Win 7 程式執行控制全攻略：群組原則「白/黑名單」與 AppLocker 進階規則

企業或共用電腦環境常需限制使用者僅能執行特定程式，或禁止特定程式（如遊戲、P2P 軟體）。Win 7 提供兩層機制：傳統「軟體限制原則」（SRP）與全新 AppLocker，後者支援針對使用者/群組、發布者/路徑/雜湊三種條件、具備稽核模式，功能強大得多。

一、群組原則：簡易「只執行指定程式」/「禁止指定程式」

1. 執行 gpedit.msc 開啟「本機群組原則編輯器」。
2. 依序展開：
   使用者設定 → 系統管理範本 → 系統
3. 右側找到：
   • 不執行指定的 Windows 應用程式（黑名單）
   • 只執行指定的 Windows 應用程式（白名單）
4. 雙擊欲啟用的項目→選「已啟用」→點「顯示」→在清單輸入完整執行檔名稱（含副檔名，如 notepad.exe、qq.exe）→確定層層套用。

設定生效後，使用者嘗試執行被封鎖程式會彈出「限制」對話框。此法雖簡單但僅能針對檔名，易被改名繞過。

二、AppLocker：企業級彈性控制

前置作業：啟用 Application Identity 服務

1. 控制台→系統及安全性→管理工具→服務。
2. 找到 Application Identity，啟動類型改「自動」，並啟動服務。

建立可執行檔規則範例：禁止特定使用者執行 QQ 所有版本

1. 以管理員身分執行 gpedit.msc。
2. 展開：
   電腦設定 → Windows 設定 → 安全性設定 → 應用程式控制原則 → AppLocker → 可執行檔規則
3. 右鍵空白處→「建立預設規則」（確保系統必要程式可執行）。
4. 右鍵→「建立新規則」→嚮導：
   • 動作：拒絕
   • 使用者/群組：點「選取」→「進階」→「立即尋找」→選擇目標使用者或 Everyone（全體）
   • 條件類型：選 發布者（最彈性）
5. 點「瀏覽」選取 QQ.exe，下方滑桿預設鎖定特定版本。
   → 向上拖動滑桿至「產品名稱」層級 → 所有 QQ 版本皆受限。
   → 再拖至「發布者」層級 → 騰訊所有簽章程式皆受限。
6. 完成嚮導，可命名規則（如「封鎖騰訊全家桶」）。

同理可建立「Windows 安裝程式規則」（限制 .msi/.msp）與「指令碼規則」（限制 .ps1/.bat/.vbs/.js）。AppLocker 規則會立即生效，無需重開機。

進階應用：稽核模式

在 AppLocker 節點右鍵→「內容」→勾選「設定此原則類別的規則執行模式為『僅稽核』」。此模式下不會阻擋執行，但會在事件檢視器 應用程式與服務記錄 → Microsoft → Windows → AppLocker → EXE and DLL 記錄違規事件，方便上線前驗證規則正確性。

善用 AppLocker，即可精準掌控 Win 7 環境下每位使用者的程式執行權限，兼顧安全與彈性。