用Win7 AppLock实现多用户程序限制
2009-10-26 08:22:27 来源:WEB开发网 闂傚倸鍊搁崐鎼佸磹閹间礁纾归柟闂寸绾惧綊鏌熼梻瀵割槮缁炬儳缍婇弻鐔兼⒒鐎靛壊妲紒鐐劤缂嶅﹪寮婚悢鍏尖拻閻庨潧澹婂Σ顔剧磼閻愵剙鍔ょ紓宥咃躬瀵鎮㈤崗灏栨嫽闁诲酣娼ф竟濠偽i鍓х<闁绘劦鍓欓崝銈囩磽瀹ュ拑韬€殿喖顭烽幃銏ゅ礂鐏忔牗瀚介梺璇查叄濞佳勭珶婵犲伣锝夘敊閸撗咃紲闂佺粯鍔﹂崜娆撳礉閵堝洨纾界€广儱鎷戦煬顒傗偓娈垮枛椤兘骞冮姀銈呯閻忓繑鐗楃€氫粙姊虹拠鏌ュ弰婵炰匠鍕彾濠电姴浼i敐澶樻晩闁告挆鍜冪床闂備浇顕栭崹搴ㄥ礃閿濆棗鐦遍梻鍌欒兌椤㈠﹤鈻嶉弴銏犵闁搞儺鍓欓悘鎶芥煛閸愩劎澧曠紒鈧崘鈹夸簻闊洤娴烽ˇ锕€霉濠婂牏鐣洪柡灞诲妼閳规垿宕卞▎蹇撴瘓缂傚倷闄嶉崝搴e垝椤栫偛桅闁告洦鍨扮粻鎶芥倵閿濆簼绨藉ù鐘荤畺濮婃椽妫冨☉娆愭倷闁诲孩鐭崡鎶芥偘椤曗偓瀹曞爼顢楁径瀣珫婵犳鍣徊鍓р偓绗涘洤绠查柛銉墮閽冪喖鏌i弬鎸庢喐闁荤喎缍婇弻娑⑩€﹂幋婵囩亪濡炪値鍓欓悧鍡涒€旈崘顔嘉ч幖绮光偓鑼嚬缂傚倷绶¢崰妤呭箰閹间焦鍋╅柣鎴f绾偓闂佺粯鍔曠粔闈浳涢崘顔兼槬闁逞屽墯閵囧嫰骞掗幋婵愪紑閻庤鎸风粈渚€鍩為幋锔藉亹闁圭粯甯╂导鈧紓浣瑰劤瑜扮偟鍒掑▎鎾宠摕婵炴垶鐭▽顏堟煙鐟欏嫬濮囨い銉︾箞濮婃椽鏌呴悙鑼跺濠⒀傚嵆閺岀喖鎼归锝呯3闂佹寧绻勯崑娑㈠煘閹寸姭鍋撻敐搴樺亾椤撴稒娅婇柡灞界У濞碱亪骞忕仦钘夊腐闂備焦鐪归崐鏇㈠箠閹邦喗顫曢柟鎯х摠婵挳鏌涢幘鏉戠祷闁告挸宕—鍐Χ閸℃浠搁梺鑽ゅ暱閺呮盯鎮鹃悜钘壩ㄧ憸澶愬磻閹剧粯鏅查幖绮瑰墲閻忓秹姊虹紒妯诲鞍婵炲弶锕㈡俊鐢稿礋椤栨氨鐤€闂傚倸鐗婄粙鎰姳閼测晝纾藉ù锝堟閻撴劖鎱ㄥΟ绋垮婵″弶鍔欓獮妯兼嫚閼碱剦妲伴梻浣稿暱閹碱偊宕愭繝姣稿洭寮舵惔鎾存杸濡炪倖姊婚妴瀣啅閵夛负浜滄い鎾跺仜濡插鏌i敐鍥у幋妤犵偞甯¢獮瀣籍閳ь剟鎮楁繝姘拺閻熸瑥瀚崕妤呮煕濡 