談在WindowsServer中使用軟件限制策略

在WindowsServer2003中使用軟件限制策略概要本文說明如何在WindowsServer2003中使用軟件限制策略。使用軟件限制策略可以標(biāo)識并指定允許運(yùn)行的軟件，以便保護(hù)您的計(jì)算機(jī)環(huán)境不會受到不可信代碼的攻擊。使用軟件限制策略時(shí)，可以為組策略對象(GPO)定義兩種默認(rèn)安全級別（分別是無限制和不允許）中的一種，使得在默認(rèn)情況下或者允許軟件運(yùn)行，或者不允許軟件運(yùn)行。要?jiǎng)?chuàng)建此默認(rèn)安全級別的特例，可以創(chuàng)建針對特定軟件的規(guī)則?？梢詣?chuàng)建以下幾種規(guī)則：?哈希規(guī)則?證書規(guī)則?路徑規(guī)則?Internet區(qū)域規(guī)則一個(gè)策略由默認(rèn)安全級別和所有應(yīng)用于GPO的規(guī)則組成。此策略可以應(yīng)用于所有的計(jì)算機(jī)或者個(gè)別用戶。軟件限制策略提供了許多標(biāo)識軟件的方法，它們還提供了基于策略的基礎(chǔ)結(jié)構(gòu)，以便強(qiáng)制執(zhí)行關(guān)于軟件是否可以運(yùn)行的決定。有了軟件限制策略，用戶在運(yùn)行程序時(shí)必須遵守管理員設(shè)置的規(guī)則。通過軟件限制策略，可以執(zhí)行以下任務(wù)：?控制可以在計(jì)算機(jī)上運(yùn)行的程序。例如，如果擔(dān)心用戶通過電子郵件收到病毒，可以應(yīng)用一個(gè)策略，不允許一些文件類型在電子郵件程序的電子郵件附件文件夾中運(yùn)行。?在多用戶計(jì)算機(jī)上，僅允許用戶運(yùn)行特定的文件。例如，如果您的計(jì)算機(jī)上有多個(gè)用戶，您可以設(shè)置軟件限制策略，使用戶除了可以訪問必須在工作中使用的特定文件外，不能訪問其他任何軟件。?確定誰可以向計(jì)算機(jī)中添加受信任的發(fā)布服務(wù)器。?控制軟件限制策略是影響計(jì)算機(jī)上的所有用戶，還是只影響一些用戶。?阻止任何文件在本地計(jì)算機(jī)、組織單元、站點(diǎn)或域中運(yùn)行。例如，如果存在已知病毒，就可以使用軟件限制策略阻止計(jì)算機(jī)打開包含該病毒的文件。溫重要彎說明興：Micr訊osoft瞎建議不要推用軟件限制骨策略代替防踩病毒軟件。糊似如何啟動(dòng)軟屈件限制策略躬僅對于本地昆計(jì)算機(jī)察1.單擊抬開始，指向閑程序，指向限管理工具，符然后單擊本店地安全策略嗽。著買2.在控怖制臺樹中，象展開安全設(shè)絕置，然后展礎(chǔ)開軟件限制案策略。梳對于成員服皮務(wù)器上的域德、站點(diǎn)或組甲織單元或者象已經(jīng)加入域村的工作站謹(jǐn)1.打開弄Micr母osoft豬管理控制許臺(MM當(dāng)C)。要執(zhí)寶行此操作，井請單擊開始?xì)?，單擊運(yùn)行到，鍵入mm償c，然后單鄉(xiāng)擊確定。劑左2.在文安件菜單中，伍單擊添加/夠刪除管理單抹元，然后單鉗擊添加。楚突3.單擊瞎組策略對象蜘編輯器，然購后陳單擊綱添加。緣柿4.在選宿擇組策略對廚象中，單擊影瀏覽。群燈5.在瀏碰覽組策略對淺象中，選擇繡相應(yīng)的域、從站點(diǎn)或組織買單元中的一冤個(gè)組策略對卻象(GP悅O)，然后烏單擊完成。費(fèi)或者，可以臘創(chuàng)建一個(gè)新昆的GPO顯，然后單擊瘦完成。慚蜻6.單擊霸關(guān)閉，然后暮單擊確定。致籠7.在控生制臺樹中，強(qiáng)轉(zhuǎn)到以下位仇置：握準(zhǔn)組策略對象圍Comp喬uter_悟name鏡策略/計(jì)算爐機(jī)配置或用忙戶/配置/狹Windo蟻ws設(shè)置由/安全設(shè)置孤/軟件限制賢策略

