谈在WindowsServer中使用软件限制策略

1在WindowsServer2003中使用软件限制策略概要本文说明如何在WindowsServer2003中使用软件限制策略。使用软件限制策略可以标识并指定允许运行的软件，以便保护您的计算机环境不会受到不可信代码的攻击。使用软件限制策略时，可以为组策略对象(GPO)定义两种默认平安级别〔分别是无限制和不允许〕中的一种，使得在默认情况下或者允许软件运行，或者不允许软件运行。要创立此默认平安级别的特例，可以创立针对特定软件的规那么。可以创立以下几种规那么：•哈希规那么

•证书规那么

由•额路径棕规那么弹

盖•详In基te宅rn油et说区案域规染那么介

惹一个贴策略丸由默浆认安悬全级住别和捎所有纤应用愉于羽GP汪O躲的规踪那么组练成。轮此策舌略可好以应辅用于巩所有智的计劫算机叼或者热个别套用户急。软旨件限皂制策削略提胳供了详许多址标识势软件逢的方尚法，抗它们障还提产供了铅基于弱策略货的基榴础结脆构，乡以便辱强制辩执行翼关于棋软件糠是否或可以冈运行麦的决隔定。举有了彩软件储限制嚷策略饱，用讽户在县运行欣程序疾时必钥须遵湖守管蓝理员紫设置返的规罩那么。界通过铅软件欲限制零策略沫，可惑以执留行以攻下任瓜务：耐个•砍控制喝可以誉在计宇算机满上运波行的轮程序眼。例虽如，悼如果怕担忧扔用户嫌通过笛电子绪邮件驱收到们病毒荷，可蜂以应鸦用一士个滤策略陕，不真允许丸一些手文件淹类型庙在电雄子邮柔件程支序的沿电子薪邮件帐附件礼文件炒夹中竭运行亡。朋

搜•远在多挖用户够计算制机上菌，仅拍允许仰用户轿运行消特定麻的文覆件。春例如舱，如绣果您腊的方案算机范上有分多个叼用户帅，您系可以颤设置慎软件欧限制狐策略剖，使拿用户蜻除了锄可以晒访问此必须斜在工潮作中雕使用级的特俯定文亦件外到，不世能访蹈问其鼻他任霜何软劫件。痕

患•杠确定尊谁可请以向右计算优机中状添加役受信白任的税发布麦效劳糕器。独

借•扎控制横软件妙限制颈策略扰是影趟响计泊算机馆上的测所有尚用户迷，还喊是只毛影响也一些夫用户滨。编

凶•月阻止戒任何薪文件剑在本置地计感算机遗、组听织单邀元、衬站点排或域烟中运黄行。软例如谅，如话果存驴在已愁知病建毒，粱就可择以使帖用软牵件限闸制策勇略阻公止计疤算机割翻开汇包含顽该病律毒的棕文件枯。毁重要挖说明坡：M姜ic须ro炊so创ft催建耳议不步要用燥软件俩限制问策略践代替忘防病纪毒软垫件。侧

半如何锁启动管软件娘限制辛策略什仅对鼓于本翅地计叹算机架1.注单聋击开摸始，钞指向俯程序车，指理向管默理工总具，弃然后环单击每本地姓平安匀策略合。浮

丝2.卖在匪控制动台树版中，僚展开叫平安孔设置孩，然画后展证开软粥件限锄制策烂略。役对于房成员烤效劳既器上赞的域扣、站塘点或脏组织副单元宅或者番已经遍参加师域的骡工作萍站雅1.抹打悉开蕉Mi滤cr鹊os投of跟t久管理奇控制预台松(M绘MC留)。稻要执华行此赛操作苦，请矿单击覆开始债，单环击运液行，千键入椅mm贺c，祝然后底单击芹确定释。晴

具2.阳在驰文件首菜单庙中，精单击璃添加骆/删喷除管创理单触元，昼然后有单击街添加站。誉

冰3.到单筐击组革策略栗对象目编辑四器，榴然后子单击墨添加蔑。尿

阳4.阁在非选择铜组策阁略对始象中闲，单渣击浏涨览。掘

礼5.攀在突浏览旋组策堆略对苏象中络，选傅择相盟应的迟域、堪站点日或组眠织单待元中天的一剧个组哈策略增对象粗(限GP蠢O)愤，然殖后单肝击完鱼成。旦或者花，可著以创姜建一半个新道的隙GP香O，下然后毅单击消完成占。福

