安全

Last published : Nov 13, 2026
这些设置允许您控制 Workspace Environment Management 中的用户活动。
Related information
用户界面参考

应用程序安全性

重要提示：
要控制用户可以运行哪些应用程序，请使用 Windows AppLocker 界面或 Workspace Environment Management。您可以随时在这两种方法之间切换，但我们建议您不要同时使用这两种方法。
这些设置允许您通过定义规则来控制用户被允许运行的应用程序。此功能类似于 Windows AppLocker。
当您使用 Workspace Environment Management 管理 Windows AppLocker 规则时，代理会将“应用程序安全”选项卡规则处理（转换）为代理主机上的 Windows AppLocker 规则。如果您停止代理处理规则，这些规则将保留在配置集中，并且 AppLocker 将继续使用代理处理的最后一组指令运行。

应用程序安全性

此选项卡列出了当前 Workspace Environment Management 配置集中的应用程序安全规则。您可以使用“查找”根据文本字符串筛选列表。
当您在“安全”选项卡中选择顶级项目“应用程序安全”时，以下选项可用于启用或禁用规则处理：
  • 处理应用程序安全规则。选中此选项后，“应用程序安全”选项卡控件将启用，并且代理会处理当前配置集中的规则，将其转换为代理主机上的 AppLocker 规则。如果未选中此选项，“应用程序安全”选项卡控件将禁用，并且代理不会将规则处理为 AppLocker 规则。（在这种情况下，AppLocker 规则不会更新。）
    注意：
    如果 Workspace Environment Management 管理控制台安装在 Windows 7 SP1 或 Windows Server 2008 R2 SP1（或更早版本）上，则此选项不可用。
  • 处理 DLL 规则。选中此选项后，代理会将当前配置集中的 DLL 规则处理为代理主机上的 AppLocker DLL 规则。此选项仅在您选择“处理应用程序安全规则”时可用。
    重要提示：
    如果使用 DLL 规则，则必须为所有允许的应用程序使用的每个 DLL 创建一个具有“允许”权限的 DLL 规则。
    注意：
    如果使用 DLL 规则，用户可能会遇到性能下降的情况。这是因为 AppLocker 会在允许应用程序运行之前检查应用程序加载的每个 DLL。
  • “覆盖”和“合并”设置允许您确定代理如何处理应用程序安全规则。
    • 覆盖。允许您覆盖现有规则。选中此选项后，最后处理的规则将覆盖之前处理的规则。我们建议您仅将此模式应用于单会话计算机。
    • 合并。允许您将规则与现有规则合并。发生冲突时，最后处理的规则将覆盖之前处理的规则。如果在合并期间需要修改规则强制执行设置，请使用覆盖模式，因为如果值不同，合并模式将保留旧值。

规则集合

规则属于 AppLocker 规则集合。每个集合名称指示它包含多少条规则，例如 (12)。单击集合名称可将规则列表筛选为以下集合之一：
  • 可执行规则。包含与应用程序关联的 .exe 和 .com 扩展名文件的规则。
  • Windows 规则。包含安装程序文件格式（.msi、.msp、.mst）的规则，这些格式控制客户端计算机和服务器上文件的安装。
  • 脚本规则。包含以下格式文件的规则：.ps1、.bat、.cmd、.vbs、.js。
  • 打包规则。包含打包应用程序的规则，也称为通用 Windows 应用程序。在打包应用程序中，应用程序包中的所有文件共享相同的身份。因此，一条规则可以控制整个应用程序。Workspace Environment Management 仅支持打包应用程序的发布者规则。
  • DLL 规则。包含以下格式文件的规则：.dll、.ocx。
当您将规则列表筛选到某个集合时，可以使用“规则强制执行”选项来控制 AppLocker 如何在代理主机上强制执行该集合中的所有规则。可能的规则强制执行值如下：
关闭（默认）。规则已创建并设置为“关闭”，这意味着它们未应用。
开启。规则已创建并设置为“强制执行”，这意味着它们在代理主机上处于活动状态。
审核。规则已创建并设置为“审核”，这意味着它们在代理主机上处于非活动状态。当用户运行违反 AppLocker 规则的应用程序时，该应用程序被允许运行，并且有关该应用程序的信息将添加到 AppLocker 事件日志中。