級對于域控制棉器上的組織品單元或域或堆者已經(jīng)安裝皮了管理工具漂包的工作站掏1.單擊糞開始，指向廈所有程序，片指向管理工紗具，然后單覆擊厭Activ撈eDir騰ector季y用戶和繞計(jì)算機(jī)。襪籮2.在控轎制臺樹中，倡右鍵單擊希編望為其設(shè)置震組策略的域夾或組織單元策。億箏3.單擊蹤屬性，然后奮單擊組策略嚼選項(xiàng)卡。明贏4.單擊趙組策略對象表鏈接中的一喝項(xiàng)，選擇一悄個(gè)現(xiàn)有的聚GPO，然壺后單擊編輯婦。槽或者，可以攤單擊新建創(chuàng)威建一個(gè)新的態(tài)GPO，前然后單擊編次輯?；徘?.在控借制臺樹中，吊轉(zhuǎn)到以下位她置：鈔走組策略對象調(diào)Comp隔uter_鵲name簽策略/計(jì)算玉機(jī)配置或用身戶配置/W擦indow修s設(shè)置/駛安全設(shè)置/團(tuán)軟件限制策融略

舊對于站點(diǎn)和姨域控制器或物者已經(jīng)安裝卡了管理工具怖包的工作站項(xiàng)1.單擊旁開始維，指服向所有程序鉆，指向管理造工具，然后餓單擊Ac朵tive梳Direc肥tory嘗站點(diǎn)和服務(wù)來。濤卸2.在控貧制臺中，右豪鍵單擊希望驢為其設(shè)置組狡策略的站點(diǎn)燥：?A協(xié)ctive賀Dire帳ctory濃站點(diǎn)和服陷務(wù)[D定omain嚇_Cont火rolle裕r_Nam稀e。Dom象ain_N騙ame]傳?站點(diǎn)?站點(diǎn)嚇3.單擊嫁屬性，然后屋單擊組策略注選項(xiàng)卡。底尾4.單擊照組策略對象的鏈接中的一舅項(xiàng)，選擇一跌個(gè)現(xiàn)有的蹄GPO，然凍后單擊編輯隨。暈或者，單擊骨新建創(chuàng)建一焦個(gè)新的G萌PO，然后視單擊編輯。時(shí)籃5.在控宴制臺樹中，泡轉(zhuǎn)到以下位武置：極賄組策略對象車Comp噸uter_條name寸策略/計(jì)算娘機(jī)配置或用君戶配置/W托indow充s設(shè)置/泰安全設(shè)置/曾軟件限制策搶略虛萍重要說明：尿單擊用戶配圈置設(shè)置將要玩應(yīng)用于用戶醋的策略，與窄用戶登錄的診計(jì)算機(jī)無關(guān)炸。單擊計(jì)算妻機(jī)配置設(shè)置且將要應(yīng)用于班計(jì)算機(jī)的策火略，與登錄桂到計(jì)算機(jī)的嫩用戶無關(guān)。崇還可以通過穩(wěn)使用稱為“管環(huán)回”的高紀(jì)級組策略設(shè)捆置，在特定梁的用戶登錄螺到特定的計(jì)名算機(jī)時(shí)對他剛們應(yīng)用軟件茂限制策略。然輛如何防止軟速件限制策略難應(yīng)用于本地賞管理員慎1.單擊跨開始，單擊只運(yùn)行，鍵入肥mmc，爆然后單擊確不定。睛書2.打開束軟件限制策祥略。誘摸3.在詳度細(xì)信息窗格役中，雙擊強(qiáng)仁制理。厭止4.在“忘將軟件限制何策略應(yīng)用于鳥下列用戶”肆下，單擊“奔除本地管理盼員以外的所始有用戶”。錫注意：雄?如果您頓還沒有為此賽GPO誼創(chuàng)建新的軟汪件限制策略鼓設(shè)置，可能芝必須創(chuàng)建一潤個(gè)。商泊?一般情宴況下，用戶向是組織內(nèi)計(jì)醬算機(jī)上的本笑地管理員組鍛的成員，因滴此您可能不咳想啟用此設(shè)椅置。軟件限蜻制策略不會堡應(yīng)用于任何貢屬于本地管勢理員組的用揀戶。穩(wěn)如?如果您或正在為本地聽計(jì)算機(jī)定義只軟件限制策軍略設(shè)置，可備以使用此過蕉程防止本地筑管理員將軟詢件限制策略男應(yīng)用于自身夾。如果您正丹在為網(wǎng)絡(luò)定穴義軟件限制竟策略設(shè)置，僚可以通過使馬用組策略，暢基于安全組圣的成員身份男篩選用戶策截略設(shè)置藍(lán)。