心6.关单舌击关绣闭，取然后皇单击登确定浩。禾

脖7.涉在饶控制灾台树硬中，粮转到烧以下芝位置亮：跑

桌组策具略对割象夸Co亩mp嫂ut蝇er割_n概am沿e闭策略斧/计缠算机象配置最或用布户/北配置胖/W便in陵do争ws齐设蚁置/糕平安生设置非/软乎件限猪制策量略

狡对于磨域控侮制器缘上的疫组织绪单元际或域颤或者到已经细安装箱了管鄙理工配具包恒的工孔作站痒1.垫单剖击开发始，席指向嫌所有页程序对，指恶向管扩理工贞具，橡然后厉单击围锁Ac瞎ti想ve县D苹ir撇ec置to会ry鼓用火户和城计算忧机。绘

脂2.兵在爹控制交台树参中，俘右键棕单击梢希望穗为其泛设置泼组策蓄略的购域或怠组织容单元倍。贼

依3.槐单歌击属脚性，欣然后短单击苏组策惜略选穿项卡畏。鸟

息4.国单私击组央策略蝴对象京链接甩中的贷一项掠，选冤择一忧个现删有的驼G泡PO泼，然拌后单涂击编海辑。嚼或者挥，可道以单判击新筐建创佩建一戴个新滨的后GP弓O，口然后烧单击胆编辑歉。那么

逗5.枪在辟控制爆台树白中，侄转到乖以下茎位置饿：贝

激组策像略对惕象抱Co固mp外ut勿er摆_n念am界e煤策略甚/计逃算机呀配置纵或用兼户配大置/零Wi箩nd堪ow汁s夫设置眉/安曲全设雅置/吗软件舍限制蚊策略凳

你对于伯站点劳和域访控制窑器或棉者已怖经安玉装了允管理伞工具车包的伟工作浇站桥1.凳单戚击开数始缺，指盐向所长有程案序，店指向残管理裂工具闲，然险后单丘击红Ac蓬ti乞ve神D桃ir芝ec引to接ry脂站行点和术效劳排。脱

揪2.虑在利控制汗台中箱，右叮键单部击希画望为完其设焰置组袍策略件的站闪点：掏•皆A名ct右iv传e护Di桌re渴ct脖or躺y鬼站点蓄和服嘴务塘[纵Do夫ma氧in撑_C摆on粪tr末ol梅le农r_不Na知me芒。D老om赤ai谁n_利Na宿me咸]慈

灯•渣站点茂

露•徐站点滥3.俱单温击属总性，殖然后墨单击午组策特略选四项卡肥。盟

踢4.钓单呀击组娱策略么对象期链接祥中的掩一项坦，选发择一兴个现谈有的箭G勺PO盒，然摄后单启击编劈辑。剑或者绳，单币击新啄建创巩建一选个新监的目GP尾O，右然后浇单击牛编辑琴。俊

躁5.仿在乖控制绪台树鄙中，炊转到腾以下鞭位置决：专

种组策裤略对椅象王C顾om旅pu争te盈r_左na咽me祝策竖略/泼计算阅机配孩置或坑用户挂配置想/W携in假设do埋ws届设铲置/帖平安监设置纹/软售件限农制策描略勉

的重要膊说明输：单恭击用恐户配敏置设占置将卫要应圾用于毒用户将的策笋略，煌与用轮户登苍录的魂计算谊机无院关。拣单击合计算色机配字置设俱置将蹲要应绪用于廉计算沙机的忠策略必，与备登录天到计什算机晌的用而户无导关。妥还可格以通美过使擦用称两为“疏环回近〞的翼高级奴组策鸦略设系置，星在特露定的知用户荒登录贴到特惠定的挽计算场机时弟对他拴们应善用软宝件限番制策针略。异

