1.打开"组策略"(gpedit.msc)-->"计算机配置"-->"管理模板"-->"Windows组件
"-->"Windows Installer"下启用"禁止用户安装".
2.打开"组策略"(gpedit.msc)-->"用户配置"-->"管理模板"-->"Windows组件
"-->"Windows Installer"下启用"禁止从可移动媒体进行任何安装".
3.在文件夹的"属性"中的"安全"里对用户给予相应的权限.
还有
就XP而行, 开始的运行中输入gpedit.msc确定,点计算机配置下管理模板加
号,windows组件加号，点windows installer,在右侧双击禁止用户安装，点选已启用．
绿色软件是不经过注册表的，所以你那种方法没有用
只有在组策略设置允许使用的程序，其他的禁止这样即使他们安装了，也是不能使用的 \ R7o P$} V/y v x n
具体的方法为：
如果你的电脑设置了多个用户，有些程序我们可能不希望其他用户随意运行，也能在组策略中设置。

打开“组策略控制台→用户配置→管理模板→系统”中的“只运行许可的Ｗｉｎｄｏｗｓ应用程序”并启用此策略，然后点击下面的“允许的应用程序列表”边的“显示”按钮，弹出一个“显示内容”对话框，在此单击“添加”按钮来添加允许运行的应用程序即可。

以后一
般用户只能运行“允许的应用程序列表”中的程序。

包含“计算机配置”部分和“用户配置”部分。

如果您希望应用的策略设置仅包含对该 GPO 的一个部分的配置更改，您可以配置该GPO 以使系统不处理未使用的部分。

此时，您可以减少 Windows 处理 GPO 所花的时间。

1. 单击开始，指向程序，指向管理工具，然后单击“Active Directory 用户和计算机”。

2. 执行下列步骤之一：•如果您想要编辑链接到域的 GPO 的安全设置，则右键单击该域，然后单击属性。

•如果您想要编辑链接到一个组织单元的 GPO 的安全设置，则单击展开该域，右键单击该组织单元，然后单击属性。

3. 单击组策略选项卡，单击要配置的 GPO，然后单击属性。

4. 执行下列步骤之一或都执行：•单击以选中“禁用计算机配置设置”复选框，然后，当收到“确认禁用”消息时单击是。

•单击以选中“禁用用户配置设置”复选框，然后，当收到“确认禁用”消息时单击是。

5. 单击确定，单击应用，然后单击确定。

6. 退出“Active Directory 用户和计算机”管理单元。

参考资料：
/default.aspx?scid=kb;zh-cn;
可以通过组策略编辑器来禁用组策略控制台
运行组策略编辑器，启用“只允许运行Windows应用程序”的组策略项目，无论你是否在“只允许运行程序列表”中，添加了gpedit.msc命令，只要“只允许运行Windows应用程序”的组策略项目生效，系统的组策略就会自动“自锁”，即使你在超级管理员帐号下使用“gpedit.msc”命令，也不能打开系统的组策略编辑窗口
附：解自锁办法
重新将服务器系统启动一下，在启动的过程中不停地按下F8功能键，直到出现系统的启动菜单，然后执行其中的“带命令行提示的安全模式”命令，将服务器系统切换到命令行提示符状态;
接下来在命令提示符下直接执行mmc.exe字符串命令，在弹出的系统控制台界面中，单击“文件”菜单项，并从弹出的下拉菜单中单击“添加/删除管理单元”选项，再单击其后窗口中的“独立”标签，然后单击“添加”按钮;再依次单击“组策略”、“添加”、“完成”、“关闭”、“确定”按钮，这样就能成功添加一个新的组策略控制台;以后，你就能重新打开组策略编辑窗口 &r ~*i:| W
参考资料：/os/win/269/2085269.shtml
方法1是先进入带命令行提示的安全模式，在命令提示符下输入“regedit”，打开注册表找到
“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer ”，把“RestrictRun”的键值改为0即可。

方法2是先进入带命令行提示的安全模式，输入“reg add
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v RestrictRun /t reg_dword /d0”命令，这时会有提示是否覆盖存在的“RestrictRun”键值项，输入Y 即可。

如果禁止从网络登陆的话，可以在组策略里面设置的。

运行“gpedit.msc”->计算机配置->windows设置->安全设置->本地策略->用户权利指派->拒绝从网。