วิธีบล็อกผู้ใช้ไม่ให้ติดตั้งหรือรันโปรแกรมใน Windows 11/10

คุณสามารถจำกัดผู้ใช้ไม่ให้ติดตั้งหรือรันโปรแกรมใน Windows 11/10/8/7 รวมถึง Windows Vista/XP/2000 และ Windows Server family ได้ โดยใช้การตั้งค่า Group Policy บางอย่างเพื่อควบคุมพฤติกรรมของ Windows Installer ป้องกันไม่ให้โปรแกรมบางโปรแกรมรัน หรือจำกัดผ่าน Registry Editor

คุณอาจเห็นข้อความข้อผิดพลาด:

การติดตั้งถูกห้ามโดยนโยบายระบบ ติดต่อผู้ดูแลระบบของคุณ

Windows Installer msiexec.exe ที่รู้จักก่อนหน้านี้ว่า Microsoft Installer เป็นเครื่องมือสำหรับการติดตั้ง บำรุงรักษา และการลบซอฟต์แวร์บนระบบ Microsoft Windows สมัยใหม่

ในบทความนี้ เราจะดูวิธี บล็อกการติดตั้งซอฟต์แวร์ ใน Windows 10/8/7

ปิดใช้งานหรือจำกัดการใช้ Windows Installer

พิมพ์ gpedit.msc ในช่องค้นหา Start และกด Enter เพื่อเปิด Group Policy Editor ไปที่ Computer Configurations > Administrative Templates > Windows Components > Windows Installer ในแถบขวา ดับเบิลคลิกที่ Disable Windows Installer กำหนดค่าตามต้องการ

การตั้งค่านี้สามารถป้องกันไม่ให้ผู้ใช้ติดตั้งซอฟต์แวร์บนระบบของพวกเขา หรืออนุญาตให้ติดตั้งเฉพาะโปรแกรมที่ผู้ดูแลระบบเสนอ ถ้าคุณเปิดใช้งานการตั้งค่านี้ คุณสามารถใช้ตัวเลือกในกล่อง Disable Windows Installer เพื่อกำหนดการตั้งค่าการติดตั้ง

ตัวเลือก "Never" หมายถึง Windows Installer เปิดใช้งานเต็มที่ ผู้ใช้สามารถติดตั้งและอัปเกรดซอฟต์แวร์ได้ นี่คือพฤติกรรมเริ่มต้นของ Windows Installer บน Windows 2000 Professional, Windows XP Professional และ Windows Vista เมื่อไม่ได้กำหนดนโยบาย

ตัวเลือก "For non-managed apps only" อนุญาตให้ผู้ใช้ติดตั้งเฉพาะโปรแกรมที่ผู้ดูแลระบบมอบหมาย (เสนอบนเดสก์ท็อป) หรือเผยแพร่ (เพิ่มใน Add or Remove Programs) นี่คือพฤติกรรมเริ่มต้นของ Windows Installer บน Windows Server family เมื่อไม่ได้กำหนดนโยบาย

ตัวเลือก "Always" หมายถึง Windows Installer ถูกปิดใช้งาน

การตั้งค่านี้ส่งผลต่อ Windows Installer เท่านั้น ไม่ได้ป้องกันไม่ให้ผู้ใช้ใช้วิธีอื่นในการติดตั้งและอัปเกรดโปรแกรม

ติดตั้งเสมอด้วยสิทธิ์ขlevated

ใน Group Policy Editor ไปที่ User Configuration > Administrative Templates > Windows Components เลื่อนลงและคลิก Windows Installer และกำหนดค่าเป็น Always install with elevated privileges

การตั้งค่านี้สั่งให้ Windows Installer ใช้สิทธิ์ระบบเมื่อติดตั้งโปรแกรมใดๆ บนระบบ

การตั้งค่านี้ขยายสิทธิ์ขlevated ให้กับทุกโปรแกรม สิทธิ์เหล่านี้ปกติสงวนไว้สำหรับโปรแกรมที่มอบหมายให้ผู้ใช้ (เสนอบนเดสก์ท็อป) มอบหมายให้คอมพิวเตอร์ (ติดตั้งอัตโนมัติ) หรือทำให้พร้อมใช้งานใน Add or Remove Programs ใน Control Panel การตั้งค่านี้ช่วยให้ผู้ใช้ติดตั้งโปรแกรมที่ต้องการเข้าถึงไดเรกทอรีที่ผู้ใช้อาจไม่มีสิทธิ์ดูหรือเปลี่ยนแปลง รวมถึงไดเรกทอรีบนคอมพิวเตอร์ที่มีการจำกัดมาก

