Blokowanie aplikacji na urządzeniach z systemem Windows 10 lub 11 za pomocą ustawień niestandardowych

1. Użyj generatora identyfikatorów GUID online, by uzyskać losowy identyfikator GUID. Wskazówka: w wyszukiwarce poszukaj generatora identyfikatorów GUID online.
2. Jeśli chcesz zablokować konkretną aplikację, znajdź informacje na jej temat. Jeśli chcesz zablokować wszystkie aplikacje o określonym typie pliku, możesz pominąć ten krok.
   1. Na urządzeniu z systemem Windows pobierz plik wykonywalny aplikacji (plik z końcówką .exe), którą chcesz dodać jako zablokowaną lub dozwoloną.
   2. Otwórz PowerShell.
   3. Uruchom polecenie Get-AppLockerFileInformation -path PathToExe | format-list, gdzie PathToExe to ścieżka pliku wykonywalnego.
   4. W odpowiedzi znajdź i zapisz wartości znajdujące się w wierszu Publisher. Wartości mają format przedstawiony poniżej i odpowiadają wartościom, których użyjesz w pliku XML:

      PublisherName\ProductName\BinaryName,BinaryVersion

      Nazwa wydawcy to długi ciąg tekstowy, np. O=MICROSOFT CORPORATION, L=REDWOOD, S=WASHINGTON, C=US. Musisz uwzględnić go w całości.

3. Skopiuj zawartość pliku XML poniżej do edytora tekstu:

   <RuleCollection Type="Type" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name=PolicyName Description=PolicyDescription UserOrGroupSid=UserOrGroupSid Action=[Allow|Deny]>
     <Conditions>
       <FilePublisherCondition PublisherName=PublisherName BinaryName=BinaryName ProductName=ProductName>
         <BinaryVersionRange HighSection=latestVersion LowSection=earliestVersion />
       </FilePublisherCondition>
     </Conditions>
   </FilePublisherRule>
</RuleCollection>

4. Edytuj plik XML, by zastąpić symbole zastępcze wartościami. Jeśli szukasz określonych przypadków użycia, np. grupowania wielu zasad w jednym pliku, zobacz te przykłady.

   Symbol zastępczy	Wartość
   Typ	Typ pliku aplikacji (musi być zgodny z identyfikatorem OMA-URI): w przypadku plików EXE wpisz "Exe" w przypadku plików MSI wpisz "Msi" w przypadku plików skryptu wpisz "Script" w przypadku plików DLL wpisz "Dll" w przypadku aplikacji ze sklepu Microsoft Store wpisz "Appx"
   GUID	Identyfikator GUID wygenerowany w kroku 1
   PolicyName	Nazwa zasady. Możesz użyć dowolnego ciągu tekstowego.
   PolicyDescription	Opis zasady.
   UserOrGroupSid	Użytkownicy lub grupy, do których stosowana jest zasada: Aby zastosować zasadę do wszystkich użytkowników na urządzeniu, wpisz S-1-1-0. Aby zastosować zasadę do określonego użytkownika, wpisz jego identyfikator SID. Aby go uzyskać, w wierszu polecenia wpisz i uruchom: wmic nazwa_użytkownika get name,sid gdzie nazwa_użytkownika to nazwa użytkownika urządzenia. Jeśli nie znasz nazwy użytkownika, wyświetl listę wszystkich użytkowników urządzenia, uruchamiając polecenie: wmic useraccount get name,sid Możesz wpisać tylko jedną nazwę użytkownika. Aby zastosować zasadę do większej liczby użytkowników, umieść ich w grupie lub skopiuj daną zasadę i zaktualizuj nazwę. Aby zastosować zasadę do określonej grupy, wpisz jej identyfikator SID. Aby go uzyskać, w wierszu polecenia wpisz i uruchom: wmic nazwa_grupy get name,sid gdzie nazwa_grupy to nazwa grupy na urządzeniu. Jeśli nie znasz nazwy grupy, uzyskaj listę wszystkich grup na urządzeniu, uruchamiając polecenie: wmic group get name,sid
   Allow|Deny	Wybierz sposób, w jaki dana zasada ma działać – czy ma ona blokować określone aplikacje czy na nie zezwalać.
   PublisherName	Nazwa wydawcy aplikacji (PublisherName z kroku 2). Możesz użyć symbolu wieloznacznego *, ale symbole wieloznaczne wyrażenia regularnego, prefiksu lub sufiksu nie są obsługiwane.
   BinaryName	Nazwa pliku binarnego (BinaryName z kroku 2). Możesz użyć symbolu wieloznacznego *, ale symbole wieloznaczne wyrażenia regularnego, prefiksu lub sufiksu nie są obsługiwane. Jeśli na przykład chcesz blokować wszystkie pliki EXE, wpisz *, a po dodaniu ustawienia niestandardowego wybierz identyfikator OMA-URI, który kończy się na /EXE/Policy.
   ProductName	Nazwa produktu (ProductName z kroku 2). Możesz użyć symbolu wieloznacznego *, ale symbole wieloznaczne wyrażenia regularnego, prefiksu lub sufiksu nie są obsługiwane.
   latestVersion	Numer najnowszej wersji aplikacji objętej daną zasadą. Aby zablokować wszystkie wersje aplikacji, wpisz *.
   earliestVersion	Numer najstarszej wersji aplikacji objętej daną zasadą. Aby zablokować wszystkie wersje aplikacji, wpisz *.

