关于Windows 10下使用McAfee Solidifier实现PNP外设正常工作的最小粒度加固目录问询

Hey，针对你遇到的McAfee Solidifier和Win10 PNP外设的问题，我来给你梳理下核心方向和实操建议：

你目前的困境很明确：公司用McAfee Solidifier锁定终端PC，现在想替代全盘加固C:\Windows\System32的粗放方式，找到除了Drivers和DriverStore之外，Win10里存放外设硬件数据/配置的关键目录，用更精细的sadmin so命令来处理——毕竟Win7下同样流程毫无问题，但Win10必须临时开更新模式（sadmin bu）或者全盘加固System32才能让PNP外设（比如收据打印机）正常工作。

核心目标目录（System32下，优先测试） #

这些是Win10 PNP设备识别、配置流程里，除驱动外的关键依赖目录/文件：

• C:\Windows\System32\inf：这里是硬件INF配置文件的核心存放地，Win10的PNP设备枚举、硬件ID匹配、端口映射配置都依赖这里的文件。新设备接入时，系统会动态读取或更新这里的相关配置，如果McAfee Solidifier锁死了这个目录，设备根本完成不了基础识别流程。
• C:\Windows\System32\config：这个目录存储了系统注册表的核心hive文件（比如SYSTEM hive），PNP设备的硬件信息、COM端口分配等关键配置都会写入这里。如果这个目录被完全固化锁定，新设备的配置无法写入注册表，自然无法正常工作。
• C:\Windows\System32\pnputil.exe：这是Win10管理PNP设备的核心工具，新设备接入时系统会调用它完成设备注册、配置导入等操作。单独对这个可执行文件做固化标记，能确保系统正常调用它处理外设。

实操测试步骤 #

建议你按从窄到宽的顺序测试，逐步验证最小有效范围：

1. 先尝试加固两个核心目录：

   sadmin so C:\Windows\System32\inf
   sadmin so C:\Windows\System32\config
   

2. 重启PC后接入目标PNP外设，检查设备管理器是否正常识别，设备能否正常工作。
3. 如果还是有问题，再单独加固pnputil.exe：

   sadmin so C:\Windows\System32\pnputil.exe
   

4. 若仍存在异常，可以考虑测试C:\Windows\System32\wbem目录——WMI服务会参与PNP设备的状态监测和事件通知，部分特殊外设可能依赖这里的文件，但这个属于次要选项。

Win7与Win10差异的原因推测 #

Win10对PNP设备的管理机制做了不少优化，相比Win7更依赖INF文件的动态更新和注册表的实时写入，而且Win10的PNP服务会更频繁地调用pnputil.exe来处理设备枚举。这些操作在Win7下可能不需要频繁修改System32下的非驱动目录，所以Win7下全盘加固System32就能覆盖所有需求，但Win10需要更精准地开放这些关键目录才能让PNP外设正常运作。

备注：内容来源于stack exchange，提问作者k1dfr0std