Windows 7 程式執行管控大師：白名單/黑名單 (群組原則) 與 AppLocker 進階規則完整教學

Win 7 內建兩層程式執行管控機制，從簡單的白/黑名單到強大的 AppLocker，滿足家庭到企業各層級需求。

第一層：軟體限制原則 (SRP) — 白名單/黑名單

路徑：Win+R → gpedit.msc → 使用者設定 → 管理範本 → 系統 →

• 不要執行指定的 Windows 應用程式 (黑名單)：列入清單的程式禁止執行。
• 只執行指定的 Windows 應用程式 (白名單)：**僅允許清單內程式執行**，更嚴格。

設定方式：啟用 → 顯示 → 新增 → 輸入完整檔名 (含 .exe)。適用全用戶或特定用戶 (配合安全性篩選)。

第二層：AppLocker (應用程式控制原則) — 企業級精細管控

**Win 7 企業版/旗艦版專屬**，比 SRP 強大得多：

前置需求

1. 控制台 → 系統與安全性 → 管理工具 → 服務 → Application Identity 設為「自動」並啟動。
2. 以管理員身分開啟 gpedit.msc。

規則類別與靈活條件

• 執行檔規則 (.exe/.com)
• Windows 安裝程式規則 (.msi/.msp)
• 指令碼規則 (.ps1/.bat/.cmd/.vbs/.js)

每類規則支援三種條件模式：

實戰範例：禁止 QQ 全系列

1. 電腦設定 → Windows 設定 → 安全性設定 → 應用程式控制原則 → AppLocker → 執行檔規則。
2. 右鍵 → 建立預設規則 (保證系統程式可執行)。
3. 右鍵 → 建立新規則 → 拒絕 → 使用者/群組選「Everyone」。
4. 條件選「發行者」 → 瀏覽選取 QQ.exe → 滑桿拉到「產品名」 → 所有版本 QQ 全擋。
5. 下一步 → 命名 → 建立。

效果：任意用戶執行任何版本 QQ 皆被阻擋，彈出封鎖提示。

SRP vs AppLocker 選擇指南

建議

• 家庭/小型環境：SRP 黑名單擋遊戲/特定程式即可。
• 企業/需精細管控：必須上 AppLocker，**善用發行者條件滑桿**，一次設定覆蓋全系列產品與未來版本。
• 部署前**務必建立預設規則**，避免系統核心程式被誤攔截導致無法開機。

Win 7 給你程式執行的**完全掌控權**，用好它構建安全合規環境。