凝如何筑防止勒软件扫限制充策略规应用栽于本冶地管仪理员政1.晕单也击开屠始，擦单击匹运行粪，键顶入志mm翠c，油然后窝单击成确定便。蔽

含2.靠打烂开软诸件限蜂制策殃略。永

绵3.岸在唉详细但信息盈窗格才中，虏双击骄强制粪。词

木4.围在移“将弄软件芒限制描策略龙应用狱于下鸭列用重户〞舌下，聚单击息“除顶本地桐管理免员以取外的葱所有绘用户丰〞。姥

叉注意闲：障•雨如果补您还尽没有朝为此宾G片PO躁创观建新抖的软课件限却制策书略设袖置，慢可能忆必须这创立劲一个阴。瓶

醒•依一般掉情况横下，疯用户限是组耐织内离计算业机上纱的本欣地管蛮理员貌组的魂成员踩，因斧此您总可能臂不想夫启用晋此设暮置。干软件肠限制商策略台不会愈应用勾于任艰何属顶于本床地管氏理员克组的幅用户边。从

冤•贪如果饺您正叮在为的本地痰计算饭机定套义软窗件限停制策斑略设惯置，隐可以慧使用灯此过贪程防太止本新地管斗理员似将软和件限般制策艘略应捷用于妈自身粘。如肆果您赠正在州为网那络定鞋义软靠件限塔制策纤略设蛋置，甲可以扬通过爆使用敲组策炭略，眉基于柜平安勺组的两成员倚身份散筛选杜用户业策略庙设置洪。

限如何衔创立并证书青规那么断1.潜单牛击开艰始，肺单击熟运行念，键龟入旗mm逝c，选然后报单击该确定态。敬

虏2.芳打导开软尸件限指制策等略。粮

革3.阔在冰控制希台树偷或详斑细信毛息窗困格中鸦，右苗键单澡击其斗他规踢那么，荷然后会单击扛新建罗证书蝴规那么盛。套

摇4.钩单搁击浏奴览，丧然后厚选择愈证书拿。栋

寄5.降选阴择安前全级兆别。输

协6.常在您描述赶框中处，键炕入对嘉此规姐那么的萝说明超，然药后单朴击确余定。您

亦注意瓜：洁•询有关件如何茂在菜MM维C明中启节动软备件限博制策贩略的贱信息笼，请历参见隐W允in偏do轨ws茫S反er汪ve艇r含20铸03等帮米助文饥件的白“相享关主巾题〞专中的复“启稍动软熟件限粮制策葡略〞知。惰

乡•妨如果台您还升没有唐为此叹G房PO漠创局建新证的软唇件限领制披策略晒设置版，可挥能必宁须创煮建一碧个。逼

畜•咱默认秒情况构下不廊启用抱证书透规那么钉。要臣启用垃证书吹规那么碎：肠1.消单种击开皆始，术单击韵运行赢，键辅入伐re探ge条di止t，描然后页单击促确定完。缎

站2.桥找洲到并朗单击刻以下塌注册走表项消：托

崇HK评EY疼_L城OC问AL气_M昼AC箭HI拿NE甚\S暂OF希TW寒AR贡E\厚Po剧li扣ci惑es孔\M艰ic伶ro似so蓄ft倒\W裕in万do靠ws橡\S酷af铁er荒\C烛od议eI李de糟nt赖if月ie渣rs缘

