如何通过域组策略(GPO)将Capability SID添加到注册表权限中？

我之前处理过类似的棘手问题——确实GPMC的图形化编辑器没法直接添加这种没有用户映射的Capability SID，不过有两种靠谱的方案可以解决，你可以按需选择：

方案一：用PowerShell脚本通过组策略部署 #

这是最灵活的方式，适合精准控制权限：

1. 先在一台测试机器上验证PowerShell命令，把下面的代码里的SID替换成你需要恢复的Capability SID：

# 目标注册表路径
$regPath = "HKLM:\Software"
# 获取当前注册表权限
$acl = Get-Acl -Path $regPath
# 替换为你需要添加的Capability SID
$targetSid = New-Object System.Security.Principal.SecurityIdentifier("S-1-XXXX-XXXX")
# 定义权限规则（这里以读取权限为例，可根据需求调整）
$accessRule = New-Object System.Security.AccessControl.RegistryAccessRule(
    $targetSid,
    "ReadKey",
    "ContainerInherit,ObjectInherit",
    "None",
    "Allow"
)
# 添加权限并应用
$acl.AddAccessRule($accessRule)
Set-Acl -Path $regPath -AclObject $acl

2. 把验证通过的脚本保存为.ps1文件，上传到域控制器的NETLOGON共享文件夹（或者其他域内可访问的共享路径）
3. 打开组策略编辑器，找到计算机配置 > 脚本(启动/关机)，添加这个PowerShell脚本。如果是用户级权限，就选用户配置 > 脚本(登录/注销)，不过建议用计算机启动脚本，避免用户权限不足的问题
4. 记得在组策略里调整PowerShell执行策略，确保脚本能正常运行（比如设置为RemoteSigned）

方案二：用安全模板导入权限配置 #

如果习惯用传统的安全配置方式，可以试试这个：

1. 在一台权限正常的机器上，导出注册表权限模板：

secedit /export /cfg C:\temp\RegPerms.inf /areas REGKEYS

2. 打开导出的.inf文件，找到[Registry Keys]区块，添加对应注册表路径和Capability SID的权限条目，格式示例：

HKLM\Software,"D:PAI(A;;KR;;;S-1-XXXX-XXXX)"

（注：KR代表读取权限，你可以根据需要替换成其他权限代码，比如WD代表写入）
3. 把编辑好的.inf文件放到域共享路径，然后在组策略编辑器里，找到计算机配置 > Windows设置 > 安全设置 > 导入安全模板，选择这个文件完成导入
4. 更新组策略后，目标机器会自动应用这个权限配置

注意事项 #

• 不管用哪种方案，一定要先在测试环境验证，避免误操作导致生产环境权限混乱
• 务必替换示例中的SID为你实际需要恢复的Capability SID
• 如果遇到权限问题，检查脚本或模板的执行账号是否有足够的权限修改HKLM注册表项

备注：内容来源于stack exchange，提问作者duct_tape_coder