Windows 7 AppLocker 與軟體限制原則：精準掌控程式執行權限

Windows 7 提供兩層程式執行控制機制：傳統「軟體限制原則」 (SRP) 與全新「AppLocker」，後者支援針對特定使用者/群組、以發行者/路徑/雜湊三種條件彈性制定規則，適合多使用者共用電腦環境。

一、軟體限制原則 (SRP)：簡單的黑/白名單

1. Win+R → gpedit.msc → 使用者設定 → 系統管理範本 → 系統。
2. 「不要執行指定的 Windows 應用程式」 (黑名單) 或「只執行指定的 Windows 應用程式」 (白名單) → 啟用 → 「顯示」新增完整檔名 (含副檔名)。
3. 套用後嘗試執行被封鎖程式，系統彈出「已被限制」對話方塊。

二、AppLocker：企業級精細控制

啟用前置作業

控制台 → 系統及安全性 → 系統管理工具 → 服務 → Application Identity 設為「自動」並啟動。

建立規則流程

1. gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 應用程式控制原則 → AppLocker。
2. 右鍵「可執行檔規則」 → 「建立預設規則」 (確保系統核心程式正常執行)。
3. 右鍵 → 「建立新規則」 → 精靈引導：
   動作：允許/拒絕。
   使用者/群組：指定對象 (如 Everyone、特定帳號)。
   條件類型：
     • 發行者：以數位簽章為依據，可用滑桿調整範圍 (特定版本 → 同產品所有版本 → 同發行者所有產品)。
     • 路徑：指定資料夾/檔案路徑 (支援萬用字元)。
     • 檔案雜湊：針對特定檔案二進位內容，版本升級即失效。
   例外：可排除特定檔案。
   命名規則 → 建立。

規則生效時機

AppLocker 規則需透過群組原則更新 (gpupdate /force) 或重開機生效。適用於 Windows 7 專業版/企業版/旗艦版，家用版不支援。

AppLocker 的發行者條件極具彈性：若要封鎖所有騰訊軟體，只需選一個 QQ.exe 並將滑桿拉至「發行者」層級，即可一勞永逸。