Wyszukiwarka zasad grupyWyszukiwarka zasad grupy
Polski

Ograniczanie dostępu użytkowników do wiersza polecenia w Windows

Na współdzielonym komputerze Windows może być potrzebne ograniczenie poleceń wykonywanych przez wybranych użytkowników. Na przykład szkoła może ograniczyć uczniom dostęp do wiersza polecenia, pozostawiając możliwość uruchamiania potrzebnych skryptów wsadowych. Zapobiegaj dostępowi do wiersza polecenia kontroluje interaktywny dostęp do Cmd.exe i pozwala osobno wybrać blokowanie plików wsadowych.

Problemy, które może rozwiązać ta zasada

Zasada pomaga zapobiegać uruchamianiu niepożądanych poleceń w interaktywnym wierszu polecenia, na przykład przez uczniów na zarządzanym komputerze. Nie gwarantuje zablokowania wszystkich szkodliwych działań ani innych powłok. Po jej włączeniu podczas uruchamiania pojawia się komunikat o wyłączeniu przez administratora; jest on skutkiem ustawienia, a nie wcześniejszym błędem.

Kroki

  1. Otwórz edytor zasad grupy dla wybranych użytkowników i przejdź do Konfiguracja użytkownika › Szablony administracyjne › System. W domenie połącz obiekt zasad grupy z jednostką organizacyjną zawierającą tych użytkowników.
  2. Otwórz zasadę i wybierz Włączone. Zdecyduj, czy wyłączyć przetwarzanie plików wsadowych, i zastosuj ustawienie.
  3. Zaktualizuj zasady i sprawdź działanie na koncie docelowego użytkownika. Aby cofnąć zasadę, wybierz Wyłączone lub Nie skonfigurowano.

Nie blokuj przetwarzania wsadowego, jeśli użytkownicy korzystają ze skryptów wsadowych logowania, wylogowania, uruchamiania lub zamykania albo z usług pulpitu zdalnego. Blokada Cmd.exe może też zakłócić komunikację rozszerzenia przeglądarki Power Automate.

Ustawienia rejestru

Zaloguj się na konto docelowego użytkownika i otwórz Edytor rejestru poleceniem regedit. Przed zmianą wyeksportuj poniższy klucz i zapisz, czy wartość istnieje oraz jakie są jej pierwotne dane. W tym kluczu utwórz lub edytuj wskazaną wartość DWORD:

HKCU\Software\Policies\Microsoft\Windows\System
DisableCMD (REG_DWORD)

Ustaw wartość na 2, aby zablokować interaktywny Cmd.exe i zezwolić na przetwarzanie wsadowe, lub na 1, aby zablokować oba. Zastosuj zmianę i sprawdź ją jako docelowy użytkownik. Aby przywrócić poprzedni stan, odtwórz zapisaną wartość albo usuń tylko tę wartość, jeśli wcześniej nie istniała. Zarządzana zasada może zastosować ją ponownie podczas odświeżania.

Podstawa: szablony zasad Windows 11 wersja 26H2.

Źródła oficjalne