安全

Last published : Nov 13, 2026
Related information
配置集

应用程序安全性

应用程序安全功能允许您定义规则，以控制用户可以运行哪些应用程序和文件。您可以在 Web 控制台中配置应用程序安全规则，并提供一个工具来检索规则配置所需的信息。此外，您还可以使用此功能创建包含安全规则的分配组。

配置

启用“处理应用程序规则”和“处理 DLL 规则”时，“覆盖”模式默认处于打开状态。在“覆盖”模式下，最后处理的规则会覆盖之前处理的规则。我们建议您仅将此模式应用于单会话计算机。此功能还允许您创建以下规则：
  • 可执行规则
  • Windows 安装程序规则
  • 脚本规则
  • 打包应用规则
  • DLL 规则
注意：
在创建规则之前，建议您首先添加默认规则，以确保重要的系统文件可以运行。
  • 处理应用程序规则。选中此项后，“应用程序安全”选项卡控件将启用，代理会处理当前配置集中的规则，并将其转换为代理主机上的 AppLocker 规则。未选中此项时，“应用程序安全”选项卡控件将禁用。
    注意：
    如果 Workspace Environment Management™ 管理控制台安装在 Windows 7 SP1 或 Windows Server 2008 R2 SP1（或更早版本）上，则此选项不可用。
  • 处理 DLL 规则。选中此项后，代理会处理当前配置集中的 DLL 规则。此选项仅在您选择“处理应用程序安全规则”时可用。
    重要提示：
    如果使用 DLL 规则，则必须为所有允许的应用程序使用的每个 DLL 创建一个具有 允许 权限的 DLL 规则。
    注意：
    如果使用 DLL 规则，用户可能会遇到性能下降的情况。
  • “覆盖”和“合并”设置可让您确定代理如何处理应用程序安全规则。
    • 覆盖。允许您覆盖现有规则。选中此项后，最后处理的规则会覆盖之前处理的规则。我们建议您仅将此模式应用于单会话计算机。
    • 合并。允许您将规则与现有规则合并。发生冲突时，最后处理的规则将覆盖之前处理的规则。如果需要在合并期间修改规则强制执行设置，请使用覆盖模式，因为如果值不同，合并模式会保留旧值。

规则集合

每个集合名称都指示其包含的规则数量，例如 (12)。单击集合名称可将规则列表筛选为以下集合之一：
  • 可执行规则。包含与应用程序关联的 .exe 和 .com 扩展名文件的规则。
  • Windows 规则。包含安装程序文件格式（.msi、.msp、.mst）的规则，这些格式控制客户端计算机和服务器上文件的安装。
  • 脚本规则。包含以下格式文件的规则：.ps1、.bat、.cmd、.vbs、.js。
  • 打包规则。包含打包应用（也称为通用 Windows 应用）的规则。在打包应用中，应用包中的所有文件共享相同的身份。因此，一个规则可以控制整个应用。Workspace Environment Management 仅支持打包应用的发布者规则。
  • DLL 规则。包含以下格式文件的规则：.dll、.ocx。
将规则列表筛选到某个集合时，可以使用“规则强制执行”选项。以下规则强制执行值是可能的：
关（默认）。规则已创建并设置为关，这意味着它们不适用。
开。规则已创建并设置为强制执行，这意味着它们在代理主机上处于活动状态。
审核。规则已创建并设置为审核，这意味着它们在代理主机上处于非活动状态。

创建 Windows 安装程序规则

这包括两个菜单项：“基本信息”和“例外”。要创建 Windows 安装程序规则，请在“基本信息”和“例外”下完成以下步骤：
  • 选择“创建规则”将转到“创建 Windows 安装程序规则”页面。
  • 输入名称和可选描述。
  • 选择所需的操作。
  • 从下拉列表中选择条件类型，例如路径、发布者或文件哈希。
  • 选择打开文件信息查看器会将您定向到 WEM 工具中心。使用 WEM 工具中心**快速获取所需信息。有关详细信息，请参阅文件信息查看器。
  • （可选）您可以添加例外，以包含通常根据主要条件包含在规则中的文件。要执行此任务，请选择添加例外。
  • 转到 WEM 工具中心，从文件信息查看器下指定的条件之一复制数据，然后单击从文件信息查看器粘贴。
  • 点击 完成。
  • 选择继续分配以在管理分配页面中根据需要更新分配。
  • 选择分配目标（用户和组）以分配此项目。使用筛选器使分配具有上下文。您指定的筛选器仅在覆盖模式下有效，并且仅在代理版本 2406 或更高版本上受支持。
  • 如果需要将特定规则应用于所有文件，请输入星号。

权限提升

此功能定义了使用管理员权限运行某些程序的规则。您可以将非管理用户的权限提升到某些可执行文件所需的管理员级别。因此，用户可以启动这些可执行文件，就好像他们是管理员组的成员一样。

权限提升选项

  • 处理权限提升规则：选中后，使代理能够处理权限提升设置，并且“权限提升”选项卡上的其他选项变为可用。
  • 应用于 Windows Server 操作系统：控制是否将权限提升设置应用于 Windows Server 操作系统。如果选中，分配给用户的规则将在 Windows Server 计算机上生效。默认情况下，此选项处于禁用状态。
  • 强制 RunAsInvoker：控制是否强制所有可执行文件在当前 Windows 帐户下运行。如果选中，则不会提示用户以管理员身份运行可执行文件。
此窗格还显示您已配置的完整规则列表。单击可执行规则、Windows 安装程序规则或自我提升以将规则列表筛选为特定规则类型。您可以使用“查找”来筛选列表。分配列为已分配的用户或用户组显示一个复选标记图标。

支持的规则

您可以使用两种类型的规则配置权限提升：可执行规则和 Windows 安装程序规则。
  • 可执行规则：包含与应用程序关联的 .exe 和 .com 扩展名文件的规则。
  • Windows 安装程序规则：包含与应用程序关联的 .msi 和 .msp 扩展名安装程序文件的规则。添加 Windows 安装程序规则时，请考虑以下情况：
    • 权限提升仅适用于 Microsoft 的 msiexec.exe。请确保用于部署 .msi 和 .msp Windows 安装程序文件的工具是 msiexec.exe。
    • 假设某个进程与指定的 Windows 安装程序规则匹配，并且其父进程与指定的可执行规则匹配。除非在指定的可执行规则中启用了应用于子进程设置，否则该进程无法获得提升的权限。
  • 自我提升：启用后，当您右键单击文件时，上下文菜单中会显示以管理员权限运行选项。选择此选项后，系统会提示您提供提升权限的原因。然后，根据您指定的条件，允许或拒绝提升权限。要配置规则，您可以使用 WEM 工具中心 > 文件信息查看器快速获取所需信息，例如路径、发布者和哈希值。您还可以指定时间段、选择星期几，并可选择设置条件以确定规则生效的计算机。当配置集中首次启用自我提升开关时，将创建自我提升规则，并且在管理分配目标时可以在规则列表中找到该规则。该规则创建后永不删除。
您可以指定规则生效的时间段。此外，您还可以选择设置条件以确定规则适用于哪些计算机。您可以选择匹配以下所有或任何条件：
  • 计算机目录名称
  • 交付组名称
  • 设备名称
  • IP 地址
  • 操作系统平台类型
  • 操作系统版本
  • 持久性计算机状态
选择可执行规则、Windows 安装程序规则或自我提升规则后，操作部分将显示以下可用操作：
  • 编辑。允许您编辑现有可执行规则。
  • 删除。允许您删除现有可执行规则。
  • 创建规则。允许您创建可执行规则。要创建可执行规则，请按照向导说明进行操作。