扇如何創(chuàng)建證煉書規(guī)則被1.單擊茅開始，單擊件運(yùn)行，鍵入物mmc，繪然后單擊確屋定。乘偶2.打開蹲軟件限制策捏略。邁搶3.在控晉制臺樹或詳籍細(xì)信息窗格插中，右鍵單還擊其他規(guī)則猴，然后單擊隸新建證書規(guī)侄則。爆幟4.單擊娛瀏覽，然后繼選擇證書。似濁5.選擇贏安全級別。剝足6.在描取述框中，鍵戒入對此規(guī)則拍的說明，然蔑后單擊確定智。弦注意：屢?有關(guān)如購何在MM額C中啟動(dòng)換軟件限制策集略的信息，盛請參見W財(cái)indow蠶sSer撇ver2封003幫單助文件的“趁相關(guān)主題”澇中的“啟動(dòng)晶軟件限制策班略”。席肌?如果您救還沒有為此陽GPO照創(chuàng)建新的軟豪件限制俗策略駁設(shè)置，可能傾必須創(chuàng)建一棗個(gè)。思陵?默認(rèn)情浪況下不啟用若證書規(guī)則。時(shí)要啟用證書喂規(guī)則：桿1.單擊式開始，單擊趙運(yùn)行，鍵入伸rege惑dit，然芒后單擊確定襪。獨(dú)奶2.找到告并單擊以下落注冊表項(xiàng)：齊致HKEY_瞞LOCAL黨_MACH黃INE\S匙OFTWA淡RE\Po馬licie唇s\Mic凝rosof幫t\Win躺dows\巴Safer絕\Code性Ident填ifier案s建呼3.在詳炊細(xì)信息窗格它中，雙擊羊Authe某ntico則deEna守bled，荷然后將值數(shù)墻據(jù)從0莫更改為1異。晌制?證書規(guī)羊則只影響指還派的文件類隨型中列出的謠那些文件類洗型。存在一故個(gè)由懲所有曠規(guī)則共享的剃指派文件類項(xiàng)型的列表。民槳?要使軟血件限制策略裙生效，用戶振必須從他們田的計(jì)算機(jī)上徑注銷然后再粉次登錄以更需新策略設(shè)置營。投輔?當(dāng)應(yīng)用冒于策略設(shè)置竄的規(guī)則不止戲一個(gè)時(shí)，存娛在處理沖突株的規(guī)則優(yōu)先壺權(quán)。

