啟用「僅允許執行指定應用程式」後，如何保留 gpedit.msc 自救能力

啟用「僅允許執行指定的 Windows 應用程式」策略並加入白名單後，gpedit.msc 本身若不在白名單中，將導致無法再開啟群組原則修改設定（自我鎖死）。本文提供三種解鎖/預防方案。

問題重現

1. gpedit.msc → 使用者設定 → 系統 → 「只執行允許的 Windows 應用程式」→ 啟用 → 顯示 → 加入 notepad.exe 等
2. 此時嘗試執行 gpedit.msc → 被阻擋
3. 若已關閉 gpedit.msc 視窗，無法透過介面復原

方案一：修改白名單前先保持 gpedit.msc 開啟（預防法）

1. 開啟 gpedit.msc 並設定白名單
2. 不要關閉 gpedit.msc 視窗
3. 在「執行」中測試 gpedit.msc 確已被阻擋
4. 回到原視窗，將策略改為「未設定」→ 確定
5. 即可恢復正常

方案二：安全模式 + MMC 主控台載入群組原則嵌入式管理單元（救援法）

1. 重開機 → F8 → 選「安全模式（命令提示字元）」
2. 輸入 mmc.exe
3. 檔案 → 新增/移除嵌入式管理單元 → 新增 → 「群組原則物件編輯器」→ 完成 → 確定
4. 在主控台中修改策略為「未設定」
5. 重開機進入正常模式

方案三：登錄表直接修改（終極救援）

安全模式或 PE 環境下載入離線登錄：

1. 開啟 regedit → 檔案 → 載入配置單元 → 選擇 C:\Windows\System32\config\SOFTWARE → 命名為 XP_SOFTWARE
2. 定位至：HKEY_LOCAL_MACHINE\XP_SOFTWARE\Policies\Microsoft\Windows\System
3. 刪除 RunOnlyAllowedApps 值，或將其設為 0
4. 檔案 → 卸載配置單元

或直接刪除對應的註冊表機碼：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\RunOnlyAllowedApps

最佳實務建議

• 白名單務必包含：gpedit.msc、mmc.exe、regedit.exe、cmd.exe、taskmgr.exe、explorer.exe
• 使用「軟體限制原則」（SRP）替代，支援路徑/雜湊/憑證/網路區域規則，更彈性
• 部署前在測試機完整驗證白名單完整性
• 文件化白名單清單，納入變更管理流程

相關指令速查

指令	用途
gpupdate /force	強制重新套用群組原則
gpresult /scope user /v	查看套用結果詳細報告
rsop.msc	群組原則結果集圖形化檢視