Windows 11中限制程序仅运行白名单软件需启用AppLocker策略：先启动Application Identity服务，再通过gpedit.msc配置AppLocker并开启强制模式，接着创建路径或发布者规则允许指定程序，最后重启验证拦截效果。
在 Windows 11 中限制程序只能运行白名单内的软件，本质是启用应用程序控制策略，阻止所有未明确允许的可执行文件启动。这需要企业版/教育版系统支持，且必须启用底层服务并配置强制规则。
启用 Application Identity 服务
AppLocker 规则依赖此服务运行，若服务未启动或被禁用，所有白名单规则均无效，程序仍可自由运行。
按 Win + R 输入 services.msc 回车 → 在服务列表中找到 Application Identity → 右键“属性” → 将“启动类型”设为自动 → 若状态显示“已停止”，立即点击“启动”按钮 → 点击“应用”后关闭窗口。
初始化 AppLocker 策略并启用强制模式
首次配置必须通过组策略激活 AppLocker 容器，并对规则集合开启“强制”，否则策略仅处于审核状态，不产生实际拦截效果。
按 Win + R 输入 gpedit.msc 回车（需管理员权限）→ 依次展开：计算机配置 → Windows 设置 → 安全设置 → 应用程序控制策略 → AppLocker → 右侧空白处右键 → 选择“配置规则” → 勾选“配置 AppLocker 启用” → 点击“确定”。
双击左侧“AppLocker”节点 → 切换到右侧面板的“强制”选项卡 → 对“可执行规则”“脚本规则”“Windows Installer 规则”三项全部勾选“已启用” → 点击“确定”。
创建首个允许规则（路径方式）
白名单逻辑是“默认拒绝，显式允许”，因此必须先添加至少一条允许规则，否则连系统自带的 cmd.exe、explorer.exe 都无法启动，将导致桌面崩溃。
方法一：允许系统核心目录
在 AppLocker → 可执行规则 上右键 → “创建新规则” → 下一步 → 选择“允许” → 下一步 → 在“用户或组”页点击“添加用户或组”，输入 Everyone → 下一步 → 在“条件”页选择“路径”，点击“浏览” → 定位到 C:\Windows\System32\ → 点击“确定” → 规则名称填“允许System32所有exe” → 完成。
方法二：允许单个可信程序
同样进入“创建新规则”向导 → 选择“允许” → 指定目标用户（如 DOMAIN\TrustedUsers）→ 条件选“路径” → 浏览定位到你确认安全的程序，例如 C:\MyTools\SafeApp.exe → 名称填“允许SafeApp运行” → 创建。
【注意：不要跳过路径规则直接建哈希规则，否则后续无法通过图形界面编辑该规则】
补充关键允许规则（发布者方式）
路径规则易被绕过（复制程序到其他目录即可），发布者签名规则能绑定数字证书，更可靠地锁定合法软件来源，尤其适合 Microsoft、Adobe、Google 等已签名程序。
在“可执行规则”上右键 → “创建新规则” → 下一步 → 选择“允许” → 下一步 → 指定用户组 → 下一步 → 在“条件”页选择“发布者” → 点击“浏览” → 找到一个已签名的 .exe（如 C:\Windows\notepad.exe）→ 勾选“从文件中提取发布者信息” → 点击“确定” → 名称填“允许Microsoft签名程序” → 完成。
这一步完成后，所有由 Microsoft 发布并正确签名的系统工具、Edge、Teams 等都将被自动放行，无需逐个添加路径。
验证白名单是否生效
重启电脑使策略完全加载 → 尝试双击一个未被允许的 .exe 文件（如桌面下载的 test.exe）→ 系统应弹出错误提示：“此操作已被组织策略阻止”。
打开事件查看器 → Windows 日志 → 安全 → 筛选事件 ID 8003（AppLocker 执行拒绝日志）→ 查看是否有对应条目，确认拦截已触发。
