需开启“应用安装保护隔离”机制，该机制通过组合启用appcontainer容器化执行、安装行为实时拦截与低完整性进程启动三类机制实现安装阶段即隔离。
如果您在 Windows 11 中运行未知来源的安装程序时，希望系统自动限制其对注册表、文件系统及网络的访问权限，防止静默写入、持久化驻留或横向渗透，则需开启“应用安装保护隔离”机制。该机制并非单一开关，而是通过组合启用 AppContainer 容器化执行、安装行为实时拦截与低完整性进程启动三类机制，实现安装阶段即隔离。以下是三种互不依赖、可独立部署的启用方法：
一、启用智能应用控制(SAC)强制执行安装隔离策略
此方法激活 Windows 安全中心内置的云信誉驱动型拦截引擎，在安装程序首次调用 CreateProcess 或 msiexec 时即实施上下文感知判断，对未签名、低声誉或行为异常的安装包默认拒绝执行，并支持管理员导入哈希白名单。适用于所有 Windows 11 版本，无需虚拟化支持。
1、按下 Win + I 打开“设置”，点击左侧“隐私和安全性”，右侧选择“Windows 安全中心”。
2、点击“应用与浏览器控制”卡片，向下滚动至“智能应用控制”区域。
3、点击“管理智能应用控制”，将主开关切换为开状态。
4、在弹出的策略模式选项中，必须选择强制执行而非“审核”或“关闭”。
5、等待系统自动下载并加载最新策略包，完成后点击立即重新启动使策略生效。
二、配置 AppContainer 强制启用应用安装时的容器化运行
此方法利用 Windows 内置的 AppContainer 沙箱机制，强制将已签名且经微软声誉验证的 Win32 安装程序（如 MSI、EXE 封装器）以低完整性级别启动，使其无法写入 HKEY_LOCAL_MACHINE、修改系统服务、访问其他用户文档或调用高特权 API。适用于 Windows 11 专业版、企业版及教育版。
1、按下 Win + R，输入 gpedit.msc 并回车，以管理员权限打开本地组策略编辑器。
2、依次展开路径：计算机配置 → 管理模板 → Windows 组件 → App Package Deployment。
3、在右侧窗格中，双击“启用应用容器化部署”策略。
4、在弹出窗口中选择“已启用”，然后点击“确定”。
5、关闭组策略编辑器，执行命令提示符（管理员）并输入：gpupdate /force，按回车刷新策略。
6、重启系统后，符合条件的安装程序将自动在 AppContainer 环境中启动。
三、通过 Windows 安全中心启用受信任应用的 AppContainer 隔离
此方法利用系统图形界面策略开关，直接激活对已签名且经微软声誉验证的 Win32 应用的自动容器化运行支持，无需修改清单或策略，适用于日常用户快速启用基础隔离。
1、按下键盘上的 Win + I 组合键，打开“设置”应用。
2、在左侧菜单中点击“隐私和安全性”，然后在右侧找到并点击“Windows 安全中心”。
3、在安全中心主界面，点击“应用与浏览器控制”卡片。
4、向下滚动至“基于声誉的保护”区域，点击“应用执行别名”。
5、将“为受信任的应用启用 AppContainer 隔离”开关切换为开状态。
6、系统提示需要重启，点击立即重新启动使策略生效。
