一、系统级禁止安装

修改注册表（管理员权限）

- 按 `Win + R` 打开运行框，输入 `regedit` 并回车。

- 导航至 `HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer`。

- 新建 `DWORD （32-位）值`，命名为 `DisableMSI`，设置为 `1`（仅管理员可安装）或 `2`（禁止安装）。

组策略编辑器限制

- 按 `Win + R` 输入 `gpedit.msc` 回车。

- 导航至 `计算机配置 -> 管理模板 -> Windows 组件 -> Windows Installer`。

- 双击 `禁止用户安装` 选项，选择 `已启用`。

服务禁用（Windows Installer）

- 按 `Win + R` 输入 `services.msc` 回车。

- 找到 `Windows Installer` 服务，将启动类型设为 `已禁用`。

二、用户级限制

本地安全策略调整

- 按 `Win + R` 输入 `secpol.msc` 回车。

- 导航至 `本地策略 -> 安全选项`。

- 取消勾选 `检测应用程序安装并提示提升` 和 `用户帐户控制：标准用户的提升提示行为`。

证书规则限制（高级用户）

- 通过 `gpedit.msc` 导出证书到本地计算机。

- 在组策略中创建新证书规则，指向该证书，强制应用安装限制。

三、网络与设备级控制

网络访问限制

- 禁用不必要的网络连接（如USB端口、光驱）或配置防火墙规则拦截安装包。

物理设备隔离

- 禁用USB端口、光驱等硬件设备，防止通过物理介质安装软件。

四、企业级集中管理（适用于多台设备）

组策略对象（GPO）部署

- 通过域控制器创建GPO，链接到目标计算机组。

- 使用 `只运行指定的Windows应用程序` 策略限制安装行为。

企业安全软件

- 使用域智盾等工具，配置“禁止安装新软件”的策略，实时监控和记录安装行为。

注意事项

管理员权限：

修改注册表或组策略需以管理员身份运行。

系统风险：完全禁止安装软件可能导致合法软件无法运行，建议优先采用白名单机制。

动态软件：通过证书规则或组策略无法阻止动态生成的安装程序（如浏览器扩展），需结合其他方法。

通过以上方法，可灵活实现指定软件的安装限制，根据场景选择最适合的策略。