导入 AppLocker 规则

您可以将从 AppLocker 导出的规则导入到 Workspace Environment Management 中。导入的 Windows AppLocker 设置将添加到“安全”选项卡中的任何现有规则。任何无效的应用程序安全规则都将自动删除并在报告对话框中列出。
  1. 在功能区中，单击“导入 AppLocker 规则”。
  2. 浏览到从 AppLocker 导出的包含您的 AppLocker 规则的 XML 文件。
  3. 单击 Import。
规则将添加到应用程序安全规则列表。

添加规则

  1. 在侧边栏中选择一个规则集合名称。例如，要添加可执行规则，请选择“可执行规则”集合。
  2. 单击 添加规则。
  3. 在 显示 部分，键入以下详细信息：
    • 名称。规则在规则列表中显示的名称。
    • 描述。有关资源的附加信息（可选）。
  4. 在 类型 部分，单击一个选项：
    • 路径。规则匹配文件路径或文件夹路径。
    • 发布者。规则匹配选定的发布者。
    • 哈希。规则匹配特定的哈希代码。
  5. 在 权限 部分，单击此规则是 允许 还是 拒绝 应用程序运行。
  6. 要将此规则分配给用户或用户组，请在 分配 窗格中，选择要分配此规则的用户或组。“已分配”列会为已分配的用户或组显示一个“勾选”图标。
    提示：
    • 您可以使用常用的 Windows 选择修改键进行多项选择，或使用 全选 来选择所有行。
    • 用户必须已在 Workspace Environment Management 用户列表中。
    • 您可以在创建规则后分配规则。
  7. 单击“下一步”。
  8. 根据您选择的规则类型，指定规则匹配的条件：
    • 路径。指定您希望规则匹配的文件路径或文件夹路径。当您选择一个文件夹时，规则将匹配该文件夹内及其下的所有文件。
    • 发布者。指定一个已签名的参考文件作为规则的参考，然后使用“发布者信息”滑块调整属性匹配的级别。
    • 哈希。指定要从中创建哈希的文件或文件夹。规则将匹配该文件的哈希代码。
  9. 单击“下一步”。
  10. 添加所需的任何例外（可选）。在“添加例外”中，选择例外类型，然后单击“添加”。（您可以根据需要“编辑”和“删除”例外。）
  11. 要保存规则，请单击“创建”。

将规则分配给用户

在列表中选择一个或多个规则，然后单击工具栏或上下文菜单中的“编辑”。在编辑器中，选择包含要分配规则的用户和用户组的行，然后单击“确定”。您还可以使用“全选”来清除所有选择，从而取消将选定规则分配给所有人。
注意：如果您选择多个规则并单击“编辑”，则这些规则的任何规则分配更改都将应用于您选择的所有用户和用户组。换句话说，现有规则分配将合并到这些规则中。

添加默认规则

单击“添加默认规则”。一组 AppLocker 默认规则将添加到列表中。

编辑规则

在列表中选择一个或多个规则，然后单击工具栏或上下文菜单中的“编辑”。编辑器将出现，允许您调整适用于所选内容的设置。

删除规则

在列表中选择一个或多个规则，然后单击工具栏或上下文菜单中的“删除”。

备份应用程序安全规则

您可以备份当前配置集中的所有应用程序安全规则。所有规则都将导出为单个 XML 文件。您可以使用“还原”将规则还原到任何配置集。 在功能区中，单击“备份”，然后选择“安全设置”。

还原应用程序安全规则

您可以从 Workspace Environment Management 备份命令创建的 XML 文件还原应用程序安全规则。还原过程会将当前配置集中的规则替换为备份中的规则。当您切换或刷新“安全”选项卡时，将检测到任何无效的应用程序安全规则。无效规则将自动删除并列在报告对话框中，您可以导出该对话框。
在还原过程中，您可以选择是否要将规则分配还原到当前配置集中的用户和用户组。仅当备份的用户/组存在于当前配置集/活动目录中时，重新分配才能成功。任何不匹配的规则都将还原，但仍未分配。还原后，它们将列在报告对话框中，您可以将其导出为 CSV 格式。
1\. 在功能区中，单击“还原”以启动还原向导。
2\. 选择“安全设置”，然后单击两次“下一步”。
3\. 在“从文件夹还原”中，浏览到包含备份文件的文件夹。
4\. 选择“AppLocker 规则设置”，然后单击“下一步”。
5\. 确认是否要还原规则分配：
是。还原规则并将其重新分配给当前配置集中的相同用户和用户组。
否。还原规则并将其保持未分配状态。
6\. 要开始还原，请单击“还原设置”。