踢3.燃在才详细墓信息窝窗格饲中，搂双击郑A的ut崇he末nt桂ic舌od饭eE保na恰bl更ed供，然益后将份值数担据从廊0筹更己改为肃1惠。谜

低•够证书丝规那么标只影夜响指控派的朽文件墙类型娇中列意出的设那些为文件吐类型漆。存两在一揪个由症所有旅规那么叙共享故的指班派文辨件类卷型的禽列表裳。券

秃•持要使昨软件良限制撕策略狮生效博，用爪户必醒须从乱他们慰的计腔算机坚上注榜销然葛后再慎次登么录以骆更新缩策略岸设置漂。痰

轧•聋当应当用于奖策略屑设置做的规陶那么不睁止一耍个时上，存邻在处填理冲斥突的阿规那么趣优先好权。偶

苍如何伐创立范哈希隆规那么抢1.脊单禽击开帐始，猾单击狮运行筹，键歌入央mm熄c，尿然后舞单击乖确定筑。

撇2.胖打丹开软磁件限体制策籍略。伤

齿3.堤在乔控制下台树王或详曾细信殿息窗区格中疗，右劣键单洽击其雹他规程那么，舱然后逆单击局新建浓哈希识规那么动。斯

维4.脆单员击浏手览找抹到文递件，弃或者愧将预傅先计辅算好懒的哈词希值中粘贴韵到文该件哈置希框题中。吉

篮5.取在纺平安缺级别窃框中永，单忧击不唐允许龙或无究限制架。高

六6.司在竞描述苏框中余，键竞入对跳此规连那么的御说明雄，然休后单辛击确琴定。告

平注意骆：斜•浩如果鞠您还孤没有些为此驳G翅PO玩创分建新孔的软找件限疤制策旱略设备置，框可能碗必须崖创立脂一个蒸。梯

婆•拾可以煌创立蔽针对串病毒烈或特哥洛伊僻木马烟程序拉的哈刮希规扛那么，寇以防亿止恶抓意软前件运秒行。于

固•崖如果棵您希京望其敲他用尊户使垦用哈邪希规群那么防觉止病前毒运玻行，予可以耀使用领软件由限制注策略催计算岂病毒扣的哈离希值捆，然递后将并此哈灰希值蓄通过健电子怎邮件肢发送糟给其旷他用窝户。宋千万素不要递通过食电子淋邮件处发送去病毒县本身亡。桃

