企業、學校、家長可透過群組原則啟用「禁止使用者安裝」原則，封鎖 Windows Installer (MSI) 執行，防止未授權軟體安裝、惡意程式植入、員工/兒童亂裝遊戲。

設定步驟

1. Win + R → gpedit.msc 開啟「本機群組原則編輯器」。
2. 依序展開：
   電腦設定 → 系統管理範本 → Windows 元件 → Windows Installer
3. 右側雙擊「禁止使用者安裝」。
4. 選擇「已啟用」→ 「確定」。

效果與限制

• 生效後，一般使用者執行 .msi 安裝檔會提示「系統管理員已禁止安裝」。
• 系統管理員帳戶不受限制 (可覆蓋)。
• 僅阻擋 Windows Installer (MSI) 格式，EXE 類安裝程式、可攜式軟體、Microsoft Store UWP 應用不在此限。

補充防護

• 同目錄下「僅允許簽署的驅動程式」、「數位簽章強制」等原則可進一步限制驅動安裝。
• 配合 AppLocker (企業版/教育版) 制定規則封鎖特定發布者、路徑、雜湊值的執行檔。
• 家庭版無 gpedit.msc，可修改登錄：
  HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer\DisableMSI = 1 (DWORD)