AppLocker：企業級應用程式管控的利器
Windows 7 推出的 AppLocker（應用程式鎖定） 功能，透過規則限制使用者只能執行指定程式、安裝核准軟體、執行受信任腳本，有效保護系統完整性與資料安全。對於共用電腦、企業環境或家長管控，都是極佳的防護機制。
核心功能與應用場景
- 可執行檔規則：控制 .exe、.com 等執行檔是否允許執行
- Windows 安裝程式規則：限制 .msi、.msp 安裝套件的安裝權限
- 腳本規則：管控 .ps1、.bat、.cmd、.vbs、.js 等腳本執行
- 封裝應用程式規則：管理 AppX 封裝應用程式（Windows 8+ 新增）
典型應用：防止員工隨意安裝軟體、阻擋惡意程式執行、限制兒童存取特定程式、確保僅執行經簽章驗證的應用程式。
設定步驟詳解
1. 開啟群組原則編輯器
按 Win+R 輸入 gpedit.msc，依序展開：
電腦設定 → Windows 設定 → 安全性設定 → 應用程式控制原則 → AppLocker
2. 建立新規則（以封鎖 C 槽安裝軟體為例）
- 右鍵點選「Windows 安裝程式規則」→「建立新規則」
- 「權限」頁面：動作選「拒絕」，指定使用者或群組
- 「條件」頁面：選擇「路徑」規則類型
- 輸入路徑：
C:\*（封鎖整個 C 槽）
- 「例外」頁面：可新增允許的子資料夾（如
C:\Program Files\AllowedApp\*）
- 完成精靈，規則即列入清單
3. 啟用規則強制執行
- 點選左側「AppLocker」節點
- 右側點選「設定規則執行」
- 勾選「Windows Installer 規則」→ 選擇「強制執行規則」
- 按確定套用
進階技巧與注意事項
- 發布者規則：依數位簽章（發行者、產品名稱、版本）允許執行，支援「版本以上」條件，自動涵蓋未來更新版本，大幅減少維護成本
- 稽核模式：先設為「僅稽核」觀察記錄，確認無誤後再改為「強制執行」
- 規則優先順序：明確拒絕 > 明確允許 > 預設規則
- 需搭配 Application Identity 服務：服務必須設為「自動」啟動，否則規則不生效
AppLocker vs 軟體限制原則 (SRP)
| 特性 | AppLocker | SRP (XP/Win7 相容) |
|---|
| 規則類型 | 路徑、雜湊、發布者 | 路徑、雜湊、網路區域 |
| 版本控制 | 支援版本範圍 | 不支援 |
| 例外處理 | 內建例外規則 | 需另建規則 |
| 稽核模式 | 內建 | 無 |
| 適用版本 | Win7 企業版/旗艦版、Win8/10/11 Pro/Ent | 所有版本 |
AppLocker 讓 IT 管理員能輕鬆實現「最小權限原則」，配合發布者規則與稽核模式，兼顧安全性與彈性。若您管理多部電腦，請務必善用此功能。
