Bạn có thể hạn chế người dùng cài đặt hoặc chạy chương trình trên Windows 11/10/8/7 cũng như Windows Vista/XP/2000 & dòng Windows Server. Làm được bằng cách dùng các cài đặt Group Policy để kiểm soát hành vi của Windows Installer, ngăn chặn chương trình cụ thể chạy hoặc hạn chế qua Registry Editor.
Bạn có thể thấy thông báo lỗi:
Cài đặt bị cấm bởi chính sách hệ thống, Liên hệ quản trị viên hệ thống của bạn
Windows Installer, msiexec.exe, trước đây gọi là Microsoft Installer, là công cụ cài đặt, bảo trì và gỡ bỏ phần mềm trên hệ thống Windows hiện đại.
Trong bài này, chúng ta sẽ xem cách chặn cài đặt phần mềm trên Windows 10/8/7.
Vô hiệu hóa hoặc hạn chế sử dụng Windows Installer
Gõ gpedit.msc trong tìm kiếm Start và Enter để mở Group Policy Editor. Điều hướng đến Computer Configurations > Administrative Templates > Windows Components > Windows Installer. Trong khung bên phải double-click vào Disable Windows Installer. Cấu hình tùy chọn theo yêu cầu.
Cài đặt này có thể ngăn người dùng cài đặt phần mềm trên hệ thống hoặc chỉ cho phép cài đặt các chương trình do quản trị viên cung cấp. Nếu bật cài đặt này, bạn dùng tùy chọn trong hộp Disable Windows Installer để thiết lập cài đặt cài đặt.
Tùy chọn "Never" (Không bao giờ) cho thấy Windows Installer được bật hoàn toàn. Người dùng có thể cài đặt và nâng cấp phần mềm. Đây là hành vi mặc định của Windows Installer trên Windows 2000 Professional, Windows XP Professional, và Windows Vista khi policy chưa cấu hình.
Tùy chọn "For non-managed apps only" (Chỉ cho app không được quản lý) cho phép người dùng chỉ cài đặt chương trình mà quản trị viên gán (cung cấp trên desktop) hoặc phát hành (thêm vào Add or Remove Programs). Đây là hành vi mặc định của Windows Installer trên dòng Windows Server khi policy chưa cấu hình.
Tùy chọn "Always" (Luôn luôn) cho thấy Windows Installer bị vô hiệu hóa.
Cài đặt này chỉ ảnh hưởng đến Windows Installer. Nó không ngăn người dùng dùng phương pháp khác để cài đặt và nâng cấp chương trình.
Luôn cài đặt với quyền nâng cao
Trong Group Policy Editor, điều hướng đến User Configuration > Administrative Templates > Windows Components. Cuộn xuống click Windows Installer và cấu hình thành Always install with elevated privileges (Luôn cài đặt với quyền nâng cao).
Cài đặt này chỉ dẫn Windows Installer dùng quyền hệ thống khi cài đặt bất kỳ chương trình nào trên hệ thống.
Cài đặt này mở rộng quyền nâng cao cho tất cả chương trình. Những quyền này thường dành cho chương trình được gán cho người dùng (cung cấp trên desktop), gán cho máy tính (cài tự động), hoặc có sẵn trong Add or Remove Programs trong Control Panel. Cài đặt này cho phép người dùng cài đặt chương trình yêu cầu truy cập thư mục mà người dùng có thể không có quyền xem hoặc thay đổi, bao gồm thư mục trên máy tính bị hạn chế cao.
Nếu vô hiệu hóa cài đặt này hoặc không cấu hình, hệ thống áp dụng quyền của người dùng hiện tại khi cài đặt chương trình mà quản trị viên không phân phối hoặc cung cấp.
Cài đặt này xuất hiện cả trong thư mục Computer Configuration và User Configuration. Để có hiệu lực, bạn phải bật cài đặt trong cả hai thư mục.
Người dùng am hiểu có thể lợi dụng quyền này để thay đổi đặc quyền và truy cập vĩnh viễn file/thư mục bị hạn chế. Lưu ý phiên bản User Configuration của cài đặt này không đảm bảo an toàn.
MẸO: Dùng AppLocker trong Windows để ngăn người dùng cài đặt hoặc chạy ứng dụng.
Không chạy ứng dụng Windows được chỉ định
Trong Group Policy Editor, điều hướng đến User Configuration > Administrative Templates > System
Ở khung bên phải, double click Don't run specified Windows applications (Không chạy ứng dụng Windows được chỉ định) và trong cửa sổ mới chọn Enabled. Bây giờ Under Options click Show. Trong cửa sổ mới nhập đường dẫn ứng dụng bạn muốn cấm; trong trường hợp này: msiexec.exe.
Điều này sẽ ngăn Windows Installer ở thư mục C:\Windows\System32\ chạy.
Cài đặt này ngăn Windows chạy các chương trình bạn chỉ định. Nếu bật, người dùng không thể chạy chương trình bạn thêm vào danh sách cấm.
Cài đặt này chỉ ngăn người dùng chạy chương trình khởi động bởi tiến trình Windows Explorer. Nó không ngăn chạy chương trình khởi động bởi tiến trình hệ thống hoặc tiến trình khác (như Task Manager). Ngoài ra, nếu cho phép truy cập command prompt (cmd.exe), cài đặt này không ngăn họ khởi động chương trình trong cửa sổ command mà họ không được phép chạy qua Windows Explorer. Lưu ý: Để tạo danh sách ứng dụng cấm, click Show. Trong hộp thoại Show Contents, cột Value, gõ tên file thực thi ứng dụng (ví dụ: msiexec.exe).
Hạn chế chương trình cài đặt qua Registry Editor
Mở Registry Editor và điều hướng đến khóa sau:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Current Version\Policies\Explorer\DisallowRun
Tạo String value với tên bất kỳ, ví dụ 1, đặt giá trị là file EXE của chương trình.
Ví dụ, nếu muốn chặn msiexec, tạo String value 1 đặt giá trị msiexec.exe. Nếu muốn chặn thêm chương trình, tạo thêm String value tên 2, 3... đặt giá trị là file exe của chương trình.
Có thể phải khởi động lại máy.
Cũng đọc:
- Cách chặn file EXE chạy bằng Group Policy
- Ngăn người dùng chạy chương trình trên Windows
- Chỉ chạy ứng dụng Windows được chỉ định
- Windows Program Blocker - phần mềm chặn chạy ứng dụng miễn phí
- Cách chặn cài đặt ứng dụng bên thứ ba trên Windows.
