NVIDIA驱动安装时提示“拒绝访问”，无法写入系统关键路径

Question

NVIDIA驱动安装时提示“拒绝访问”（Access Denied），常因系统关键路径（如`C:\Windows\System32\DriverStore\FileRepository`、`C:\Windows\System32\drivers\nvlddmkm.sys`）受Windows内核保护机制（如驱动签名强制策略、PatchGuard、可信平台模块TPM/Secure Boot协同防护）或第三方安全软件（如杀毒软件、EDR工具）实时拦截所致。即使以管理员身份运行安装程序，若未禁用驱动程序强制签名（需在启动设置中启用“禁用驱动程序强制签名”）、关闭Windows Defender核心隔离（Memory Integrity）、临时停用防病毒软件，或存在旧驱动残留（如未彻底卸载的GeForce Experience组件、残留服务/注册表项），均会导致写入失败。此外，某些OEM预装系统（如戴尔、惠普）启用了UEFI固件级驱动白名单，亦会静默阻止非认证驱动加载。建议使用DDU（Display Driver Uninstaller）在安全模式下彻底清理后，再以管理员权限+禁用内存完整性+关闭实时防护方式重装。

Answer 1

```html

一、现象层：典型错误表现与日志线索定位

安装NVIDIA驱动时弹出“Access Denied”（拒绝访问）错误，常见于Setup.exe执行阶段或静默安装过程中。事件查看器中可查到Event ID 10016（DCOM权限异常）、Event ID 7000（服务启动失败）及Event ID 219（驱动加载签名验证失败）。系统日志常显示Failed to copy nvlddmkm.sys to C:\Windows\System32\drivers\，或Unable to update driver store in FileRepository。此层需优先确认是否为表象误判——例如用户未以提升的管理员权限运行安装包（右键→“以管理员身份运行”不可替代UAC提权上下文）。

二、权限层：Windows内核保护机制深度解析

• 驱动程序强制签名（Driver Signature Enforcement, DSE）：自Windows 10 1607起默认启用，要求所有内核模式驱动必须由微软认证签名；禁用需通过高级启动→“禁用驱动程序强制签名”（仅临时生效）
• 内存完整性（Core Isolation / Memory Integrity）：基于Hypervisor-protected Code Integrity（HVCI），阻止未签名/非可信驱动映射至内核空间；注册表路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity
• PatchGuard（KPP）与Secure Boot协同防护：TPM 2.0 + UEFI Secure Boot组合下，任何对ntoskrnl.exe、ci.dll或驱动加载链（如ci.dll → ci!CiValidateImageHeader）的绕过尝试均触发BSOD 0x109（CRITICAL_STRUCTURE_CORRUPTION）

三、环境层：第三方安全软件与OEM固件级干预

干扰源类型	典型表现	检测/验证方法
EDR/XDR平台（如CrowdStrike、Microsoft Defender for Endpoint）	无弹窗拦截，但nvlddmkm.sys写入后立即被回滚，Process Monitor捕获STATUS_ACCESS_DENIED且堆栈含csagent.sys或wdboot.sys	执行Get-WinEvent -FilterHashtable @{LogName='System'; ID=1102} | Where-Object Message -like "*nvlddmkm*"
OEM UEFI驱动白名单（Dell Command | Update、HP Sure Start）	驱动安装成功但GPU设备管理器中显示“Windows 已阻止此驱动程序”，属性→“驱动程序”页签提示“该驱动程序未通过Windows徽标测试”	UEFI固件设置中检查Driver Signing Policy或Secure Boot Mode是否设为Standard而非Custom

四、残留层：GeForce Experience与驱动卸载不彻底的隐性风险

常规“控制面板→卸载程序”仅移除UI组件，以下残留项将导致文件锁死或注册表冲突：

• 服务残留：NVIDIA Display Container LS、NVIDIA LocalSystem Container（即使停止仍占用nvapi64.dll句柄）
• 注册表键值：HKEY_LOCAL_MACHINE\SOFTWARE\NVIDIA Corporation\Installer2下残留DriverVersion与InstallPath指向已删除路径
• 驱动存储库冗余：C:\Windows\System32\DriverStore\FileRepository\中存在多个nvwgf2um.inf_*版本目录，部分被pnputil /enum-drivers标记为DISABLED但仍锁定底层SYS文件

五、工程化解决方案：DDU标准化清理流程

graph TD A[进入安全模式
Win+R → msconfig → 引导→安全引导] --> B[以管理员运行DDU v24.0.5.0] B --> C{选择GPU厂商} C -->|NVIDIA| D[勾选“清理后重启”+“删除GeForce Experience”] D --> E[执行清理并自动重启] E --> F[重启后禁用Memory Integrity
设置→隐私和安全性→Windows 安全中心→设备安全性→核心隔离→关闭] F --> G[临时禁用防病毒实时保护
PowerShell: Set-MpPreference -DisableRealtimeMonitoring $true] G --> H[以管理员运行NVIDIA驱动离线安装包
推荐使用Studio Driver 551.86或Game Ready 555.85]

六、验证层：安装后关键指标校验清单

1. 运行driverquery /v | findstr nvlddmkm，确认状态为“Running”，签名状态为“Signed”
2. 执行signtool verify /pa /q C:\Windows\System32\drivers\nvlddmkm.sys，返回0表示签名链完整
3. 检查dxdiag中“显示”页签，“驱动程序模型”应为WDDM 3.1（RTX 40系）或WDDM 3.0（RTX 30系）
4. 运行Get-CimInstance Win32_VideoController | Select-Object Name, DriverVersion, Status，Status字段必须为“OK”
5. 在Event Viewer → Windows Logs → System中筛选Source为NVIDIA的事件，确认ID 12（初始化成功）与ID 15（性能优化完成）存在

```