前言

在非網域 (工作群組) 環境下，Windows Server 2003 的本地群組原則 (LGPO) 預設會套用至所有使用者包含 Administrator。若需對一般使用者施加限制 (如隱藏桌面圖示、禁止存取登錄編輯器、移除執行命令)，同時保留管理員完整權限，需採用 「備份 Registry.pol → 修改原則排除管理員 → 還原 Registry.pol」 的進階技巧。本文詳細記錄 Microsoft 官方 KB 文件的完整操作流程。

核心原理

• 本地群組原則儲存於 %SystemRoot%\System32\GroupPolicy\User\Registry.pol。
• 使用者登入時，系統依據此檔案將註冊表設定應用至 HKCU。
• 若我們先為「所有使用者 (含管理員)」配置限制性原則 → 匯出 Registry.pol 備份 → 再修改原則為「無限制」狀態 (管理員適用) → 產生新 Registry.pol → 最後將備份的「限制版 Registry.pol」覆蓋回去 → 管理員登入讀取新版 (無限制)，一般用戶登入讀取舊版 (受限)。

完整操作步驟

階段 1：建立限制性原則 (套用至所有用戶，含管理員)

1. 以 Administrator 登入。
2. 執行 gpedit.msc (或 mmc 加入「群組原則物件編輯器」→「本機電腦」)。
3. 展開 「使用者設定」 → 「系統管理範本」。
4. 啟用所需限制性原則，例如：
   • 隱藏桌面上的「網上鄰居」圖示 (桌面 → 隱藏網上鄰居圖示 = 已啟用)
   • 隱藏桌面上的 Internet Explorer 圖示 (桌面 → 隱藏 IE 圖示 = 已啟用)
   • 移除「執行」命令 (開始功能表/工作列 → 移除「執行」= 已啟用)
   • 禁止存取登錄編輯工具 (系統 → 禁止存取登錄編輯工具 = 已啟用) ⚠ 極度謹慎，會連管理員一起禁用！
5. 重要： 詳細記錄每一項啟用/停用的原則名稱與路徑，後續驗證與還原需用。
6. 關閉 GPO 編輯器 (或儲存 MMC 主控台檔 .msc 以便後續開啟)。
7. 登出，再以 Administrator 登入驗證：此時限制已生效 (桌面圖示消失、無法執行 regedit 等)。

階段 2：備份限制版 Registry.pol

1. 以 Administrator 登入。
2. 開啟資料夾選項：「控制台」→「資料夾選項」→「檢視」→ 勾選 「顯示隱藏檔案和資料夾」 → 取消勾選「隱藏受保護的作業系統檔案」 → 「確定」。
3. 瀏覽至：%SystemRoot%\System32\GroupPolicy\User\ (即 C:\WINDOWS\System32\GroupPolicy\User\)。
4. 複製 Registry.pol 至備份位置 (如 D:\Backup\Registry_pol_Restricted.pol、USB 隨身碟、其他分區)。

階段 3：建立無限制原則 (管理員適用版本)

1. 重新開啟 GPO 編輯器 (gpedit.msc 或 MMC)。
2. 將階段 1 中啟用的所有限制性原則，逐一改為「未設定」 (Not Configured)。
   ⚠ 切勿選「已停用」！ 「已停用」會強制寫入相反值，「未設定」才是不寫入任何值，保持系統預設行為。
3. 關閉編輯器。此時系統自動產生新的 Registry.pol (無限制版)。

階段 4：還原限制版 Registry.pol 覆蓋新版

1. 將階段 2 備份的 Registry_pol_Restricted.pol 複製回 %SystemRoot%\System32\GroupPolicy\User\，覆蓋 新產生的檔案。
2. 系統提示「取代現有檔案」→ 「是」。

階段 5：驗證雙軌制成果

1. 登出，以 Administrator 登入 → 驗證無限制 (桌面圖示正常、可執行 regedit、有「執行」命令)。
2. 登出，以 一般使用者 (或建立新測試帳號) 登入 → 驗證受限 (桌面圖示隱藏、無「執行」、regedit 被阻擋)。
3. 再次以 Administrator 登入確認不受影響。

還原原始狀態 (移除所有本地原則限制)

1. 以 Administrator 登入。
2. 開啟資料夾選項顯示隱藏檔案 (同階段 2)。
3. 刪除/重命名/移動 %SystemRoot%\System32\GroupPolicy\User\Registry.pol。
4. 登出或重新開機。Windows 檔案保護 (WFP) 將自動重建預設空白 Registry.pol。
5. 開啟 gpedit.msc，將所有「已啟用」/「已停用」項目改為「未設定」，徹底清除原則痕跡。

關鍵注意事項與風險提示

• 僅適用工作群組環境。網域環境請使用網域 GPO + 安全性篩選 (群組) 實現差異化套用，本機 LGPO 會被網域 GPO 覆寫。
• 極度小心「禁止存取登錄編輯工具」。若誤將此原則套用至管理員且無 Registry.pol 切換機制，將無法透過 GUI 修復，需離線掛載登錄或重灌。
• Registry.pol 覆蓋時機：使用者登入時讀取。故階段 5 驗證必須「完全登出再登入」，切換使用者 (快速使用者切換) 可能讀取舊快取。
• 記錄一切變更：建立試算表記錄原則路徑、設定值、對應 Registry.pol 版本，便於稽核與移交。
• 替代方案：Windows Server 2008+ 引入 多重本地群組原則 (MLGPO)，原生支援「管理員/非管理員/特定使用者」三層級差異化原則，無需 Registry.pol 手術操作。強烈建議升級平台。

結語

在 Windows Server 2003 工作群組環境中，透過 Registry.pol 雙版本切換大法，可實現「一般用戶受限、管理員自由」的差異化管控。雖操作精細且有風險，但對無法升級網域環境的舊系統維護極具價值。務必遵循 備份 → 驗證 → 記錄 → 可逆 原則，並在文件中留存完整操作日誌供後續維運參考。