自己在ZDNET上发的贴子!
 
前两天论坛上有一个贴子说  
他的机子上的管理员组打不开组策略了,他自己也没设置就变成这样了。
后来经过修改注册表,改了回来。
见些贴:http://forums.zdnet.com.cn/cgi-bin/topic.cgi?forum=1&topic=7540&start=0#bottom
但这个问题是如何发生的呢?

下面我们来看看组策略的自锁原因和解决方法!

A、巧限程序,谨防“自锁”
Windows XP组策略中有一个名为“只允许运行Windows应用程序”的组策略项目,一旦你将该项目启用,同时限制好指定的程序可以运行外,那么无论你是否在“只允许运行程序列表”中,添加了gpedit.msc命令,只要“只允许运行Windows应用程序”的组策略项目生效,系统的组策略就会自动“自锁”,即使你在超级管理员帐号下使用“gpedit.msc”命令,也不能打开系统的组策略编辑窗口!那么有没有一种办法,既能限制应用程序的运行,又能防止系统组策略出现“自锁”现象呢?
答案是肯定的,你可以按照如下步骤来操作:
首先依次单击“开始”/“运行”命令,在弹出的系统运行框中,输入字符串命令“gpedit.msc”,单击“确定”按钮后,打开系统组策略编辑窗口; 依次展开该窗口中的“用户配置”/“管理模板”/“系统”项目,在对应“系统”项目右边的子窗口中,双击“只运行许可的Windows应用程序”选项,在其后弹出的界面中,将“已启用”选项选中。
随后,你将在对应的窗口中看到“显示”按钮被自动激活,再单击“显示”按钮,然后继续单击其后窗口中的“添加”按钮,再将需要运行的应用程序名称输入在添加设置框中,最后单击“确定”按钮;下面,请大家千万不要将组策略编辑窗口立即关闭;然后打开系统运行对话框,并在其中执行“gpedit.msc”命令,此时你将发现系统组策略编辑程序已经无法运行了!不过,幸亏前面没有将组策略编辑窗口关闭,现在你可以继续在组策略编辑窗口中,双击刚才设置的“只允许运行Windows应用程序”项目,然后在弹出的策略设置窗口中,选中“未配置”选项,最后单击一下“确定”按钮,这样就能实现既可以限制运行应用程序的目的,又能阻止系统组策略出现“自锁”现象。
小提示:要是你将指定的应用程序名称添加到“只允许运行Windows应用程序”列表中后,直接把组策略编辑窗口关闭的话,可以通过下面的步骤来进行恢复:
重新将服务器系统启动一下,在启动的过程中不停地按下F8功能键,直到出现系统的启动菜单,然后执行其中的“带命令行提示的安全模式”命令,将服务器系统切换到命令行提示符状态; 接下来在命令提示符下直接执行mmc.exe字符串命令,在弹出的系统控制台界面中,单击“文件”菜单项,并从弹出的下拉菜单中单击“添加/删除管理单元”选项,再单击其后窗口中的“独立”标签,然后在标签页面中,单击“添加”按钮; 下面,再依次单击“组策略”、“添加”、“完成”、“关闭”、“确定”按钮,这样就能成功添加一个新的组策略控制台;以后,你就能重新打开组策略编辑窗口,然后按照上面的设置,实现既可以限制运行应用程序的目的,又能阻止系统组策略出现“自锁”现象。
B、随心所欲,解除“自锁”
除了通过限制应用程序运行的策略外,还有许多操作都能使组策略在不经意间就会发生“自锁”现象。如果是其他因素造成组策略发生“自锁”现象的话,我们该如何轻松解除呢?其实,所有对组策略的设置,都是基于系统注册表的,因此对组策略任意分支的设置,都会在注册表的对应分支中有所体现;为此我们只要从修改注册表出发,就能轻松破解组策略的“自锁”现象:
依次单击“开始”/“运行”命令,在弹出的系统运行对话框中,输入字符串命令“regedit”,单击“确定”按钮后,打开系统的注册表编辑窗口;
在该窗口中,依次展开注册表分支HKEY_CURRENT_USER\Software\Policies\Microsoft\MMC,
修改RestrictToPermittedSnapins值为0即可使用“gpedit.msc”命令。
修改RestrictToPermittedSnapins值为1即可禁用“gpedit.msc”命令。
或是依次展开注册表分支HKEY_CURRENT_USER\Software\Policies\Microsoft\MMC\{8FC0B734-A0E1-11D1-A7D3-0000F87571E3},
修改RestrictToPermittedSnapins值为0即可使用“gpedit.msc”命令。
修改RestrictToPermittedSnapins值为1即可禁用“gpedit.msc”命令。
这两种方法都可以!