爬如何創(chuàng)建哈德希規(guī)則卸1.單擊剛開始，單擊碌運(yùn)行，鍵入卡mmc，驕然后單擊確醉定。

未2.打開兩軟件限制策矮略。泉敘3.在控含制臺樹或詳毀細(xì)信息窗格萌中，右鍵單找擊其他規(guī)則么，然后單擊帖新建哈希規(guī)愧則。永趟4.單擊獻(xiàn)瀏覽找到文趴件，或者將導(dǎo)預(yù)先計(jì)算好結(jié)的哈希值粘洲貼到文件哈主?？蛑?。去賞5.在安劣全級別框中隊(duì)，單擊不允積許或無限制傾。趕蜂6.在描乒述框中博，鍵猴入對此規(guī)則光的說明，然鎖后單擊確定蘇。幕瞞注意：?獨(dú)如果您還威沒有為此捏GPO創(chuàng)抄建新的軟件晶限制策略設(shè)憶置，可能必董須創(chuàng)建一個(gè)茄。奸狗?可以創(chuàng)罩建針對病毒于或特洛伊木定馬程序的哈床希規(guī)則，以糧防止惡意軟導(dǎo)件運(yùn)行。紀(jì)歡?如果您滾希望其他用字戶使用哈希輪規(guī)則防止病儉毒運(yùn)行，可予以使用軟件祝限制策略計(jì)沾算病毒的哈棒希值，然后追將此哈希值父通過電子郵顏件發(fā)送給其萬他用戶。千躬萬不要通過近電子郵件發(fā)裹送病毒本身突。懷鼓?如果已悄經(jīng)通過電子禮郵件發(fā)送了議病毒，還可側(cè)以創(chuàng)建路徑料規(guī)則以阻止捧用戶運(yùn)行郵至件附件。棒駐?將文件位重命名或移鏈動(dòng)到另一個(gè)筒文件夾不會晉導(dǎo)致哈希值慈改變。播禾?對擱文件唯進(jìn)行任何更瘦改都會導(dǎo)致?lián)喂Ｖ蹈淖兎Q。螞找?哈希規(guī)的則只影響指懸派的文件類隔型中列出的野那些文件類醬型。存在一德個(gè)由所有規(guī)斗則共享的指雄派文件類型圈的列表。驚叉?要使軟豈件限制策略德生效，用戶休必須從他們釋的計(jì)算機(jī)上殺注銷然后再部次登錄以更崇新策略設(shè)置蓋。均馬?當(dāng)應(yīng)用愛于策略設(shè)置間的規(guī)則不止晌一個(gè)時(shí)，存毅在處理沖突顆的規(guī)則優(yōu)先吃權(quán)。

秒如何創(chuàng)建糊Inter吳net區(qū)廊域規(guī)則尖1.單擊火開始，單擊橋運(yùn)行，鍵入辣mmc，膜然后單擊確文定。乞許2.打開饑軟件限制策因略。款假3.在控閣制臺樹中，核單擊軟件限晌制策略。級蕩4.在控禽制臺樹或詳暫細(xì)信息窗格恩中，右鍵單甘擊其他健規(guī)則，然后淘單擊新建聯(lián)Inter掃net區(qū)掙域規(guī)則。溉壇5.在售Inter泡net區(qū)厘域中，單擊奶某個(gè)In培terne徹t區(qū)域。描防6.在安尸全級別框中提，單擊不允桐許或無限制略，然后單擊植確定。探注意：闖?如果您殿還沒有為此頸GPO弓創(chuàng)建新的軟釣件限制策略敏設(shè)置，可能踢必須創(chuàng)建一酷個(gè)。土當(dāng)?區(qū)域規(guī)拌則僅應(yīng)用于避Wind肢owsI淡nstal軍ler軟絲件包。沒游?區(qū)域規(guī)僑則只影響指錯(cuò)派的文件類量型中列出的夠那些文件類穗型。存在一研個(gè)由所有規(guī)俗則共享的指研派文件類型晃的列表。騎右?要使軟料件限制策略歲生效，用戶倘必須從他們誤的計(jì)算機(jī)上騎注銷然后再國次登錄楚以更新策略朽設(shè)置。演奔?當(dāng)應(yīng)用腔于策略設(shè)置俊的規(guī)則不止忠一個(gè)時(shí)，存需在處理沖突掛的規(guī)則優(yōu)先棟權(quán)。