鍋撻悢鎻掑緧婵犵數濮烽弫鍛婃叏閻戣棄鏋侀柛娑橈攻閸欏繑銇勯幘鍗炵仼缁炬儳顭烽弻鐔煎礈瑜忕敮娑㈡煃闁垮鐏﹂柕鍥у楠炴帡宕卞鎯ь棜缂傚倸鍊风粈渚€藝闁秴鏋佸┑鐘虫皑瀹撲線鏌涢埄鍐姇闁稿﹦鍏橀弻娑樷攽閸℃浼€濡炪倖姊归崝鏇㈠煘閹达附鍊婚柛銉㈡櫇鏍¢梻浣告啞閹稿鎮烽敂鐣屸攳濠电姴娲﹂崵鍐煃閸濆嫬鏆熼柨娑欑矒濮婇缚銇愰幒鎴滃枈闂佸憡鐟ユ鎼佸煝閹炬枼鍫柛顐ゅ枔閸樻悂鏌h箛鏇炰户缁绢厼鐖煎畷鎴﹀箻鐠囪尙鐤€婵炶揪绲介幉锟犲磹椤栫偞鈷戠痪顓炴噹娴滃綊鎮跺☉鏍у姦闁糕斁鍋撳銈嗗笒閸燁偊鎯冨ú顏呯厸濞达絽婀辨晶顏堟煃鐟欏嫬鐏撮柟顔界懇瀵爼骞嬮悩杈敇闂傚倷绀佸﹢杈ㄧ仚闂佺濮ょ划搴ㄥ礆閹烘绫嶉柛顐ゅ枎娴犺櫣绱撴担鍓插創妞ゆ洘濞婇弫鍐磼濞戞艾骞堥梻浣告惈濞层垽宕濆畝鍕€堕柣妯肩帛閻撴洟鏌熼懜顒€濡煎ù婊勫劤閳规垿鏁嶉崟顐℃澀闂佺ǹ锕ラ悧鐘茬暦濠靛鏅濋柍褜鍓熼垾锕傚锤濡も偓閻掑灚銇勯幒宥堝厡缂佺姴澧介埀顒€鍘滈崑鎾斥攽閻樿京绐旈柛瀣殔閳规垿顢欑涵鐑界反濠电偛鎷戠徊鍨i幇鏉跨闁瑰啿纾崰鎾诲箯閻樼粯鍤戦柤绋跨仛濮f劙姊婚崒姘偓鐑芥嚄閼哥數浠氭繝鐢靛仜椤曨參宕楀Ο渚殨妞ゆ劑鍊栫€氭氨鈧懓澹婇崰鏍р枔閵婏妇绡€闁汇垽娼ф牎缂佺偓婢樼粔鐟邦嚕閺屻儱绠甸柟鐑樼箘閸炵敻鏌i悩鐑橆仩閻忓繈鍔岄蹇涘Ψ瑜夐崑鎾舵喆閸曨剙纰嶅┑鈽嗗亝缁诲倿锝炶箛娑欐優闁革富鍘鹃敍婊冣攽閳藉棗鐏犻柟纰卞亰閿濈偛顓奸崶鈺冿紳婵炶揪缍侀ˉ鎾诲礉瀹ュ鐓欑紒瀣仢閺嗛亶鏌i敐鍥у幋妤犵偛顑夐弫鍐焵椤掑倻涓嶅┑鐘崇閸嬶綁鏌涢妷鎴濆暟妤犲洭鎮楃憴鍕碍缂佸鎸抽垾鏃堝礃椤斿槈褔鏌涢埄鍏狀亪妫勫鍥╃=濞达絽澹婇崕鎰版煕閵娿儱顣崇紒顔碱儏椤撳吋寰勭€n亖鍋撻柨瀣ㄤ簻闁瑰搫绉堕ˇ锔锯偓娈垮枛閻忔繈鍩為幋锕€鐓¢柛鈩冾殘娴狀垶姊洪崨濠庣劶闁告洦鍙庡ú鍛婁繆閵堝繒鍒伴柛鐕佸灦瀹曟劙宕归锝呭伎濠碘槅鍨抽崢褎绂嶆ィ鍐╁€垫慨妯煎亾鐎氾拷

