运行gpedit.msc打开组策略，在管理模板里打开windows组件，有个windows安装服务，将右边的东西你看一下,具体方法:运行gpedit.msc->计算机配置->管理模板->windows组件->ms installer->启动“禁用ms installer"以及“禁止用户安装” 

(Windows Installer右边窗口中双击 禁用Windows Installer选中已启用，点确定) 

(策略里启用：禁用“添加/删除程序”,再启用下面的策略：控制台－－用户配置－－管理模板－－系统”中的“只运行许可的Windows应用程序”，在“允许的应用程序列表”里“添加允许运行的应用程序。而让你运行的程序限制又限制。) 

可以在组策略里作出限制，但只要使用者可以进入组策略，那他还是可以安装文件的，设置的方法进入组策略后，进入用户权限设置里找到安装文件项删除所有用户名就可以。



Windows XP组策略中有一个“只允许运行Windows应用程序”的策略，你只要启用并添加只允许系统运行的程序名称，那么用户将只能运行“允许运行的应用程序列表”中的程序。不过，无论你有没有在“只允许运行程序列表”中添加gpedit.msc（组策略），一旦启用了这项策略，就再也不能运行“gpedit.exe”（组策略）了！不过我们可以使用下面的方法让“鱼与熊掌兼得”。


①运行gpedit.msc，依次展开“用户配置→管理模板→系统”，在右侧窗口中找到“只运行许可的Windows应用程序”策略并双击，在打开的窗口中选择“已启用”。此时我们可以看到，该窗口下的“显示”按钮呈激活状态，单击“显示→添加”，然后输入允许Windows运行的程序名称，如“Notepad.exe”，最后按下“确定”按钮。


②此时不要马上关闭“组策略”。在“开始→运行”中运行“组策略”，你会发现已经无法运行了！好在我们没有关闭“组策略”程序，现在在“组策略”窗口中，将“只允许运行Windows应用程序”策略设置成“未配置”，再单击“确定”按钮。


③如果你已经关闭了“组策略”，可以通过以下方法来恢复设置：重新启动计算机，在启动菜单出现时按F8键，在Windows高级选项菜单中选择“带命令行提示的安全模式”选项，然后在命令提示符下运行mmc.exe。在打开的“控制台”窗口中，依次单击“文件→添加/删除管理单元→添加→组策略→添加→完成→关闭→确定”，现在已经添加了一个组策略控制台，接下来把原来的设置改回来重新进入Windows即可。