进程管理

这些设置允许您将特定进程添加到允许列表或阻止列表。

进程管理

启用进程管理。切换允许列表或阻止列表上的进程是否生效。如果禁用，则不考虑“进程阻止列表”和“进程允许列表”选项卡上的任何设置。
注意：
此选项仅在会话代理在用户会话中运行时才有效。为此，请使用“主配置”代理设置将“启动代理”选项（登录时/重新连接时/针对管理员）设置为根据用户/会话类型启动，并将“代理类型”设置为“UI”。这些选项在高级设置中进行了描述。

进程阻止列表

通过这些设置，可以将特定进程添加到阻止列表。
启用进程阻止列表。启用对阻止列表上的进程的处理。必须使用可执行文件名称（例如 cmd.exe）添加进程。
排除本地管理员。排除本地管理员帐户。
排除指定组。允许排除特定用户组。

进程允许列表

通过这些设置，可以将特定进程添加到允许列表。进程阻止列表和进程允许列表是互斥的。
启用进程允许列表。启用对允许列表上的进程的处理。必须使用可执行文件名称（例如 cmd.exe）。注意：如果启用，启用进程允许列表会自动将所有不在允许列表中的进程添加到阻止列表。
排除本地管理员。排除本地管理员帐户（他们能够运行所有进程）。
排除指定组。允许排除特定用户组（他们能够运行所有进程）。

权限提升

注意：
此功能不适用于 Citrix 虚拟应用。
权限提升功能允许您将非管理用户的权限提升到某些可执行文件所需的管理员级别。因此，用户可以像管理员组的成员一样启动这些可执行文件。

权限提升

当您在“安全性”中选择“权限提升”窗格时，将显示以下选项：
  • 处理权限提升设置。控制是否启用权限提升功能。选中后，使代理能够处理权限提升设置，并且“权限提升”选项卡上的其他选项将可用。
  • 不应用于 Windows Server 操作系统。控制是否将权限提升设置应用于 Windows Server 操作系统。如果选中，分配给用户的规则在 Windows Server 计算机上不起作用。默认情况下，此选项处于选中状态。
  • 强制 RunAsInvoker。控制是否强制所有可执行文件在当前 Windows 帐户下运行。如果选中，系统不会提示用户以管理员身份运行可执行文件。
此选项卡还显示您已配置的完整规则列表。单击“可执行文件规则”或“Windows 安装程序规则”以将规则列表筛选为特定规则类型。您可以使用“查找”来筛选列表。“已分配”列为已分配的用户或用户组显示一个复选标记图标。

支持的规则

您可以使用两种类型的规则应用权限提升：可执行文件规则和 Windows 安装程序规则。
  • 可执行文件规则。包含与应用程序关联的 .exe 和 .com 扩展名文件的规则。
  • Windows 安装程序规则。包含与应用程序关联的 .msi 和 .msp 扩展名安装程序文件的规则。添加 Windows 安装程序规则时，请记住以下情况：
    • 权限提升仅适用于 Microsoft 的 msiexec.exe。请确保用于部署 .msi 和 .msp Windows 安装程序文件的工具是 msiexec.exe。
    • 假设某个进程与指定的 Windows 安装程序规则匹配，并且其父进程与指定的可执行文件规则匹配。该进程无法获得提升的权限，除非在指定的可执行文件规则中启用了“应用于子进程”设置。
单击“可执行文件规则”或“Windows 安装程序规则”选项卡后，“操作”部分将显示以下可用操作：
  • 编辑。允许您编辑现有可执行文件规则。
  • 删除。允许您删除现有可执行规则。
  • 添加规则。允许您添加可执行规则。