หากคุณปิดใช้งานการตั้งค่านี้หรือไม่กำหนดค่า ระบบจะใช้สิทธิ์ของผู้ใช้ปัจจุบันเมื่อติดตั้งโปรแกรมที่ผู้ดูแลระบบไม่ได้แจกจ่ายหรือเสนอ

การตั้งค่านี้ปรากฏทั้งในโฟลเดอร์ Computer Configuration และ User Configuration เพื่อให้การตั้งค่านี้มีผล คุณต้องเปิดใช้งานในทั้งสองโฟลเดอร์

ผู้ใช้ที่มีทักษะอาจใช้ประโยชน์จากสิทธิ์ที่การตั้งค่านี้ให้มาเพื่อเปลี่ยนสิทธิ์ของตนและเข้าถึงไฟล์และโฟลเดอร์ที่ถูกจำกัดอย่างถาวร โปรดทราบว่าเวอร์ชัน User Configuration ของการตั้งค่านี้ไม่รับประกันความปลอดภัย

เคล็ดลับ: ใช้ AppLocker ใน Windows เพื่อป้องกันไม่ให้ผู้ใช้ติดตั้งหรือรันแอปพลิเคชัน

ห้ามรันแอปพลิเคชัน Windows ที่ระบุ

ใน Group Policy Editor ไปที่ User Configuration > Administrative Templates > System

ที่นี่ในแถบขวา ดับเบิลคลิก Don't run specified Windows applications และในหน้าต่างใหม่ที่เปิด เลือก Enabled ตอนนี้ Under Options คลิก Show ในหน้าต่างใหม่ที่เปิด ใส่เส้นทางของแอปพลิเคชันที่ต้องการห้าม ในกรณีนี้: msiexec.exe

จะห้าม Windows Installer ซึ่งอยู่ในโฟลเดอร์ C:\Windows\System32\ ไม่ให้รัน

การตั้งค่านี้ป้องกันไม่ให้ Windows รันโปรแกรมที่คุณระบุในการตั้งค่านี้ หากคุณเปิดใช้งานการตั้งค่านี้ ผู้ใช้จะไม่สามารถรันโปรแกรมที่คุณเพิ่มในรายการแอปพลิเคชันที่ห้าม

การตั้งค่านี้เพียงป้องกันไม่ให้ผู้ใช้รันโปรแกรมที่เริ่มต้นโดยกระบวนการ Windows Explorer เท่านั้น ไม่ป้องกันไม่ให้รันโปรแกรมที่เริ่มต้นโดยกระบวนการระบบหรือกระบวนการอื่น เช่น Task Manager นอกจากนี้ หากคุณอนุญาตให้ผู้ใช้เข้าถึงคำสั่งพรอมต์ cmd.exe การตั้งค่านี้ไม่ป้องกันไม่ให้เริ่มโปรแกรมในหน้าต่างคำสั่งที่พวกเขาไม่ได้รับอนุญาตให้เริ่มโดยใช้ Windows Explorer หมายเหตุ: เพื่อสร้างรายการแอปพลิเคชันที่ห้าม ให้คลิก Show ในกล่องโต้ตอบ Show Contents ในคอลัมน์ Value ให้พิมพ์ชื่อไฟล์นำออกใช้ของแอปพลิเคชัน (เช่น msiexec.exe)

จำกัดโปรแกรมไม่ให้ติดตั้งผ่าน Registry Editor

เปิด Registry Editor และไปที่คีย์ต่อไปนี้:

HKEY_CURRENT_USER\Software\Microsoft\Windows\Current Version\Policies\Explorer\DisallowRun

สร้างค่า String ด้วยชื่อใดๆ เช่น 1 และตั้งค่าให้เป็นไฟล์ EXE ของโปรแกรม

เช่น หากต้องการจำกัด msiexec ให้สร้างค่า String 1 และตั้งค่าเป็น msiexec.exe หากต้องการจำกัดโปรแกรมเพิ่มเติม ให้สร้างค่า String เพิ่มเติมด้วยชื่อ 2, 3, เป็นต้น และตั้งค่าเป็นไฟล์ exe ของโปรแกรม

คุณอาจต้องรีสตาร์ทคอมพิวเตอร์

อ่านเพิ่มเติม:

1. วิธีบล็อกไฟล์ EXE ไม่ให้รันด้วย Group Policy
2. ป้องกันไม่ให้ผู้ใช้รันโปรแกรมใน Windows
3. รันเฉพาะแอปพลิเคชัน Windows ที่ระบุ
4. Windows Program Blocker เป็นซอฟต์แวร์บล็อกแอป/แอปพลิเคชันฟรีเพื่อบล็อกซอฟต์แวร์ไม่ให้รัน
5. วิธีบล็อกการติดตั้งแอปบุคคลที่สามใน Windows