餐如何創(chuàng)建路扮徑規(guī)則除1.單擊殺開始，單擊番運(yùn)行，鍵入艷mmc，柄然后單擊確晨定。魯芬2.打開鮮軟件限制策覺略。爽駕3.在控維制臺樹或詳孤細(xì)信息窗格斗中，右鍵單顏擊其他規(guī)則賺，然后單擊效新建路徑規(guī)賤則。嗽華4.在路附徑框中鍵入術(shù)路徑，或單理擊瀏覽查找渣文件或文件越夾。如恐5.在安貪全級別框中偽，單擊不允囑許或無限制畢。宮攪6.在描雁述框中，鍵真入對此規(guī)則凈的說明，然某后單擊確定備。重要說明耀：將某些文踐件夾（如薯Windo豈ws文件話夾）的安全拋級別設(shè)置為歸不允許會對絮操作違的操作產(chǎn)生忙負(fù)面影響。什請確保沒有耕禁用操作的響關(guān)鍵組件或壓其相關(guān)程序晝。障塔注意：?真如果您還壘沒有為此凡GPO創(chuàng)上建新的軟件亭限制策略設(shè)秋置，可能必惹須創(chuàng)建一個(gè)督。引虎?如果為投一個(gè)安全級都別為不允許膚的程序創(chuàng)建怎了路徑規(guī)則哪，用戶將該紫軟件復(fù)制到仗其他位置后耽仍可運(yùn)行該奇軟件。裙扁?路徑規(guī)嶺則支持的通莖配符為星號磁(*)作和問號(秧?)。職閥?可以在節(jié)路徑規(guī)則中懸使用環(huán)境變傭量（如%秒progr有amfil確es%或喉%sys堪temro狹ot%）。滲亡?當(dāng)您不蝶知道軟件在疊計(jì)算機(jī)上的纖存儲位置，蛇但知道其注備冊表項(xiàng)時(shí)，鎖要為該軟件撿創(chuàng)建路徑規(guī)蕩則，可以創(chuàng)倆建注冊沉表路徑規(guī)則陰。閉剩?要防止耍用戶運(yùn)行電站子郵件附件羊，可為郵件損程序的附件哀文件夾創(chuàng)建私一個(gè)防止用刮戶運(yùn)行電子錄郵件附件的栽路徑規(guī)則。山備?路徑規(guī)禁則只影響指建派的文件類葡型中列出的潔那些文件類柴型。存在一掙個(gè)由所有規(guī)架則共享的指仆派文件類型干的列表。丙寒?要使軟事件限制策略流生效，用戶察必須從他們召的計(jì)算機(jī)上教注銷然后再件次登錄以更論新策略設(shè)置幻。井大?當(dāng)應(yīng)用鞏于策略設(shè)置崖的規(guī)則不止投一個(gè)時(shí)，存暑在處理沖突寄的規(guī)則優(yōu)先除權(quán)。

喪如何創(chuàng)建注段冊表路徑規(guī)守則趟1.單擊吩開始，單擊派運(yùn)行，鍵入荒rege承dit，然蟻后單擊確定麻。舉匆2.在控莊制臺樹中，忠右鍵單擊希誤望為其創(chuàng)建筆規(guī)豈則的注冊表洲項(xiàng)，然后單權(quán)擊復(fù)制項(xiàng)名陶稱。遼掃3.記下瞧詳細(xì)信息窗時(shí)格中的值名要稱。焰哄4.單擊康開始，單擊析運(yùn)行，鍵入噸mmc，困然后單擊確瘋定。劈施5.打開鍛軟件限制策配略。迷穿6.在控蹲制臺樹或詳槐細(xì)信息窗格歲中，右鍵單距擊其他規(guī)則越，然后單擊桐新建路徑規(guī)沒則。肆交7.在路暈徑中粘貼注己冊表項(xiàng)名稱唯和值名稱。課貝8.用百暢分號(%嫌)將注冊趣表路徑括起些來，例如：弱何%HKEY綠_LOCA翁L_MAC敵HINE\舉SOFTW同ARE\M疾icros壞oft\P摔latfo溝rmSDK纖\Dire群ctori胞es\In鉛stall娃D(zhuǎn)ir%冊男9.在安桌全級別框中掩，脅單擊不允許泳或無限制。期請10.在扒描述框中，料鍵入對此規(guī)待則的說明，伸然后單擊確柄定。括獻(xiàn)注意：?軋如果您還理沒有為此譯GPO創(chuàng)孟建新的軟件愈限制策略設(shè)村置，可能必俱須創(chuàng)建一個(gè)前。采親?必須是謹(jǐn)“管理員”森組的成員才蕉能執(zhí)行此步禁驟。盾性?按如下寶所示修改注醒冊表路徑的炕格式：傘緩%注冊表掛配置單元\娘注冊表項(xiàng)跡名稱\值洋名稱%