海•朝如果家已经著通过产电子他邮件腿发送慧了病各毒，晴还可犁以创葛建路肥径规薯那么以句阻止壶用户宽运行叶邮件逆附件善。污

究•荣将文址件重漏命名刻或移兽动到貌另一雅个文嫩件夹邮不会只导致睁哈希玩值改塌变。很

那•馅对淡文件等进行悔任何陵更改艺都会胸导致须哈希惜值改锈变。躬

竹•寨哈希版规那么临只影晓响指怎派的靠文件摆类型武中列内出的栏那些产文件丢类型假设。存换在一佩个由扯所有器规那么掩共享眼的指鲜派文圾件类眯型的惊列表望。浸

昨•多要使旬软件细限制注策略抹生效援，用脉户必亿须从系他们午的计庄算机文上注汪销然六后再肾次登蝶录以皇更新迅策略曾设置脆。回

铜•朝当应编用于卡策略葱设置潜的规斑那么不欣止一含个时认，存常在处搜理冲腿突的修规那么躬优先找权。谦

屡如何毛创立魔I忘nt朽er碌ne亩t志区域诚规那么到1.晋单巧击开寸始，捏单击倾运行棍，键娘入辩mm趁c，蜜然后办单击忘确定偿。巷

终2.劳打劲开软角件限遗制策椒略。严

柿3.徐在疑控制符台树钳中，塑单击鞋软件之限制梯策略浑。嗽

淘4.遇在女控制笑台树馅或详彩细信咬息窗奔格中疲，右鼻键单剖击其些他累规那么进，然杠后单牢击新汉建繁In嚼te珍rn远et搅区戴域规拖那么。凶

至5.地在坦I饮nt罗er哲ne药t购区域伯中，叉单击客某个撞I据nt功er功ne由t集区域管。帜

犬6.汤在际平安练级别象框中煌，单按击不供允许遵或无懂限制劲，然容后单螺击确择定。萌

脉注意强：佩•诚如果讨您还跪没有矩为此泼G巷PO寺创揭建新关的软绝件限金制策英略设向置，伯可能客必须块创立午一个福。交

榴•失区域怕规那么乐仅应搏用于猜W妹in亦do踪ws逗I筝ns勿ta连ll检er鸟软皮件包狭。皂

屈•淋区域到规那么技只影陈响指总派的漂文件辈类型谅中列园出的览那些牺文件申类型降。存慢在一表个由挥所有坡规那么哨共享棵的指河派文算件类假设型的番列表功。团

匆•洪要使烘软件侮限制晌策略境生效乎，用青户必啄须从株他们瘦的计娃算机到上注镇销然靠后再炒次登嚷录旺以更余新策片略设屠置。贪

丛•允当应给用于不策略夫设置侵的规索那么不盼止一搞个时裕，存肥在处岁理冲射突的限规那么铅优先但权。傅

扣如何残创立浓路径拣规那么棒1.寨单泛击开解始，用单击缘运行牺，键忽入经mm射c，只然后叼单击纵确定模。伯

种2.矛打捏开软帐件限侨制策僚略。涌

草3.震在前控制恰台树刺或详译细信矿息窗架格中赠，右未键单民击其产他规食那么，肆然后浇单击沟新建教路径电规那么垄。叮

滑4.趁在丈路径新框中灶键入熊路径舟，或炊单击落浏览叹查找康文件氧或文适件夹健。围

念5.纹在痛平安缴级别谈框中汁，单恼击不粱允许林或无盲限制寸。德

织6.绵在仙描述回框中有，键甚入对洪此规永那么的侨说明疯，然述后单系击确绒定。让重要获说明斤：将枣某些雀文件届夹〔棒如胞Wi飘nd尘ow截s匀文件讽夹〕迈的安构全级茎别设胞置为雁不允燕许会伞对操装作医的操画作产某生负惯面影妈响。蕉请确盼保没鼓有禁柿用操男作的袜关键倾组件欲或其滋相关校程序忠。挂

希注意过：婶•沫如果泳您还侮没有迷为此萌G欧PO盆创宁建新密的软盏件限浊制策梳略设困置，木可能膊必须毙创立卧一个涌。乓

碌•怜如果桃为一略个安厅全级沸别为直不允飞许的治程序讨创立田了路扩径规肯那么，疯用户彼将该艇软件滥复制队到其萝他位锁置后扭仍可百运行邻该软逢件。廉

政•喂路径晶规那么幸支持略的通绸配符遥为星忌号寸(*掠)粗和问恋号蜻(?富)。琴

依•夺可以延在路孤径规提那么中熟使用栏环境彻变量携〔如乏%州pr坚og偿ra限mf肿il嚼es饰%拴或蚕%s颤ys穗te欲mr膏oo祥t%眨〕。万

枣•洁当您尝不知宵道软壶件在烛计算桐机上热的存灵储位添置，旱但知虾道其卵注册博表项罪时，职要为涉该软仆件创娃建路浅径规腾那么，赤可以笋创立落注册侧表路鸣径规咸那么。赤

愤•宜要防关止用忧户运菜行电黄子邮肤件附行件，店可为早邮件控程序玩的附洽件文爷件夹金创立积一个古防止巡用户洗运行揪电子软邮件遇附件胆的路乏径规医那么。昨

彻•驻路径箭规那么岔只影化响指朴派的岸文件翁类型沿中列功出的束那些讯文件丧类型搬。存洗在一剑个由杀所有定规那么歇共享叫的指驱派文银件类森型的稀列表皱。蛙

装•恨要使造软件决限制虫策略式生效初，用初户必阻须从昌他们刷的计得算机死上注既销然靠后再们次登槐录以播更新椒策略涝设置吓。妙

抗•逢当应壳用于慢策略才设置按的规软那么不缎止一岭个时蛋，存略在处忆理冲怒突的锡规那么徒优先南权。系

怨如何薯创立裂注册意表路挺径规部那么贝1.劲单巧击开伐始，阵单击雾运行虾，键彩入释re棒ge圾di蜻t，湖然后正单击势确定勾。畜

辫2.杜在阔控制辨台树蜜中，附右键见单击畜希望杀为其津创立锻规骨那么的厉注册味表项改，然缠后单龙击复鄙制项搅名称辈。吧

眨3.支记术下详养细信假息窗迷格中功的值连名称渡。跨

县4.防单春击开绩始，崖单击夫运行光，键载入离mm阳c，魔然后畜单击泪确定杯。竹

医5.次打我开软艳件限赴制策叮略。浮

泻6.改在礼控制毛台树露或详绩细信观息窗喜格中门，右凶键单判击其葬他规池那么，诱然后链单击活新建影路径佩规那么分。东

逃7.号在离路径睡中粘腔贴注片册表刻项名圣称和亩值名违称。掏

甜8.降用呆百分踏号天(%渴)案将注仍册表含路径呼括起但来，歌例如灾：揪

膨%H椅KE敌Y_邀LO券CA瑞L_膝MA象CH胀IN轻E\拾SO爆FT馅WA育RE翠\M摄ic售ro饭so葛ft梢\P祝la娘tf糕or种mS架DK作\D堤ir碍ec孩to揭ri醉es栋\I炊ns叮ta廉ll仆Di始r%隶

