如何禁止域用户安装程序？

Question

我的客户端（XP）可以作为域用户帐户在他的系统中安装 Chrome。我怎样才能阻止他/他们通过 Windows Server 2003 安装 Chrome。

Answer 1

如果用户这样做不是拥有本地管理员访问权限，您可以简单地通过组策略禁用每个用户的安装。

DisableUserInstalls是阻止按用户安装的机器策略。还有一个选项用于“隐藏”现有的按用户安装的应用程序，以支持按计算机安装的版本。

配置方法：

1. 打开gpmc.msc，选择要添加策略的 GPO。
2. 导航计算机配置、策略、管理模板、Windows 组件、Windows 安装程序。
3. 将策略“禁止用户安装”设置为“启用”。
4. [可选] 将策略“用户安装行为”设置为“隐藏用户安装”。

Answer 2

1. 打开组策略管理控制台 (GPMC)。
2. 右键单击您的域并选择在此域中创建 GPO，并将其链接到此处选项。
3. 将组策略对象 (GPO) 命名为“阻止 Google Chrome”，然后单击“确定”。
4. 右键单击刚刚创建的策略，然后单击编辑。
5. 导航到用户配置\策略\Windows 设置\安全设置\软件限制策略文件夹。
6. 右键单击软件限制策略并选择新建软件限制策略。
7. 右键单击“附加规则”，然后选择“新建路径规则”。
8. 在路径字段中，输入 chromesetup.exe。
9. 在安全级别下拉框中，选择不允许，然后单击确定。
10. 对 chrome.exe 和 gears-chrome-opt.msi 文件重复步骤 7 到 9。
11. 对于 Vista 计算机，针对路径 C:\Users\%username%\AppData\Local\Google\Chrome\Application\chrome.exe 重复步骤 7 到 9；对于 XP 计算机，针对路径 C:\Documents and Settings\%username%\Local Settings\Application Data\Google\Chrome\Application\chrome.exe 重复步骤 7 到 9。如果某些用户已经安装了该浏览器，则应包括此规则。在实施 GPO 并在这些用户的本地计算机上刷新组策略设置后，他们将无法再成功运行 Google Chrome。

12. 打开命令提示符窗口并运行命令以应用新规则。

    gpupdate /force

13. 运行命令

    结果/R

14. 验证新创建的 GPO 是否已成功应用。作为最后的测试，尝试从 Google Chrome 网站运行安装程序。