下表列出了 Microsoft 托管桌面中使用的Windows 11策略设置。

此策略设置控制锁屏界面图像是静态的，还是具有由设备加速计输出驱动的细微平移效果。

此策略设置限制所有用户安装语言包和按需语言功能包。 如果想要限制 Windows 语言使用限制 Windows 语言，则此策略不会限制切换 Windows 语言，该策略将限制 Windows 语言，该策略将限制 Windows 语言。

确定不是管理员的用户是否可以在此计算机上安装打印机驱动程序。 默认情况下，非管理员用户无法在此计算机上安装打印驱动程序。

指定 DNS 客户端是否将通过 HTTPS (DoH) 通过 DNS 执行名称解析。 默认情况下，DNS 客户端将通过 UDP 或 TCP) 执行经典 DNS 名称解析 (。 此设置可以增强 DNS 客户端，以使用 DoH 协议解析域名。

若要使用此策略设置，请选择“ 已启用” ，然后从下拉菜单中选择以下选项之一：

如果关闭此策略设置或未配置此策略设置，计算机将使用本地配置的设置。

确定是否为此计算机上打印强制执行设备控制打印限制。

默认情况下，根据连接类型或打印机制作/型号打印没有限制。

此设置是设备控制打印限制的一个组件。 若要使用此设置，请打开 “启用设备控制打印限制 ”设置。

当设备控制打印处于打开状态时，系统会使用指定的 vid/pid 值列表来确定当前 USB 连接的打印机是否被批准用于本地打印。 输入所有批准的 vid/pid 组合 (用逗号分隔，) 对应于批准的 USB 打印机型号。

当用户尝试打印到 USB 打印机队列时，会将设备 vid/pid 与批准列表进行比较。

如果启用此策略设置，则可以将“开始”菜单配置为显示或隐藏用户最常用的应用列表，而不考虑用户设置。

将此策略配置为在受支持的Windows 10版本上显示或隐藏优先于与“开始菜单”策略设置中的“删除常用程序”列表一起使用的任何设置。 “从开始菜单中删除常用程序”列表设置管理“开始”菜单的相同部分，但选项较少。

此策略为特定环境设置特殊的 WNS FQDN。

当多个安装策略设置适用于给定设备时，此策略设置将更改应用“允许”和“阻止”策略设置的评估顺序。

启用此策略设置以确保基于已建立的层次结构应用重叠的设备匹配条件，其中更具体的匹配条件取代了不太具体的匹配条件。

指定设备匹配条件的策略设置的分层评估顺序是设备实例 ID > 设备 ID > 设备设置类 > 可移动设备设备实例 ID1。 阻止使用与这些设备实例 ID 匹配的驱动程序安装设备2。

如果同时打开这些冲突的策略设置，则会启用 “允许”和“阻止跨所有设备匹配条件的设备安装策略应用分层评估顺序 ”策略设置，并忽略其他策略设置。 如果关闭或未配置此策略设置，则使用默认评估。

默认情况下，所有 “阻止安装...” 策略设置优先于允许 Windows 安装设备的任何其他策略设置。

默认情况下，NTFS 根据需要从可分页内存和非分页内存中分配内存。 启用此设置会告知 NTFS 对所有分配使用不可分页内存。 NTFS 还会将其所有代码节更改为不可分页。 启用此功能的好处是减少了页面故障和堆栈使用量，但代价是占用更多内存。 此设置需要重启才能生效。

对于 NTFS 分层卷，此设置控制新分配默认转到的层。 客户端系统默认为性能层。 服务器系统默认为“容量”层。

从内存刷新修改的文件数据时，NTFS 会根据当前打开的文件数选择使用一个或多个线程。 此设置用于控制用于触发并行刷新的打开文件阈值。

从内存刷新修改的文件数据时，NTFS 会根据当前打开的文件数选择使用一个或多个线程。 此设置用于控制使用的线程数。 增大此值可能会减少刷新卷所需的时间，但刷新可能会对其他并发 IO 操作产生较大影响。 具有特殊含义的值：

此设置的默认值和限制因给定系统上的可用处理器数而异。 默认值计算为： (([NumProcessors]/2) + 1) - Default max value calculation is: ([NumProcessors]*2)

此策略设置允许在登录期间检索云 kerberos 票证。

此策略设置配置在注册 SRV 记录时，应用此设置的域控制器是否将其 DNS 主机名小写。

如果启用此设置，则域控制器会在注册域控制器 SRV 记录时将其 DNS 主机名小写。 将尽最大努力删除任何以前注册的包含混合大小写 DNS 主机名的 SRV 记录。 有关详细信息和可能的手动清理过程，请参阅 小写主机名记录。

此策略设置允许配置域控制器如何处理Windows Hello 企业版 (WHfB) 密钥，这些密钥容易受到“铜匠攻击的返回” (ROCA) 漏洞。 有关详细信息，请参阅 ROCA 漏洞。

如果启用此策略设置，则支持以下选项：

如果未配置，则域控制器默认使用其本地配置。 默认本地配置为 Audit。 对此设置的更改无需重新启动即可生效。

为避免意外中断，在执行适当的修正（例如修补易受攻击的 TPM）之前，不应将此设置设置为“阻止”

此策略设置控制系统是否可以存档不常使用的应用。

管理旁加载应用在后台自动更新的能力。

管理旁加载应用在按流量计费的网络上的后台自动更新的能力。

如果关闭或未配置此策略设置，组织中的员工可以通过在设备上使用“设置隐私” > 来决定 Windows 应用是否可以拍摄各种窗口的屏幕截图或显示。

如果应用在设备上应用此组策略对象时处于打开状态，则员工必须重启应用或设备，才能将策略更改应用到该应用。

此策略设置指定 Windows 应用是否可以关闭屏幕截图边框。 可以通过指定包系列名称来指定所有应用的默认设置或按应用设置。 可以使用 Get-AppPackage Windows PowerShell cmdlet 获取应用的包系列名称。 每应用设置将替代默认设置。