搏9.众在骨平安川级别础框中饲，购单击阀不允集许或欠无限球制。垒

腊10采.贴在描广述框油中，叔键入秋对此外规那么挽的说虚明，挂然后烦单击既确定泻。轰

宝注意拣：长•秩如果岛您还胖没有得为此短G既PO骨创阳建新相的软脱件限已制策穗略设桶置，阶可能锣必须耽创立鹊一个歌。溪

宪•毕必须苗是“午管理龟员〞进组的哪成员教才能贝执行饭此步僵骤。观

需•测按如录下所递示修流改注没册表叠路径回的格陶式：适

笨%罚注册很表配矿置单睡元\旋注漠册表颂项名教称\诵值仗名称律%

糕

栏•灵必须供写出莫注册遗表配达置单撒元的插全称激，不弃能使锦用缩煎写。周例如嘱，不霜能用晃H捏KC匠U心代替缩H心KE扬Y_萝CU混RR落EN拒T_怨US粥ER陆。韵

袜•备注册例表路如径规性那么在依未尾滥的百浊分号境(驼%)恩后铃面可霉以加摔一个惯后缀译。不户要在屋后缀怎中使吓用反按斜杠搬劳(\确)。剖例如毒，可师以使赵用以罢下注乱册表蝴路径巾规那么午：遇

违%H棕KE命Y_脉CU旺RR亏EN匆T_进US张ER着\S例of挠tw辰ar汤e\宅Mi慌cr宝os赵of专t\款Wi宫nd厉ow雨s\养Cu炕rr始en裙tV神er祝si龙on差\E听xp瓶lo蛛re抵r\芒Sh凤el丛l告Fo飘ld傅er窃s\壤Ca规ch冰e%风OL嫁K*伸

煮•棍路径跪规那么级只影绞响指夸派的漆文件址类型验中列税出的貌那些乌文件士类型蜘。存嘴在一涉个由粉所有蚁规那么宜共享动的指屡派文灵件类能型的伪列表馅。务

寿•征要使款软件您限制暑策略隐生效揪，用节户必覆须从矛他们搭的计幕算机少上注赴销然想后再盈次登尖录以新更新灭策略窗设置甚。杰

惯•炎当应哲用于谊策略食设置前的规腾那么不泛止一迷个时浑，存布在处嫂理冲会突的尊规那么宫优先右权。父

络如何从添加甘或删也除结指派允的文诚件类勉型略1.赠单示击开洞始，提单击炕运行压，键饱入习mm伟c，泳然后黑单击凯确定碰。抖

罚2.配打歇开软捏件限盆制策福略。殖

邻3.段在下详细区信息益窗格拔中，顷双击抚指派币的文具件类孙型。刻

垂4.革根杀据需皆要执竟行以薄下步肌骤之贷一：勉•浴要龟添加蛇文件派类型掘，在龄文件销扩展返名框侨中键存入文睬件扩协展名矛，然毫后单唱击添糖加。撕

鱼•百要删司除文标件类士型，城在指兔派的杂文件目类型脸框中匹单击暑该文午件类斑型，佩然后炭单击轧删除恳。撒

温注意仆：腥•腰如果巴您还妈没有州为此惭G间PO室创怨建新戒的软诉件限垃制策食略设迹置，镰可能凶必须疼创立能一个具。咳

轮•吴指派抛文件剂类型蛛列表乱由每凉个配躲置的恒所有走规那么艇共享修。用铜于计兵算机摊策略选设置历的指互派文岔件类广型列膛表和葛用于茅用户途策哀略设众置的户指派刑文件咱类型许列表燃是不律一样酱的。

迁如何带更改放软件狮限制摆策略烫的默朵认安威全级烛别堆1.夜单考击开椒始，止单击盲运行匹，键兆入模mm章c，拢然后绿单击刘确定真。朝

刑2.刮打蜓开软虹件限烈制策海略。越

锄3.查在糕详细各信息侨窗格外中，眉双击表平安始级别白。沾

巧4.逆右泰键单远击希御望设垂为默脑认值枕的安谨全级捎别，揉然后内单击歼设为敏默认勇值。换小心衬：如搬果将掌某些焦文件灯夹的亏平安林级别四设置争为不宵允许惠，会烟对操裳作产榨生负她面影腰响。钥

传注意洲：示•融如果炭您还氧没有贱为此硬G楼PO键创核建新惯的软族件限歪制策