5. Zapisz plik.

1. Wykonaj instrukcje z sekcji „Generating the XML” (Generowanie pliku XML) artykułu firmy Microsoft. Przestań wykonywać te instrukcje, gdy dotrzesz do sekcji „Creating the Policy” (Tworzenie zasady).

   Uwaga: instrukcje te zawierają opis sposobu tworzenia zasady dla aplikacji, która jest już zainstalowana na urządzeniu. Aby utworzyć zasadę dla aplikacji niezainstalowanej na danym urządzeniu, w kroku 6 wybierz Use a packaged app installer as a reference (Użyj aplikacji w pakiecie instalatora jako odniesienia).

2. Po wyeksportowaniu pliku XML w edytorze zasad grupy usuń utworzoną zasadę. W przeciwnym razie zasada będzie stosowana na urządzeniu.

Ta zasada pozwala użytkownikom instalować tylko podpisane aplikacje. Blokuje ona jednocześnie instalowanie niepodpisanych aplikacji o typie pliku określonym w identyfikatorze OMA-URI.

Aby zablokować wszystkie niepodpisane aplikacje z wszystkimi typami plików, dodaj odpowiednie ustawienie niestandardowe dla każdego typu pliku, a jako wartości użyj pliku XML poniżej.

Uwaga: w tagu RuleCollection wartość Type (Typ) musi odpowiadać typowi pliku aplikacji. Wartością może być "Exe" (pliki EXE), "Msi" (pliki MSI), "Script" (pliki skryptów), "Dll" (pliki DLL) lub "Appx" (pliki aplikacji dostępnych w sklepie Microsoft Store). W tagu FilePublisherRule zastąp ciąg GUID losowym identyfikatorem GUID uzyskanym z generatora identyfikatorów GUID online.

<RuleCollection Type="Type" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Dopuść podpisane aplikacje" Description="Dopuszcza uruchomienie podpisanych aplikacji" UserOrGroupSid="S-1-1-0" Action="Allow">
     <Conditions>
       <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">   
         <BinaryVersionRange LowSection="*" HighSection="*" />
       </FilePublisherCondition>
     </Conditions>
   </FilePublisherRule>      
</RuleCollection> 

Aby blokować aplikacje, musisz zawrzeć sekcję <FilePublisherRule>, która dopuści określone aplikacje, i bloki <FilePublisherRule> dla każdej blokowanej aplikacji.

Ogólny format to:

<RuleCollection Type="Type" EnforcementMode="Enabled">
  <FilePublisherRule...>
    ...dopuść aplikacje...
  </FilePublisherRule>
  <FilePublisherRule...>
    ...warunki dla pierwszej blokowanej aplikacji...
  </FilePublisherRule>
  <FilePublisherRule...>
    ...warunki dla drugiej blokowanej aplikacji...
  </FilePublisherRule>
</RuleCollection>

Uwaga: w tagu RuleCollection wartość Type (Typ) musi odpowiadać typowi pliku aplikacji. Wartością może być "Exe" (pliki EXE), "Msi" (pliki MSI), "Script" (pliki skryptów), "Dll" (pliki DLL) lub "Appx" (pliki aplikacji dostępnych w sklepie Microsoft Store). W tagu FilePublisherRule zastąp ciąg GUID losowym identyfikatorem GUID uzyskanym z generatora identyfikatorów GUID online.

Na przykład ta zasada uniemożliwi użytkownikom uruchomienie zarówno aplikacji „A”, jak i aplikacji „B” (obie o typu pliku EXE):

<RuleCollection Type="Exe" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Dopuść podpisane aplikacje" Description="Dopuszcza uruchomienie podpisanych aplikacji" UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
  <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Blokuj aplikację A" Description="Blokuje aplikację A wszystkim użytkownikom" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=nazwa dewelopera, L=London, C=GB" ProductName="APLIKACJA A" BinaryName="APPA.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" /> 
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Blokuj aplikację B" Description="Blokuje aplikację B wszystkim użytkownikom" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Solarmora Inc, L=Mountain View, S=California, C=US" ProductName="APLIKACJA B" BinaryName="APPB.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" /> 
      </FilePublisherCondition> 
    </Conditions>
 </FilePublisherRule>
</RuleCollection>

_{Google, Google Workspace oraz powiązane znaki i logotypy są znakami towarowymi firmy Google LLC. Wszystkie inne nazwy firm i produktów są znakami towarowymi odpowiednich podmiotów.}