添加规则

  1. 导航到可执行规则或Windows 安装程序规则，然后单击添加规则。添加规则窗口随即出现。
  2. 在显示部分中，键入以下内容：
    • 名称。键入规则的显示名称。该名称显示在规则列表中。
    • 描述。键入有关规则的其他信息。
  3. 在类型部分中，选择一个选项。
    • 路径。该规则与文件路径匹配。
    • 发布者。该规则与选定的发布者匹配。
    • 哈希。该规则与特定的哈希代码匹配。
  4. 在设置部分中，如果需要，请配置以下内容：
    • 应用于子进程。如果选中，则将规则应用于可执行文件启动的所有子进程。要以更精细的级别管理权限提升，请使用以下选项：
      • 仅应用于同一文件夹中的可执行文件。如果选中，则仅将规则应用于共享同一文件夹的可执行文件。
      • 仅应用于已签名的可执行文件。如果选中，则仅将规则应用于已签名的可执行文件。
      • 仅应用于同一发布者的可执行文件。如果选中，则此规则仅应用于共享相同发布者信息的可执行文件。此设置不适用于通用 Windows 平台 (UWP) 应用程序。
      注意：
      添加 Windows 安装规则时，应用于子进程设置默认启用，且无法编辑。
    • 开始时间。允许您指定代理开始应用规则的时间。时间格式为 HH:MM。时间基于代理时区。
    • 结束时间。允许您指定代理停止应用规则的时间。时间格式为 HH:MM。从指定时间起，代理不再应用该规则。时间基于代理时区。
    • 添加参数。允许您将特权提升限制为与指定参数匹配的可执行文件。该参数作为匹配条件。请确保您指定的参数正确。有关如何使用此功能的示例，请参阅 (#executables-running-with-parameters)。如果此字段为空或仅包含空格，则无论可执行文件是否带参数运行，代理都会对其应用特权提升。
    • 启用正则表达式。允许您控制是否使用正则表达式进一步扩展条件。
  5. 在分配部分中，选择要为其分配规则的用户或用户组。如果要将规则分配给所有用户和用户组，请选择全选。
    提示：
    • 您可以使用常用的 Windows 选择修改键进行多项选择。
    • 用户或用户组必须已在管理 > 用户选项卡上显示的列表中。
    • 您可以选择稍后（创建规则后）分配规则。
  6. 单击“下一步”。
  7. 执行以下任一操作。根据您在上一页中选择的规则类型，需要执行不同的操作。
    重要提示：
    WEM 为您提供了一个名为 AppInfoViewer 的工具，可从可执行文件中获取发布者、路径和哈希等信息。如果您想为要在管理控制台中配置的应用程序提供相关信息，此工具会很有用。例如，在使用应用程序安全功能时，您可以使用该工具从应用程序中提取相关信息。该工具位于代理安装文件夹中。
    • 路径。键入要应用规则的文件或文件夹的路径。WEM 代理根据 可执行文件路径将规则应用于可执行文件。
    • 发布者。填写以下字段：发布者、产品名称、文件名和文件版本。您不能将任何字段留空，但可以输入星号 (*) 代替。WEM 代理根据发布者信息应用规则。如果应用，用户可以运行共享相同发布者信息的可执行文件。
    • 哈希。单击添加以添加哈希。在添加哈希窗口中，键入文件名和哈希值。您可以使用 AppInfoViewer 工具从选定的文件或文件夹创建哈希。WEM 代理将规则应用于指定的相同可执行文件。因此，用户可以运行与指定文件相同的可执行文件。
  8. 单击“创建”以保存规则并退出窗口。

带参数运行的可执行文件

您可以将特权提升限制为与指定参数匹配的可执行文件。该参数用作匹配条件。要查看可执行文件可用的参数，请使用 Process Explorer 或 Process Monitor 等工具。应用这些工具中显示的参数。
假设您要根据可执行文件路径将规则应用于可执行文件（例如 cmd.exe）。您只想将特权提升应用于 test.bat。您可以使用 Process Explorer 获取参数。
带参数运行的 CMD
在“添加参数”字段中，您可以键入以下内容：
  • /c ""C:\test.bat""
然后，在“路径”字段中键入以下内容：
  • C:\Windows\System32\cmd.exe
在这种情况下，您仅针对 test.bat 将指定用户的特权提升到管理员级别。

将规则分配给用户

在列表中选择一个或多个规则，然后在“操作”部分中单击“编辑”。在“编辑规则”窗口中，选择要为其分配规则的用户或用户组，然后单击“确定”。

删除规则

在列表中选择一个或多个规则，然后在“操作”部分中单击“删除”。

备份特权提升规则

您可以备份当前配置集中的所有特权提升规则。所有规则都将导出为单个 XML 文件。您可以使用“还原”将规则还原到任何配置集。
要完成备份，请使用功能区中提供的“备份”向导。有关使用“备份”向导的更多信息，请参阅功能区。

