效。但是，ntuser.dat 中缺少相关的注册表设置。我已经在 GPO 中禁用了注册表编辑（尽管不是在静默模式下）。

问题：处理这种情况的最佳方法是什么？我应该研究如何防止注册表设置更改吗？我应该设置注册表审核来找出这些键是如何被更改的吗？或者我应该放弃并编写某种登录脚本来强制执行注册表值（如果它们已被更改）？还有其他想法吗？

Answer 1

好的，问题是您使用 gpedit 进行了一些更改，但更改没有出现在注册表中，对吗？在使用策略编辑器进行更改后，您是否立即检查过它们是否出现在注册表中？

您可能需要审核注册表项以找出谁/什么在更改它们。这将使阻止它变得容易得多，因为正如您所考虑的那样，可能是其他东西（例如系统进程或其他东西）在进行更改，因此对用户组设置限制不起作用。

您可以使用组策略编辑器，但我发现权限对话框对话变得更加简单：