一、启用AppLocker有讲究
在进行AppLocker策略配置前,我们需要做必需的准备工作。我们在开始菜单的搜索框输入“Services.msc”命令启动服务窗口,接着我们在该窗口查找到application Identity服务,该服务确定并验证应用程序的标识,禁用此服务将阻止强制执行 AppLocker,默认情况下该服务时手动并停止的,因此,只有启动了该服务才能正常使用AppLocker策略,我们可以将其“启动类型”设置为“自动”,再点击“启动”按钮即可启动成功了(如图1)。

做好以上的准备工作,我们就可以在开始菜单搜索框输入“Gpedit.msc”命令启动组策略编辑器来设置AppLocker策略了。我们可以在组策略编辑器依次进入“计算机配置-Windows设置-安全设置-应用程序控制策略-AppLocker”菜单来设置(如图2)。

二、限制用户使用某个程序
这里,我们就通过AppLocker来建立限制用户使用某个程序的策略吧。比如:我们希望王蓉这个用户不能使用Maxthon浏览器。我们可以这样来做。首先,在左侧选择“可执行规则”,在右侧空白窗口处右键单击选择“创建新规则”命令,接着会弹出“创建可执行规则”的窗口(如图3),只需点击“下一步”按钮即可。

接着在窗口中选择操作为“拒绝”,点击“用户或组”下的“选择”按钮,在弹出的“选择用户或组”窗口点击“高级”按钮,在弹出窗口点击“立即查找”按钮,在下面找到王蓉用户确定即可(如图4)。

回到原来的窗口,点击“下一步”按钮(如图5)。

在创建主要条件步骤,我们选择“发布者”条件(Maxthon已经由软件发布者签名,否则可以考虑选择“文件哈希”条件,如图6),点击“下一步”按钮。

在出现的窗口,这时我们可以限制用户使用Maxthon2.5.0.0版本,而不能限制用户使用其他的版本,我们只需将“文件版本”旁的滑竿上移一格到“文件名”即可限制使用Maxthon的任意版本了(如图7)。

如果Maxthon更改了程序名,这个限制依然会失效,不过,我们再将滑竿上移到“产品名”就可以继续限制了(如图8)。

同理,当产品名变化时,我们再将滑竿上移到“发布者”就可以继续保持限制了,一般情况滑竿上移到“文件名”即可,点击“下一步”按钮;接着,我们点击“创建”按钮即可完成策略建立了,规则建立过程中会建议同时创建默认规则(当默认规则未建立时,如图9),确定即可。

那么,创建了该规则后,王蓉用户登录系统运行Maxthon是否会生效呢?我们来测试一下吧。运行Maxthon时,弹出了禁止运行的窗口(如图10),这说明AppLocker已经通过组策略生效了。
三、限制用户安装程序
为了防止用户随意安装程序,AppLocker也有相应的策略设置。我们打算让所有用户都不能安装cooliris这个浏览器插件。不过,该策略只能禁止用户安装.msi和.msp的程序。我们可以选择“Windows安装程序规则”,然后右键单击右侧的窗口选择“创建新规则”,同样会打开一个“创建Windows安装程序规则”窗口,点击“下一步”按钮;我们设置操作为“拒绝”,“用户或组”为“Everyone”,点击“下一步”按钮(如图11)。

这里我们还是选择限制条件为“发布者”,点击“下一步”按钮(如图12)。

这时,我们可以点击浏览按钮找到cooliris插件的文件,点击“创建”按钮即可完成了(如图13)。

以后,我们运行该安装程序时都会弹出禁止安装的提示(如图14)。

四、不同用户使用同程序的不同版本
我们发现QQ已经成为办公不可缺少的工具,但是娱乐性还是太强了,我们可以通过AppLocker让普通用户只能使用TM办公。我们让管理员用户直接使用QQ2009,而普通用户则使用TM2009。
我们就来创建这个规则吧。首先,在左侧选择“可执行规则”,右键单击右侧选择“创建新规则”命令,在“创建可执行规则”窗口点击“下一步”按钮;接着在“创建可执行规则”窗口选择“操作”为“拒绝”,选择“用户或组”为“users”(普通用户组),点击“下一步”按钮(如图15)。

然后选择条件类型为“发布者”,点击“下一步”按钮;这时点击“浏览”按钮选择QQ2009的可执行程序(一般为安装目录\QQ\Bin\QQ.exe),勾选“使用自定义值”选项并将文件版本选项设置为“及以下版本”以达到限制使用任意版本QQ的目的(如图16),点击“下一步”按钮。

这时我们可以添加普通用户可以使用的例外程序TM2009,点击“添加”按钮设置为TM2009的可执行程序即可(如图17)。

确定之后回到原来窗口(如图18),点击“创建”按钮即可完成了。

建立这个规则后,普通用户只能运行TM2009而无法运行QQ2009,这样就达到了目的。
大家在使用AppLocker的时候还需要注意:默认的规则会限制任何用户使用非“PRogram Files”和“Windows”文件夹的程序,我们需要将第二条默认规则的路径设置为*(如图19),因为,任何用户默认都是以普通用户身份运行的。

相信大家在熟练使用AppLocker的过程中会摸索出更多更好的经验的。
更多精彩
赞助商链接