禁止使用 Intune 访问控制面板和电脑设置

让我们了解如何使用 Intune 禁止访问控制面板和电脑设置。您可以使用 Intune (MEM) 阻止或禁用控制面板并禁用电脑设置。

在 Windows 计算机上，有多种方法可以禁用对控制面板和电脑设置的访问。例如，您可以在计算机上使用组策略禁用控制面板。

如果必须手动阻止 PC 上的控制面板，则注册表方法是最简单的方法。然而，这是一种涉及修改注册表项的方法。如果您使用 MDM 解决方案（例如 Intune）管理设备，则可以通过设置目录轻松阻止对控制面板和电脑设置的访问。

禁用控制面板和电脑设置时会发生什么？

当您部署 Intune 禁止访问控制面板和电脑设置时，它会禁用所有控制面板程序和电脑设置应用。此设置会阻止 Control.exe 和 SystemSettings.exe（控制面板和电脑设置的程序文件）启动。因此，用户无法启动控制面板或电脑设置，也无法运行其任何项目。

Control.exe 和 SystemSettings.exe（控制面板 和电脑设置 的程序文件）被阻止发射。用户无法启动控制面板，也无法通过 PC 设置对 PC 进行任何更改。

Intune 设置目录可帮助您禁止用户访问控制面板和电脑设置。您可以使用设置目录为所有 Intune 托管的 Windows 设备创建和管理安全策略。

禁止使用 Intune 访问控制面板和电脑设置的步骤

使用 Intune 设置目录，您可以通过以下步骤禁止访问控制面板和电脑设置。我们现在将创建一个新的设备配置文件。

登录 Microsoft Endpoint Manager 管理中心。转至设备 > 配置文件。要创建新策略，请选择创建配置文件。

此新配置文件将适用于Windows 10 及更高版本的操作系统。我们在此处选择的配置文件类型是设置目录。单击创建。

在创建配置文件窗口中，将配置文件的名称指定为“禁止使用 Intune 访问控制面板和电脑设置”。您可以添加此政策的简要说明。单击下一步。

如前所述，通过设置目录，您可以选择要配置的设置。您可以在配置文件中包含多个设置并将其部署到计算机。要为配置文件定义新设置，请选择添加设置。

您将看到设置选择器窗口，您必须在其中选择设置以禁用计算机的控制面板和电脑设置。

在搜索框中，输入“禁止访问控制面板和电脑设置”，然后单击搜索。在“按类别浏览”下，选择管理模板\控制面板。

选择设置禁止访问控制面板和电脑设置（用户）并关闭“设置选择器”窗口。

您需要启用设置禁止访问控制面板和电脑设置（用户）。将滑块移至启用。单击下一步继续。

在分配选项卡上，您必须包含要将此策略作为目标的组。始终选择一个测试用户组或试点用户，以便您首先测试此策略的工作情况，然后将其部署到更广泛的组。

选择范围标签是可选的，您可以跳过它们。单击下一步。

在查看+创建选项卡上，您可以查看迄今为止定义的设置。确保所有设置正确并选择创建。

创建策略后，很快就会出现一条通知，确认策略已创建。您应该看到类似这样的内容 - 已成功创建策略“禁止使用 Intune 访问控制面板和电脑设置”。您可以关闭通知。

创建策略后，请等待几分钟，策略将应用到用户组。您可以通过选择策略并查看设备和用户签入状态来监控部署。

在我的 Windows 11 笔记本电脑上，我看到策略设置已应用。启动控制面板后，您会立即看到以下错误。

由于此计算机上的限制，此操作已被取消。请联系您的系统管理员。

如果您启动电脑设置应用程序，您应该会看到与上述相同的错误。设置应用程序可能会立即启动并消失。如果您尝试通过 run 命令启动 sysdm.cpl，则会显示该操作由于限制而已被取消。

通过 Intune 阻止控制面板 - 事件 ID 814

当您禁止使用 Intune 访问控制面板和电脑设置时，Windows 设备会在事件查看器中记录以下详细信息，事件 ID 为 814。

事件 ID 814 确认 MDM 客户端从服务器收到策略更新并成功将其应用到 Windows 10 或 Windows 11 计算机上。

MDM PolicyManager: Set policy string, Policy: (NoControlPanel), Area: (ADMX_ControlPanel), EnrollmentID requesting merge: (8F80A159-63EF-4141-BA76-FE6D85B4D9E2), Current User: (S-1-12-1-2085253464-1182808814-933472934-2715377099), String: (), Enrollment Type: (0x6), Scope: (0x1).

要查看事件 ID 814，请在 Windows 计算机上启动事件查看器。在事件查看器中，转到应用程序和服务日志 > Microsoft > Windows > Devicemanagement-Enterprise-Diagnostics-Provider > Admin。