Blockera appar på Windows 10- eller 11-enheter med anpassade inställningar

Utgåvor som stöds för den här funktionen: Frontline Starter, Frontline Standard och Frontline Plus, Business Plus, Enterprise Standard och Enterprise Plus, Education Standard, Education Plus och Endpoint Education Upgrade, Enterprise Essentials och Enterprise Essentials Plus, Cloud Identity Premium. Jämför utgåvor

När du hanterar Windows-enheter i organisationen med Windows-enhetshantering kan du begränsa vilka appar som tillåts på enheterna genom att lägga till anpassade inställningar i Googles administratörskonsol. Du anger apparna i en XML-fil som du laddar upp som värde för den anpassade inställningen. Du kan blockera enskilda appar eller alla appfiler som matchar en viss typ, till exempel EXE- eller MSI-filer.

Steg 1: Ange tillåtna och blockerade appar i en XML-fil

Du kan skapa XML-filen med kommandoraden i PowerShell eller det grafiska användargränssnittet i redigeraren för Windows-gruppolicy. De här anvisningarna visar hur du skapar en enskild policy, men du kan kombinera relaterade policyer för appar med samma filtyp i en XML-fil. Se exemplen.

Viktigt! Om du vill blockera olika typer av appfiler (EXE, MSI, skript, StoreApps och DLL) måste du skapa separata anpassade inställningar.

Alternativ 1 – kommandorad (PowerShell)

  1. Använd en GUID-generator online för att få ett slumpmässigt GUID. Tips! Sök efter online GUID generator i en sökmotor.
  2. Om du vill blockera en specifik app hämtar du appinformationen. Om du vill blockera alla appar med en viss filtyp kan du hoppa över det här steget.
    1. På en Windows-enhet laddar du ned den körbara filen (den som slutar med .exe) som du vill blockera eller tillåta.
    2. Öppna PowerShell.
    3. Kör Get-AppLockerFileInformation -path PathToExe | format-list, där PathToExe är sökvägen till den körbara filen.
    4. Leta reda på och registrera värdena på raden Publisher i svaret. Värdena har följande format och motsvarar värden som du använder i XML:

      UtgivarnamnProduktnamnBinärnamn,Binärversion

      Utgivarens namn är en lång sträng, till exempel O=MICROSOFT CORPORATION, L=REDWOOD, S=WASHINGTON, C=US, och du måste inkludera hela strängen.

  3. Kopiera följande XML till en textredigerare:

    <RuleCollection Type="Type" EnforcementMode="Enabled">
    <FilePublisherRule Id=GUID Name=PolicyName Description=PolicyDescription UserOrGroupSid=UserOrGroupSid Action=[Allow|Deny]>
    <Conditions>
    <FilePublisherCondition PublisherName=PublisherName BinaryName=BinaryName ProductName=ProductName>
    <BinaryVersionRange HighSection=latestVersion LowSection=earliestVersion />
    </FilePublisherCondition>
    </Conditions>
    </FilePublisherRule>
    </RuleCollection>

  4. Redigera XML för att ersätta platshållarna med deras värden. För specifika användningsfall, till exempel gruppering av flera policyer i en fil, se exemplen.
    Platshållare Värde
    Typ

    Filens filtyp (måste matcha OMA-URI):

    • För EXE-filer anger du "Exe"
    • För MSI-filer anger du "Msi"
    • För skriptfiler anger du "Script"
    • För DLL-filer anger du "Dll"
    • För Microsoft Store-appar anger du "Appx"
    GUID GUID som du genererade i steg 1
    PolicyName Ett namn på policyn. Du kan använda valfri sträng.
    PolicyDescription En beskrivning av policyn
    UserOrGroupSid Användarna eller grupperna som policyn gäller:
    • Om du vill tillämpa policyn på alla användare på enheten anger du S-1-1-0.
    • Om du vill tillämpa policyn på en viss användare anger du personens SID. Om du vill hämta användarens SID kör du följande på kommandoraden:

      wmic username get name,sid

      där username är användarnamnet som personen har på enheten. Om du inte känner till användarnamnet kan du hämta en lista över alla användare på enheten genom att köra:

      wmic useraccount get name,sid

    • Du kan bara ange ett användarnamn. Om du vill tillämpa policyn på fler användare placerar du användarna i en grupp eller kopierar policyn och uppdaterar namnet.