恢复特权提升规则

您可以从通过 Workspace Environment Management 备份向导导出的 XML 文件中恢复特权提升规则。恢复过程会将当前配置集中的规则替换为备份中的规则。当您切换到或刷新“安全 > 特权提升”窗格时，将检测到任何无效的特权提升规则。无效规则将自动删除并列在可导出的报告中。有关使用“恢复”向导的更多信息，请参阅功能区。

自我提升

借助自我提升功能，您可以为某些用户自动执行特权提升，而无需事先提供确切的可执行文件。这些用户只需右键单击文件，然后在上下文菜单中选择“以管理员权限运行”，即可请求对任何适用文件进行自我提升。之后，将出现一个提示，要求他们提供提升的原因。WEM 代理不验证原因。提升的原因将保存到数据库中以供审计。如果满足条件，则应用提升，文件将以管理员权限成功运行。
此功能还为您提供了灵活性，可根据您的需求选择最佳解决方案。您可以为允许用户自我提升的文件创建允许列表，或为要阻止用户自我提升的文件创建阻止列表。
自我提升适用于以下格式的文件：.exe、.msi、.bat、.cmd、.ps1 和 .vbs。
注意：
默认情况下，某些应用程序用于运行某些文件。例如，cmd.exe 用于运行 .cmd 文件，powershell.exe 用于运行 .ps1 文件。在这些情况下，您无法更改默认行为。
当您选择“安全 > 自我提升”时，将显示以下选项：
  • “启用自我提升”。控制是否启用自我提升功能。选择此选项可：
    • 使代理能够处理自我提升设置。
    • 使“自我提升”选项卡上的其他选项可用。
    • 当用户右键单击文件时，使上下文菜单中的“以管理员权限运行”选项可用。因此，用户可以请求对与您在“自我提升”选项卡上指定的条件匹配的文件进行自我提升。
  • “权限”。允许您为允许用户自我提升的文件创建允许列表，或为要阻止用户自我提升的文件创建阻止列表。
    • “允许”。为允许用户自我提升的文件创建允许列表。
    • “拒绝”。为要阻止用户自我提升的文件创建阻止列表。
  • 您可以执行以下操作：
    • 编辑。允许您编辑现有条件。
    • 删除。允许您删除现有条件。
    • 添加。允许您添加条件。您可以根据路径、选定的发布者或特定的哈希代码创建条件。
  • 设置。允许您配置其他设置，这些设置控制代理如何应用自我提升。
    • 应用于子进程。如果选中，则将自我提升条件应用于文件启动的所有子进程。
    • 开始时间。允许您指定代理开始应用自我提升条件的时间。时间格式为 HH:MM。时间基于代理时区。
    • 结束时间。允许您指定代理停止应用自我提升条件的时间。时间格式为 HH:MM。从指定时间起，代理将不再应用这些条件。时间基于代理时区。
  • 分配。允许您将自我提升条件分配给适用的用户或用户组。要将条件分配给所有用户和用户组，请单击全选或选择所有人。在您想要清除选择并重新选择用户和用户组的场景中，全选复选框非常有用。

