域部署的软件限制策略被轻松绕过

[naren1625]

我这里组建了一个windows server 2008r2服务器，win7旗舰版客户端的域网络，所有客户端都加入域中，使用标准帐号域帐号登录。
情况是这样的，为了禁止某些程序的运行，我在域组策略中使用软件限制策略阻止了某些程序运行，当前客户端不管是直接双击运行，还是通过任务管理器，cmd启动被限制的程序，都会被阻止，并显示“此程序被组策略阻止。”，问题是，如果右单击程序或者快捷方式，选择“以管理员身份运行”，接下来，计算机会没有任何提示或显示，程序就正常打开了，如同没有限制策略一样。
这是什么情况，请有经验的给解答一下，很是苦闷。
组策略设置：在用户配置\策略\windows设置\安全设置\软件限制策略\其他规则 下面，将主程序设置为哈希规则限制，安全级别为不允许

[qishine]

这是因为软件限制策略没有应用到管理员。 你在软件限制策略 --enforcement 里看看，要应用到所有用户，不要把本地管理员排除在外。 另外，看起来你的用户都有本地管理员权限，退一步说，他们自己退出域，你一点办法都没有。

[naren1625]

1、我的用户都没有加入到本地管理员组里，应该不会有本地管理员权限吧。 2、域的组策略怎么应用到本地管理员？安全筛选里貌似不能添加本地管理员。 望解答。

[naren1625]

十分感谢你的耐心回复。 1、客户端肯定用的是域帐号，这个能够确定。 2、强制属性也如图中所示设置了。 3、需要管理员权限才能安装的软件都安装不了，都被提示没有权限。 4、后来干脆把runas.exe也用哈希规则阻止了，结果有时可以用“以管理员身份运行”绕过有时会提示被组策略阻止了，很是无语。

[qishine]

1. 你的用户都能选择“以管理员身份运行”，了，他肯定是本地管理员。希望再仔细检查一下。 或许用户根本没用域账户登录。 2.不是组策略的安全筛选，是软件限制策略里的，请再检查一下。

[qishine]

建议在有问题的计算上，打开本地管理员组，看看里面有哪些成员？