場景與風險

啟用「使用者配置 → 系統 → 只執行允許的 Windows 應用程式」並加入白名單後，gpedit.msc (組策略編輯器) 本身若不在白名單，管理員將被自己鎖在外面，無法撤銷策略。

「魚與熊掌兼得」三步驟安全鎖定法

1. 啟用策略並建立白名單 (含 gpedit.msc)：
   gpedit.msc → 使用者配置 → 管理範本 → 系統 → 「只執行允許的 Windows 應用程式」 → 「已啟用」 → 「顯示」→ 「新增」輸入：
   notepad.exe
calc.exe
cmd.exe (必要時)
   gpedit.msc ← 關鍵：必須加入自身
   mmc.exe (MMC 主控台宿主)
   → 確定。
2. 驗證並立即撤銷測試：
   不要關閉 gpedit.msc 視窗！
   另開「執行」(Win+R) 輸入 gpedit.msc 測試能否啟動。
   若成功 → 回到原視窗將策略改為「未設定」→ 確定。
   若失敗 → 見步驟 3 緊急修復。
3. 緊急修復 (已關閉 gpedit.msc 且被鎖死)：
   1. 重開機 → F8 → 「帶命令提示字元的安全模式」。
   2. 命令提示字元輸入 mmc.exe。
   3. 檔案 → 新增/移除嵌入式管理單元 → 新增 → 「群組原則物件編輯器」→ 新增 → 完成 → 關閉 → 確定。
   4. 在 MMC 主控台中展開「本機電腦原則」→ 依步驟 1 路徑找到策略 → 改為「未設定」。
   5. 重開機進入正常模式驗證。

現代 Windows (7/10/11/Server 2016+) 替代方案

• AppLocker (企業版/教育版/專業版) ：規則支援發布者簽章、路徑、檔案雜湊，可針對特定使用者/群組、具備稽核模式、支援 DLL/腳本/安裝程式/EXE 四類規則，遠優於軟體限制原則 (SRP)。
• Windows Defender Application Control (WDAC) ：核心層級程式碼完整性強制執行，企業級最高防護。
• Intune / MDM：雲端統管裝置應用程式控制原則。

⚠ 法律與合規提醒

在企業環境部署應用程式白名單屬資訊安全管控措施，須依資安政策、勞動法規、隱私法 (如 GDPR、個資法) 公開告知、取得同意、記錄審計日誌。濫用鎖定員工電腦可能構成勞資糾紛。