审计权限提升活动

WEM 支持审计与权限提升相关的活动。有关详细信息，请参阅审计用户活动。

进程层次结构控制

进程层次结构控制功能控制在父子场景中是否可以从其父进程启动某些子进程。您可以通过定义父进程，然后为其子进程指定允许列表或阻止列表来创建规则。在使用此功能之前，请查看整个部分。
注意：
  • 此功能仅适用于 Citrix 虚拟应用。
要了解规则的工作原理，请记住以下几点：
  • 一个进程只受一个规则约束。如果您为同一个进程定义了多个规则，则只有优先级最高的规则会生效。
  • 您定义的规则不仅限于原始的父子层次结构，还适用于该层次结构的每个级别。适用于父进程的规则优先于适用于其子进程的规则，无论规则的优先级如何。例如，您定义了以下两个规则：
    • 规则 1：Word 无法打开 CMD。
    • 规则 2：记事本可以打开 CMD。
    无论规则的优先级如何，有了这两个规则，您都无法通过先打开 Word，然后从 Word 中打开记事本的方式，从记事本中打开 CMD。
此功能依赖于某些基于进程的父子关系才能工作。要可视化某个场景中的父子关系，请使用 Process Explorer 工具的进程树功能。有关 Process Explorer 的更多信息，请参阅 <https://docs.microsoft.com/zh-cn/sysinternals/downloads/procmon>。
为避免任何潜在问题，建议您在 Citrix Studio 中添加指向 VUEMAppCmd.exe 的可执行文件路径。VUEMAppCmd.exe 可确保 WEM 代理在已发布的应用程序启动之前完成设置处理。在 Citrix Studio 中，完成以下步骤：
  1. 在“应用程序”中，选择应用程序，在操作窗格中单击“属性”，然后转到“位置”页面。
  2. 键入最终用户操作系统上本地应用程序的路径。
    • 在“可执行文件路径”字段下，键入以下内容：<%ProgramFiles%>\Citrix\Workspace Environment Management Agent\VUEMAppCmd.exe。
  3. 键入命令行参数以指定要打开的应用程序。
    • 在“命令行参数”字段下，键入要通过 VUEMAppCmd.exe 启动的应用程序的完整路径。如果路径包含空格，请务必用双引号将应用程序的命令行括起来。
    • 例如，假设您要通过 VUEMAppCmd.exe 启动 iexplore.exe。您可以通过键入以下内容来完成此操作：%ProgramFiles(x86)%\"Internet Explorer"\iexplore.exe。

注意事项

要使此功能正常工作，您需要在每台代理计算机上使用 AppInfoViewer 工具来启用该功能。（该工具位于代理安装文件夹中。）每次使用该工具启用或禁用该功能时，都需要重新启动计算机。启用该功能后，您必须在升级或卸载代理后重新启动代理计算机。
要验证进程层次结构控制功能是否已启用，请在代理计算机上打开“注册表编辑器”。如果存在以下注册表项，则表示该功能已启用：
  • 32 位操作系统
    • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook
  • 64 位操作系统
    • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook
    • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Citrix\CtxHook\AppInit_Dlls\WEM Hook

先决条件

要使用此功能，请确保满足以下先决条件：
  • Citrix 虚拟应用部署。
  • 代理在 Windows 10 或 Windows Server 上运行。
  • 代理主机在就地升级或全新安装后已重新启动。

进程层次结构控制

在安全性中选择进程层次结构控制时，将显示以下选项：
  • 启用进程层次结构控制。控制是否启用进程层次结构控制功能。选中后，进程层次结构控制选项卡上的其他选项将变为可用，并且在那里配置的设置可以生效。您只能在 Citrix 虚拟应用部署中使用此功能。
  • 从上下文菜单中隐藏“打开方式”。控制是否在 Windows 右键单击上下文菜单中显示或隐藏打开方式选项。启用后，菜单选项将从界面中隐藏。禁用后，该选项可见，用户可以使用它来启动进程。进程层次结构控制功能不适用于通过打开方式选项启动的进程。我们建议您启用此设置，以防止应用程序通过与当前应用程序层次结构无关的系统服务启动进程。
进程层次结构控制选项卡还显示您已配置的完整规则列表。您可以使用查找来筛选列表。已分配列为已分配的用户或用户组显示一个复选标记图标。
操作部分显示以下操作：
  • 编辑。允许您编辑规则。
  • 删除。允许您删除规则。
  • 添加规则。允许您添加规则。

