applocker白名单机制可严格限制公司电脑软件运行范围，需在windows 10专业版/企业版/教育版中启用application identity服务并配置默认规则，再通过路径或发布者方式创建禁止规则，最后强制执行策略以阻止未授权程序运行。
公司电脑需严格限制软件运行范围，防止员工私自安装或运行未经审核的程序，AppLocker白名单机制可精准控制哪些可执行文件能启动。
确认系统版本与服务状态
AppLocker仅在Windows 10专业版、企业版或教育版中可用，家庭版不支持。右键“开始”→“运行”，输入winver回车，确认版本含“Enterprise”或“Professional”字样。
按Win + R，输入services.msc，找到Application Identity服务，双击打开，启动类型设为“自动”，状态点“启动”。【若该服务未运行，AppLocker所有规则均不生效】
再按Win + R，输入regedit，定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AppIDSvc，将右侧Start值改为2（十进制），确保注册表与服务设置一致。
启用AppLocker并创建默认规则
按Win + R，输入secpol.msc，打开本地安全策略。
依次展开：应用程序控制策略 → AppLocker → 可执行规则。
右键“可执行规则”，选择“创建默认规则”。系统会自动生成三条基础规则：允许Windows目录、允许Program Files目录、允许已签名的Microsoft发布者程序。这三者构成白名单基线，后续所有自定义规则都在此之上叠加。
添加指定用户/组的禁止规则（防绕过）
右键“可执行规则”→“创建新规则”。
方法一：路径方式（推荐用于已知固定位置的非受信软件）
第一步：向导第一页点“下一步”；
第二步：操作选“拒绝”，点击“下一步”；
第三步：用户或组选“特定用户或组”，点“浏览”，添加需约束的员工账户（如DOMAIN\StaffGroup）；
第四步：条件选“路径”，点“浏览”，精确定位到目标程序完整路径（例如C:\Tools\CrackTool.exe）；
第五步：命名规则为“禁止StaffGroup运行CrackTool”，点“创建”。
方法二：发布者方式（防重命名绕过，适用于有数字签名的第三方软件）
向导中第三步选“发布者”，第四步点“浏览文件”，选一个已安装的合法软件（如Chrome.exe），它会自动提取证书信息；
勾选“除非满足下列条件”，在下方添加例外——把你要禁用的同厂商恶意软件也拖进来，规则将只拒绝该发布者下指定哈希或版本的文件，不影响其他正常更新。
【注意：路径规则易被复制改名绕过，关键场景必须搭配发布者或文件哈希规则】
强制执行并验证规则
右键左侧“AppLocker”，选择“属性”，在“可执行规则”页签下，勾选“已配置”，策略选项选“强制执行”，点“确定”。
重启电脑或运行命令提示符（管理员），执行：gpupdate /force，等待策略刷新完成。
切换至受限用户账户，尝试双击一个未列入白名单的.exe文件（如桌面下载的便携版软件），系统应直接报错“此操作已被管理员阻止”，无任何弹窗或后台进程残留。