挽買?必須寫得出注冊表配勁置單元的全前稱，不能使出用縮寫。例善如，不能用聽HKCU抗代替H怠KEY_C券URREN吵T_USE肉R。永吩?注冊表澇路徑規(guī)則在陶未尾的百分包號(%)仗后面可以旗加一個(gè)后綴恰。不要在后耐綴中使用反兼斜杠街(\)。例籌如，可以使誦用以下注冊盛表路徑規(guī)則蓮：耍蕉%HKEY喜_CURR掩ENT_U想SER\S警oftwa敞re\Mi霉croso襲ft\Wi涼ndows趣\Curr樹entVe裝rsion前\Expl興orer\撿Shell草Fold勇ers\C主ache%臂OLK*鎖局?路徑規(guī)伏則只影響指攻派的文件類起型中列出的念那些文件類雅型。存在一搬個(gè)由所有規(guī)留則共享的指穗派文件類型跳的列表。溫狀?要使軟愛件限制策略腸生效，用戶懼必須從他們降的計(jì)算機(jī)上寺注銷然后再天次登錄以更露新策略設(shè)置捕。稠狡?當(dāng)應(yīng)用播于策略設(shè)置亦的規(guī)則不止演一個(gè)時(shí)，存失在處理沖突愚的規(guī)則優(yōu)先勾權(quán)。

衫如何添加或花刪除譜指派的文件淘類型虛1.單擊背開始，單擊才運(yùn)行，鍵入鮮mmc，宗然后單擊確虛定。慎紛2.打開值軟件限制策講略。寬饅3.在詳襲細(xì)信息窗格厲中，雙擊指雙派的文件類伏型。誰桑4.根據(jù)營需要執(zhí)行以濾下步驟之一才：?要棋添加文件類弱型，在文件塵擴(kuò)展名框中泥鍵入文件擴(kuò)奴展名，然后盞單擊添加。弱碰?要?jiǎng)h除糕文件類型，鋸在指派的文敲件類型框中島單擊該文件猾類型，然后愚單擊刪除。裙約注意：?粒如果您還寬沒有為此珍GPO創(chuàng)犧建新的軟件月限制策略設(shè)蝶置，可能必母須創(chuàng)建一個(gè)他。桐半?指派文管件類型列表戀由每個(gè)配置友的所有規(guī)則緒共享。用于山計(jì)算機(jī)策略皮設(shè)置的指派憑文件類型列石表和用于用莫戶策男略設(shè)置的指它派文件類型跟列表是不一膜樣的。攏如何更改軟牌件限制策略扎的默認(rèn)安全揉級別臺1.單擊約開始，單擊申運(yùn)行，鍵入飲mmc，盜然后單擊確水定。紫末2.打開缺軟件限制策姻略。愉景3.在詳片細(xì)信息窗格么中，雙擊安懸全級別。蛙慘4.右鍵災(zāi)單擊希望設(shè)斃為默認(rèn)值的鹽安全級別，傲然后單擊設(shè)劈為默認(rèn)值。之小心：如果向?qū)⒛承┪募秺A的安全級惰別設(shè)置為不投允許，會對照操作產(chǎn)生負(fù)集面影響。濾滔注意：?喇如果您還海沒有為此點(diǎn)GPO創(chuàng)瞇建新的軟件碗限制策略設(shè)刑置，可能必掌須創(chuàng)