一、使用组策略编辑器（推荐）

禁止用户安装新软件

- 按 `Win + R` 打开运行窗口，输入 `gpedit.msc`，导航到 `计算机配置 -> 管理模板 -> Windows 组件 -> Windows Installer`，启用「禁止用户安装」策略。

- 注意：

此设置仅阻止普通用户安装软件，管理员仍可通过提升权限安装。

限制软件安装权限

- 在组策略中，通过 `软件限制策略` 可以限制用户安装未签名的软件或运行特定程序。

二、修改注册表（高级操作）

禁用Windows Installer

- 打开注册表编辑器（`regedit`），导航到 `HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer`，新建 `DWORD` 值 `DisableMSI`，设为 `1`（仅管理员可安装）。

添加证书限制

- 通过组策略或本地安全策略，添加自定义证书规则，阻止特定安装程序运行。

三、使用本地安全策略

禁用UAC提升

- 打开 `secpol.msc`，在 `本地策略 -> 安全选项` 中，将 `用户帐户控制：检测应用程序安装并提示提升` 设置为 `已禁用`。

配置软件限制策略

- 在 `软件限制策略` 下，创建新策略，指定允许或禁止的软件路径，设置强制级别为 `3`（拒绝所有未签名的软件）。

四、企业级解决方案（推荐）

域智盾等工具

- 提供一键禁止安装新软件的功能，支持策略模板管理、软件白名单/黑名单、企业软件库等高级功能，适合多设备统一管理。

五、其他注意事项

组策略优先级：

域策略 > 本地策略 > 注册表设置，需在组策略中配置相关策略以覆盖其他方法。

测试与验证：配置后需测试普通用户是否无法安装软件，管理员仍需通过正常流程安装。

日志监控：通过安全软件或组策略日志，实时监控软件安装行为，便于违规排查。

通过以上方法，可灵活实现软件安装限制，根据实际需求选择合适方案。