如果你关闭或不配置此策略设置，则组织中的员工可以通过在设备上使用“设置隐私” > 来决定 Windows 应用是否可以关闭屏幕截图边框。

如果应用在设备上应用此组策略对象时处于打开状态，则员工必须重启应用或设备，才能将策略更改应用到该应用。

使用此策略设置，可以在任务栏上配置“聊天”图标。

此策略设置允许关闭所有 Windows 体验中的云使用者帐户状态内容。

此策略设置控制 Windows 是否尝试与 OneSettings 服务连接。

此策略设置控制 Windows 记录是否尝试通过 OneSettings 服务连接到 EventLog。

当需要更多信息来排查设备上的问题时，此策略设置控制是否收集更多诊断日志。 仅当设备配置为发送可选诊断数据时，才会发送诊断日志。

此策略设置限制在需要更多信息来排查问题时可以收集的转储类型。 仅当设备配置为发送可选诊断数据时，才会发送转储。

确定“离开锁定”是否由 MDM 策略强制打开/关闭。 用户无法更改此设置，并且用户体验中的切换开关灰显。

确定 MDM 策略是否强制打开/关闭到达时唤醒。 用户无法更改此设置，并且用户体验中的切换开关灰显。

确定 MDM 策略强制在离开时锁定的超时。 用户无法更改此设置，并且用户体验中的切换开关灰显。

此策略设置指定是否为基于 MSHTML/WebOC 的调用加载 JScript 或 JScript9Legacy。 如果启用此策略设置， JScript9Legacy 则会在实例化 JScript 的情况下加载 。 如果关闭或未配置此策略，则使用 JScript。

通过此策略设置，可以配置计划的扫描开始时间和计划的安全智能更新开始时间窗口 () 数小时。

此策略设置允许配置将支持日志文件复制到的目录路径。 此设置的值应为有效的目录路径。

按照设备控制策略组 xml 架构填写策略组数据。

按照设备控制策略组 xml 架构填写策略组数据。

允许管理员显式禁用对一组特定 IP 地址进行的 wdnisdrv 网络数据包检查。

此配置依赖于配置 EnableNetworkProtection 。 如果此配置为 false， EnableNetworkProtection 则忽略 ，否则网络保护在 Windows Server 上启动，具体取决于 的值 EnableNetworkProtection。

此配置依赖于配置 EnableNetworkProtection 。 如果此配置为 false， EnableNetworkProtection 则忽略 ，否则网络保护在 Windows Server 上启动，具体取决于 的值 EnableNetworkProtection。

此策略设置允许配置脚本扫描。

设置选项：

此策略设置确定在本地计算机上运行的用户界面 (UI) 自动化客户端应用程序是否可以访问服务器上的 UI 元素。

UI 自动化：

向程序提供对大多数 UI 元素的访问权限。 可以使用需要与 UI 交互才能正常工作的辅助技术产品，例如放大镜和讲述人。

允许自动测试脚本与 UI 交互。 远程桌面会话当前不支持UI 自动化重定向。

如果打开或未配置此策略设置，本地计算机上的任何UI 自动化客户端都可以与远程应用交互。 例如，可以使用本地计算机的“讲述人”和“放大镜”客户端与在远程会话中打开的网页上的 UI 进行交互。

如果关闭此策略设置，则在本地计算机上运行的UI 自动化客户端无法与远程应用交互。

通过此策略设置，可以控制在远程桌面服务会话中将位置数据重定向到远程计算机。 默认情况下，远程桌面服务允许重定向位置数据。

此设置为Microsoft Entra ID 启用和配置基于设备的租户限制功能。 启用此设置时，根据Microsoft Entra租户中设置的策略，将阻止合规应用程序访问不允许的租户。

需要在主租户中创建策略，建议对托管设备采取更多安全措施，以获得最佳保护。

有关详细信息，请参阅在启用防火墙保护之前Microsoft Entra租户限制，以确保将正确标记应用程序的Windows Defender应用程序控制 (WDAC) 策略应用于目标设备。

在没有相应的 WDAC 策略的情况下启用防火墙保护会阻止所有应用程序访问 Microsoft 终结点。 并非所有版本的 Windows 都支持此防火墙设置。 有关详细信息，请参阅 使用租户限制设置 WDAC |

此策略指定是否允许在设备上使用小组件功能。 默认情况下，小组件处于打开状态，除非你在设置中更改此策略。 如果之前已打开此设置，除非将其关闭，否则它会自动保持打开状态。

使用此策略设置可将Windows Hello 企业版配置为使用 Microsoft Entra Kerberos 进行本地身份验证。

同时启用此策略设置和使用Windows Hello 企业版策略设置的环境需要一个或多个Windows Server 2016域控制器。 否则，Windows Hello 企业版身份验证失败。

此策略设置打开或 ogg 音频输入到沙盒。

此策略设置启用或禁用与沙盒的剪贴板共享。

此策略设置打开或关闭沙盒中的网络。 可以禁用网络访问，以减少沙盒公开的攻击面。

此策略设置打开或关闭从主机到沙盒的打印机共享。

此策略设置打开或关闭虚拟化 GPU。

此策略设置打开或关闭沙盒的视频输入。

启用此策略后，设备将接收从指定更新源列出的类的 Windows 更新：Windows 更新 或 Windows Server 更新服务。

若要从 Windows Server 更新服务接收任何更新，必须通过指定 Intranet Microsoft 更新服务位置策略正确配置 Intranet Microsoft 更新服务位置 。