如何编辑NTUSER.DAT添加注册表项阻止Teams在管理员账户重装？

问题根源 #

你之前遇到的PowerShell命令报错、reg命令部分有效，核心原因在于：

• 直接操作HKEY_CURRENT_USER只会修改当前登录用户的注册表，目标管理员账户的NTUSER.DAT未加载到当前会话的注册表 hive 中，无法直接访问。
• 若目标账户处于登录状态，NTUSER.DAT会被系统锁定占用，导致无法加载修改；reg命令参数错误则多是因为路径格式不规范、未正确加载/卸载临时注册表项。

解决方案脚本 #

以下脚本以管理员权限运行，自动识别本地管理员组中名称含"-admin"的账户，加载其NTUSER.DAT并添加指定注册表项，同时处理文件占用、路径识别等问题：

# 获取本地管理员组内名称以"-admin"结尾的用户账户
$targetAdmins = Get-LocalGroupMember -Group "Administrators" | Where-Object {
    $_.Name -match "-admin$" -and $_.ObjectClass -eq "User"
}

foreach ($admin in $targetAdmins) {
    # 提取纯用户名（兼容本地账户格式：计算机名\用户名）
    $userName = $admin.Name.Split("\")[-1]

    # 通过Win32_UserProfile获取用户配置文件的准确路径
    $userProfile = Get-WmiObject Win32_UserProfile | Where-Object {
        $_.LocalPath -match "\\$userName$" -and $_.Special -eq $false
    }

    if (-not $userProfile) {
        Write-Warning "未找到用户 $userName 的有效配置文件，跳过"
        continue
    }

    $ntuserDatPath = Join-Path -Path $userProfile.LocalPath -ChildPath "NTUSER.DAT"

    # 检查NTUSER.DAT文件是否存在
    if (-not (Test-Path -Path $ntuserDatPath -PathType Leaf)) {
        Write-Warning "用户 $userName 的NTUSER.DAT文件不存在，跳过"
        continue
    }

    # 检测文件是否被占用（目标账户登录时会锁定文件）
    try {
        $fileStream = [System.IO.File]::Open(
            $ntuserDatPath,
            [System.IO.FileMode]::Open,
            [System.IO.FileAccess]::Read,
            [System.IO.FileShare]::None
        )
        $fileStream.Close()
        $isLocked = $false
    } catch {
        $isLocked = $true
    }

    if ($isLocked) {
        Write-Warning "用户 $userName 当前处于登录状态，NTUSER.DAT被系统锁定，请注销该账户后重新运行脚本"
        continue
    }

    # 定义临时注册表加载项（避免与现有项冲突）
    $tempRegHive = "HKU\Temp_$userName"
    $teamsRegPath = "$tempRegHive\SOFTWARE\Microsoft\Office\Teams"

    try {
        # 加载目标用户的NTUSER.DAT到临时注册表项
        reg load $tempRegHive $ntuserDatPath

        # 创建Teams注册表路径（不存在则新建）
        if (-not (Test-Path "Registry::$teamsRegPath")) {
            New-Item -Path "Registry::$teamsRegPath" -Force | Out-Null
        }

        # 添加/设置阻止重装的注册表项（DWORD类型，值为1）
        Set-ItemProperty -Path "Registry::$teamsRegPath" `
            -Name "PreventInstallationFromMsi" `
            -Value 1 `
            -Type DWord `
            -Force

        Write-Host "✅ 成功为用户 $userName 配置Teams阻止重装项" -ForegroundColor Green
    } catch {
        Write-Error "❌ 处理用户 $userName 时出错：$_"
    } finally {
        # 无论操作成功与否，都卸载临时注册表项，释放NTUSER.DAT
        if (Test-Path "Registry::$tempRegHive") {
            reg unload $tempRegHive
        }
    }
}

关键注意事项 #

1. 运行权限：必须以管理员身份启动PowerShell，否则无法执行注册表加载/卸载操作。
2. 账户状态：目标账户不能处于登录状态，否则NTUSER.DAT会被系统锁定，无法修改。
3. 域账户兼容：脚本通过Win32_UserProfile获取配置文件路径，兼容本地账户和域账户（域账户配置文件路径通常为C:\Users\<用户名>.域名）。
4. 临时项清理：脚本在finally块中强制卸载临时注册表项，避免NTUSER.DAT被持续占用。

内容的提问来源于stack exchange，提问作者Motivator6310