工作群組環境下，本機群組原則預設套用至所有使用者（含管理員）。透過「備份 Registry.pol → 修改原則 → 還原 Registry.pol」技巧，可實現「僅對非管理員生效、管理員豁免」的差異化管控。

實作步驟

1. 以管理員登入 → gpedit.msc 啟用所需限制原則（如隱藏網上鄰居、IE 圖示）。
2. 登出 → 以每位受限使用者登入一次（觸發原則下載）。
3. 管理員登入 → 啟用「顯示隱藏檔案」 → 複製 %SystemRoot%\System32\GroupPolicy\User\Registry.pol 備份。
4. 再次開啟 gpedit.msc → 將原則改為「未設定」或相反設定（解除管理員限制） → 關閉產生新 Registry.pol。
5. 用備份的 Registry.pol 覆寫新檔 → 登出。
6. 管理員登入驗證無限制 → 受限使用者登入驗證有限制。

還原原始原則

1. 管理員登入 → 刪除/重命名 %SystemRoot%\System32\GroupPolicy\User\Registry.pol。
2. 登出/重開機 → Windows 檔案保護自動重建預設 Registry.pol。
3. 開啟 gpedit.msc 將所有項目設為「未設定」。
4. 管理員/使用者重新登入驗證限制已移除。

關鍵細節

• 必須記錄每項變更，避免誤鎖管理員帳號。
• 若移除「執行」命令，建議先用 MMC 另存主控台檔案 (.msc) 以便日後開啟。
• 網域環境請改用網域群組原則 (GPO) 配合安全性群組篩選，勿使用本機原則技巧。

此技巧利用本機原則處理順序（電腦 → 使用者 → 登入時下載 Registry.pol）差異，實現細粒度權限控制。