如何拒绝程序的提升？

Windows是否有“自动拒绝提升请求”列表？

如果用户是“标准用户”，则可以通过将组策略设置更改为“ 自动拒绝提升请求 ”，使Windows 自动拒绝任何提升请求：ConsentPromptBehaviorUser

• Prompt for credentials on the secure desktop.（默认）当操作需要特权提升时，安全桌面上会提示用户输入其他用户名和密码。如果用户输入有效的凭据，则操作将以适用的特权继续
• Prompt for credentials当操作需要特权提升时，系统会提示用户输入管理用户名和密码。如果用户输入有效的凭据，则操作将以适用的特权继续
• Automatically deny elevation requests当操作需要特权提升时，将显示可配置的拒绝访问错误消息。以标准用户身份运行桌面的企业可以选择此设置以减少帮助台呼叫

这在程序可能会提示提升的情况下很有用，但是这将需要服务台的人员来管理三栋建筑物（输入其过关凭证）。只有到达那里后，他们才发现用户不应运行该程序。

我们希望应用程序以标准用户身份运行（可能会出现拒绝访问错误），因为这是正确的答案。

但是该设置适用于所有提升的程序。是否有可能

• 标记程序，或
• 将其添加到列表

以便自动拒绝高程请求并以标准用户身份运行？

当程序错误地发生时，就会发生此问题：

• 标记为requestedExecutionLevel的requireAdministrator在其嵌入或外部清单
• 选中了“运行此程序具有管理员”兼容性选项
• 通过启发式方法被检测为安装程序（例如，命名为install或setup）EnableInstallerDetection

注意： 假设该应用程序没有清单，则可能建议添加一个清单，指示requestedExecutionLevel: asInvoker。此解决方案还将禁用该应用程序的文件和注册表虚拟化。

也可以看看

• 为不需要的应用程序防止抬高（UAC） （找不到解决方案）
• 如何告诉Windows 7应用程序无需以管理员权限运行？ （这种情况的答案是添加清单）
• 如何确定应用程序为何提示提升

一个可能的解决方案是同时使用两个策略：

1. 将已经提到的ConsentPromptBehaviorUser组策略设置配置为自动拒绝海拔请求。如问题所述，这将影响所有运行的程序。

2. 下一步启用用户帐户控制：仅提升经过签名和验证的策略设置的可执行文件。（来自Microsoft）此设置对所有请求特权提升的交互式应用程序强制执行公共密钥基础结构（PKI）签名检查。通过将证书添加到本地计算机上的“受信任的发布者”证书存储中，企业管理员可以控制允许运行哪些应用程序。

3. 使用组织的密钥对任何受信任的程序进行签名，然后将其发布到组织中所有计算机上的“受信任的发布者”证书存储中。更多信息。