Restringir el símbolo del sistema para usuarios de Windows
En un equipo Windows compartido puede ser necesario limitar los comandos de ciertos usuarios. Por ejemplo, un centro educativo puede limitar el acceso de los estudiantes y permitir los scripts por lotes necesarios para el funcionamiento habitual. Impedir el acceso al símbolo del sistema controla el acceso interactivo a Cmd.exe y permite elegir por separado si se bloquean los archivos por lotes.
Problemas que puede resolver esta directiva
La directiva ayuda a evitar que usuarios, como estudiantes de un equipo administrado, ejecuten comandos no deseados en el símbolo del sistema interactivo. No garantiza el bloqueo de toda actividad dañina ni de otros intérpretes. Al activarla, aparece un mensaje de deshabilitación por el administrador al abrir el símbolo: es un resultado de la configuración, no un error anterior.
Pasos
- Abre el editor de directivas de grupo para los usuarios previstos y ve a
Configuración de usuario › Plantillas administrativas › Sistema. En un dominio, vincula el GPO a la unidad organizativa que contiene esos usuarios. - Abre la directiva y selecciona
Habilitado. Elige si deshabilitar el procesamiento de archivos por lotes y aplica la configuración. - Actualiza la directiva y comprueba con una cuenta de usuario afectada. Para revertirla, selecciona
DeshabilitadooNo configurado.
No bloquees el procesamiento por lotes si los usuarios dependen de scripts por lotes de inicio o cierre de sesión, inicio o apagado, o usan Servicios de Escritorio remoto. Bloquear Cmd.exe también puede interferir con la comunicación de la extensión de navegador de Power Automate.
Configuración del Registro
Inicia sesión con la cuenta del usuario al que se aplicará la restricción y abre el Editor del Registro con regedit. Antes de cambiar la clave siguiente, expórtala y anota si el valor existe y sus datos originales. En ella, crea o edita el valor DWORD indicado:
HKCU\Software\Policies\Microsoft\Windows\System
DisableCMD (REG_DWORD)
Establece el valor en 2 para bloquear Cmd.exe interactivo y permitir los archivos por lotes, o en 1 para bloquear ambos. Aplica el cambio y comprueba con el usuario previsto. Para restaurar el estado anterior, recupera el valor anotado o elimina solo este valor si no existía. Una directiva administrada puede aplicarlo de nuevo al actualizarse.
Referencia: plantillas de directiva de Windows 11 versión 26H2.