如何阻止用户在工作站类计算机上运行 Hyper-V 和 VMware 虚拟机 - Windows Server

本文提供了有关如何使用 Windows PowerShell 或组策略来阻止用户在工作站类计算机上运行虚拟化软件（如 Hyper-V 和 VMware）的指导。 这些过程适用于你希望防止虚拟化软件同时在已加入域的计算机和非已加入域的计算机上运行的方案，而不考虑用户的管理权限。

适用于： Hyper-V Server 2019

如何阻止虚拟化服务

重要

• 在生产环境中进行这些更改之前，请在实验室环境中对其进行测试。 此步骤有助于确保更改（尤其是组策略更改）生成预期结果，并且不会引入作问题。
• 请确保你对工作站计算机具有管理员权限。

如何阻止单个计算机上的 Hyper-V 功能

1. 在计算机上，打开管理 Windows PowerShell 窗口。

2. 按顺序运行以下 cmdlet：

   Disable-WindowsOptionalFeature -Online -FeatureName Microsoft-Hyper-V-All
   bcdedit /set hypervisorlaunchtype off
   

   第一个 cmdlet 从可选功能集里删除了 Hyper-V。 第二个 cmdlet 可防止 Hyper-V 运行。

如何使用组策略阻止多台计算机上的 Hyper-V 服务

若要配置适当的策略，请执行以下步骤：

1. 在组策略管理控制台（GPMC）中，导航到或创建适用于受影响计算机的组策略对象（GPO）。
2. 右键单击 GPO，然后选择“ 编辑”。 在组策略编辑器中，选择 “计算机配置>Windows 设置>安全设置>系统服务”。
3. 配置与 Hyper-V 相关的每个服务（例如，Hyper-V 虚拟机管理）。 对于每项服务，请按照以下步骤操作：
   1. 右键单击该服务，然后选择“ 属性”。
   2. 在“ 属性 ”对话框中，选择“ 定义此策略设置”，选择“ 已禁用”，然后选择“ 确定”。
4. 若要传播策略更改，请重启所有目标计算机。

有关如何使用组策略的详细信息，请参阅 高级组策略管理。

如何使用组策略阻止 VMware 工作站服务

若要配置适当的策略，请执行以下步骤：

1. 在 GPMC 中，导航到或创建适用于受影响计算机的 GPO。
2. 右键单击 GPO，然后选择“ 编辑”。 在组策略编辑器中，选择 计算机配置>策略>Windows 设置>安全设置>系统服务。

若要阻止用户运行 VMware 工作站，请执行以下步骤：

1. 在 软件限制策略中创建路径规则：

   1. 打开 GPMC，然后转到**“计算机配置**>策略策略>>”Windows 设置>软件限制策略。
   2. 如果没有软件限制策略，请右键单击 “软件限制策略”，然后选择“ 新建软件限制策略”。
   3. 右键单击 “其他规则”，然后选择“ 新建路径规则”。
   4. 在 “路径” 框中，指定 VMware 可执行文件的路径（例如 *，类型 C：\Program Files （x86）\VMware*，或输入特定 .exe 文件的路径。
   5. 选择 “安全级别”，然后选择“ 不允许”。
   6. 选择**“确定”**。

2. 若要传播策略更改，请重启所有目标计算机。

有关如何使用组策略的详细信息，请参阅 高级组策略管理。