Windows 10 LTSC下为不同用户配置专属Shell并禁用特定用户桌面的技术方案咨询

嗨，针对你在Windows 10 LTSC上遇到的不同用户Shell配置难题，我整理了一套靠谱的解决方案，既能让普通用户test仅运行你指定的脚本/应用，又完全不影响管理员的正常桌面体验：

一、正确配置用户专属Shell（仅对test生效） #

你之前尝试的HKEY_CURRENT_USER路径方向是对的，但可能没找准用户对应的注册表分支。正确操作步骤如下：

• 登录管理员账户，打开注册表编辑器(regedit.exe)
• 先获取test用户的SID：按下Win+R输入cmd，执行命令 wmic useraccount where name='test' get sid，复制返回的SID字符串
• 回到注册表编辑器，定位到HKEY_USERS\[刚才复制的SID]\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
  • 如果该路径下没有Winlogon项，右键新建项命名为Winlogon
• 在Winlogon项中，右键新建字符串值(REG_SZ)，命名为Shell，值设为你的指定脚本/应用的完整路径（比如C:\YourApps\launch-system.bat）

这个设置只会作用于test用户，管理员账户的HKCU\Winlogon\Shell默认还是explorer.exe，完全不受影响。

二、彻底阻止test用户启动Explorer及系统工具 #

光改Shell还不够，test用户如果能手动运行explorer.exe还是会调出桌面，所以要补上限制：

方法1：组策略限制（推荐，更灵活） #

• 打开本地组策略编辑器(gpedit.msc)
• 定位到 用户配置 > 管理模板 > 系统 > 不要运行指定的Windows应用程序
• 启用该策略，点击「显示」按钮，添加需要阻止的程序：
  • explorer.exe
  • taskmgr.exe
  • gpedit.msc
  • regedit.exe
  • 其他你想禁用的系统工具（比如cmd.exe如果不需要的话也可以加）
• 执行gpupdate /force让策略立即生效

⚠️ 注意：一定要在用户配置下设置，不要选计算机配置，否则会影响所有用户。

方法2：文件权限限制（备选） #

如果不想用组策略，可以直接限制explorer.exe的执行权限：

• 找到C:\Windows\explorer.exe，右键选择「属性」→「安全」选项卡
• 点击「编辑」→「添加」，输入test并添加该用户
• 给test用户设置权限为「拒绝 → 读取和执行」，确认应用后，test就无法运行explorer了

三、额外加固：堵上其他系统工具入口 #

为了更彻底，还可以禁用一些快捷操作：

• 在组策略的 用户配置 > 管理模板 > 系统 > Ctrl+Alt+Del选项 中，启用「删除任务管理器」，阻止用户通过Ctrl+Alt+Del打开任务管理器
• 在 用户配置 > 管理模板 > 开始菜单和任务栏 > 移除运行菜单，禁用「运行」命令，防止用户通过Win+R输入程序名启动

四、验证配置 #

• 切换到test用户登录，确认自动启动你指定的脚本，尝试打开explorer、任务管理器等工具，应该都无法运行
• 登录管理员账户，确认桌面、资源管理器、任务管理器等一切正常使用

备注：内容来源于stack exchange，提问作者simo hauml