Win7 AppLocker 應用程式控制原則：限制使用者只能執行指定程式、安裝指定軟體

Win7 專業版/企業版/旗艦版內建 AppLocker (應用程式控制原則)，可透過規則限制使用者僅能執行核准的程式、安裝核准的安裝檔、執行核准的腳本，保護系統不被亂裝軟體破壞。

開啟與建立規則流程

1. Win + R → gpedit.msc → 群組原則編輯器。
2. 展開：電腦設定 → Windows 設定 → 安全性設定 → 應用程式控制原則 → AppLocker。
3. 右側點「設定規則執行」→ 三類規則：執行檔規則、Windows 安裝程式規則、腳本規則。

範例：禁止使用者在 C 槽安裝軟體 (Windows 安裝程式規則)

1. 右鍵「Windows 安裝程式規則」→ 「建立新規則」。
2. 「權限」頁：動作選「拒絕」→ 選擇目標使用者/群組。
3. 「條件」頁：選「路徑」→ 路徑輸入 C:\* (禁止 C 槽所有 MSI 安裝)。
4. 「例外」頁：可加入允許安裝的特定資料夾/檔案（如 C:\ApprovedInstalls\*）。
5. 完成精靈 → 規則列表出現新規則。

啟用規則強制執行

1. 點選「AppLocker」節點 → 右側「設定規則執行」。
2. 「Windows Installer 規則」選「強制執行規則」→ 確定。
3. 同理可對「執行檔規則」、「腳本規則」啟用強制。

重要： 首次建立規則會提示建立「預設規則」，務必選「是」，否則系統關鍵執行檔也會被攔截導致無法開機。預設規則允許系統目錄、Program Files 等路徑執行。

適用場景

• 共用電腦防止他人亂裝軟體
• 兒童帳號限制遊戲/特定程式執行
• 企業標準化環境僅允許核准軟體
• Kiosk/公用終端機鎖定僅能執行特定應用

限制： 家用版無群組原則/ AppLocker。規則以路徑/發布者/檔案雜湊為條件，發布者條件最強健（簽名驗證），路徑條件易被搬移檔案繞過。