添加规则

  1. 导航到 进程层次结构控制 并单击 添加规则。将显示 添加规则 窗口。
  2. 在 显示 部分中，键入以下内容：
    • 名称。键入规则的显示名称。该名称将显示在规则列表中。
    • 描述。键入有关规则的其他信息。
  3. 在 类型 部分中，选择一个选项。
    • 路径。规则与文件路径匹配。
    • 发布者。规则与选定的发布者匹配。
    • 哈希。规则与特定的哈希代码匹配。
  4. 在 模式 部分中，选择以下任一选项：
    • 将子进程添加到阻止列表。如果选中此选项，则在为其父进程配置规则后，可以为适用的子进程定义阻止列表。阻止列表仅禁止您指定的进程运行，而允许其他进程运行。
    • 将子进程添加到允许列表。如果选中此选项，则在为其父进程配置规则后，可以为适用的子进程定义允许列表。允许列表仅允许您指定的进程运行，而禁止其他进程运行。
    注意：
    一个进程仅受一个规则约束。如果您为同一进程定义了多个规则，则这些规则将按优先级顺序强制执行。
  5. 在 优先级 部分中，设置规则的优先级。配置优先级时，请考虑以下事项：优先级决定了您配置的规则的处理顺序。值越大，优先级越高。键入一个整数。如果存在冲突，则优先级较高的规则优先。
  6. 在 分配 部分中，选择要为其分配规则的用户或用户组。如果要将规则分配给所有用户和用户组，请选择 全选。
    注意：
    • 您可以使用常用的 Windows 选择键进行多项选择。
    • 用户或用户组必须已在“管理 > 用户”选项卡上显示的列表中。
    • 您可以选择稍后分配规则（创建规则后）。
  7. 单击“下一步”。
  8. 执行以下任一操作来配置父进程的规则。具体取决于您在上一页选择的规则类型，需要执行不同的操作。
    • 路径。指定要与规则匹配的文件路径或文件夹路径。如果指定文件夹路径，则该规则适用于该文件夹中的所有文件和子文件夹。WEM 代理根据可执行文件路径将规则应用于可执行文件。我们不建议您仅键入星号 (*) 来指示路径匹配。这样做可能会导致意外的性能问题。
    • 发布者。指定要用作规则参考的签名参考文件。使用“发布者信息”滑块调整属性匹配级别。向上或向下移动滑块可使规则更不具体或更具体。如果将滑块移动到“任何发布者”位置，则该规则适用于所有签名文件。WEM 代理根据发布者信息将规则应用于父进程。如果应用，用户可以运行共享相同发布者信息的可执行文件。如有必要，您可以选择“使用自定义值”来自定义信息。
    • 哈希。指定要从中创建哈希的文件或文件夹。该规则与文件的哈希代码匹配。WEM 代理将规则应用于指定的相同可执行文件。因此，用户可以运行与指定可执行文件相同的文件。
  9. 单击“下一步”配置子进程设置。
  10. 执行以下任一操作来定义适用于子进程的允许列表或阻止列表。
    1. 从菜单中选择规则类型，然后单击“添加”。此时将显示“子进程”窗口。
    2. 在“子进程”窗口中，根据需要配置设置。“子进程”窗口的用户界面因您选择的规则类型而异。对于子进程，可以使用以下规则类型：路径、发布者和哈希。
    3. 单击“确定”返回“添加规则”窗口。您可以添加更多子进程，或单击“创建”以保存规则并退出窗口。

将规则分配给用户

在列表中选择一个规则，然后单击“操作”部分中的“编辑”。在“编辑规则”窗口中，选择要为其分配规则的用户或用户组，然后单击“确定”。

删除规则

在列表中选择一个或多个规则，然后单击“操作”部分中的“删除”。

备份规则

您可以备份当前配置集中的所有进程层次结构控制规则。所有规则都将导出为单个 XML 文件。您可以使用“还原”将规则还原到任何配置集。
要完成备份，请使用功能区中提供的“备份”向导。有关使用“备份”向导的详细信息，请参阅功能区。

还原规则

您可以从通过 Workspace Environment Management 备份向导导出的 XML 文件中还原进程层次结构控制规则。还原过程会将当前配置集中的规则替换为备份中的规则。当您切换到或刷新“安全 > 进程层次结构控制”窗格时，任何无效规则都将被删除并列在可导出的报告中。有关使用“还原”向导的详细信息，请参阅功能区。

审核进程层次结构控制活动

WEM 支持审核与进程层次结构控制相关的活动。有关详细信息，请参阅审核用户活动。

审核用户活动

WEM 支持审核与权限提升和进程层次结构控制相关的活动。要查看审核，请转到“管理 > 日志记录 > 代理”选项卡。在该选项卡上，配置日志记录设置，在“操作”字段中选择“ElevationControl”、“Self-elevation”或“ProcessHierarchyControl”，然后单击“应用筛选器”以将日志缩小到特定活动。您可以查看权限提升或进程层次结构控制的整个历史记录。
用户活动日志