    • Om du vill tillämpa policyn på en viss grupp anger du dess SID. Om du vill hämta gruppens SID kör du följande på kommandoraden:

      wmic groupName get name,sid

      där groupName är namnet på gruppen på enheten. Om du inte känner till gruppens namn kan du få en lista över alla grupper på enheten genom att köra följande:

      wmic group get name,sid
    Allow|Deny Välj åtgärd för den här policyn – om den ska blockera eller tillåta de angivna apparna
    PublisherName Namnet på appens utgivare (PublisherName från steg 2). Du kan använda jokertecknet *, men matchning av reguljära uttryck och prefix- eller suffix-jokertecken stöds inte.
    BinaryName

    Filnamnet på det binära (BinaryName från steg 2). Du kan använda jokertecknet *, men matchning av reguljära uttryck och prefix- eller suffix-jokertecken stöds inte.

    Om du till exempel vill blockera alla EXE-filer anger du * och när du lägger till den anpassade inställningen väljer du OMA-URI som slutar med /EXE/Policy.
    ProductName Namnet på produkten (ProductName från steg 2). Du kan använda jokertecknet *, men matchning av reguljära uttryck och prefix- eller suffix-jokertecken stöds inte.
    latestVersion Det senaste versionsnumret för appen som den här policyn gäller. Om du vill blockera alla versioner av appen anger du *.
    earliestVersion Det tidigaste versionsnumret för appen som policyn gäller. Om du vill blockera alla versioner av appen anger du *.

  5. Spara filen.

Alternativ 2 – GUI (redigeraren för Windows-gruppolicy)

  1. Följ anvisningarna i avsnittet Skapa XML i den här Microsoft-artikeln. Sluta följa anvisningarna i avsnittet Skapa policyn.

    Obs! De här anvisningarna beskriver hur du skapar en policy för en app som är installerad på enheten. Om du vill skapa en policy för en app som inte är installerad på enheten väljer du Använd ett paketerat appinstallationsprogram som referens i steg 6.

  2. När du har exporterat XML-filen tar du bort policyn du skapade i gruppolicyredigeraren. Annars tillämpas policyn på enheten.

Steg 2: Lägg till den anpassade inställningen

  1. I Googles administratörskonsol går du till menyn följt av Enheter följt av Mobil och ändpunkter följt av Inställningar följt av Windows.

    Kräver administratörsbehörighet för hantering av mobila enheter.

  2. Klicka på Anpassade inställningar.
  3. Klicka på Lägg till en anpassad inställning.

  4. Konfigurera den anpassade inställningen:

    1. Ange ApplicationLaunchRestriction i fältet OMA-URI och välj den OMA-URI som motsvarar appens filtyp i policyn:

      • För EXE-filer väljer du ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/EXE/Policy.
      • För appar som är tillgängliga i Microsoft Store väljer du ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/AppStore/Policy
      • För MSI-filer väljer du ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/MSI/Policy
      • För PowerShell-skript väljer du ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/Script/Policy

      • För DLL-filer väljer du ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/DLL/Policy

        Mer information finns i Microsofts CSP-dokumentation för AppLocker.

    2. Ersätt <Enter Grouping> i OMA-URI med en slumpmässig alfanumerisk sträng som är unik för varje anpassad inställning. Om du till exempel lägger till en anpassad inställning för att blockera EXE-filer och en annan inställning för att blockera MSI-filer ska du använda ett annat värde för varje anpassad inställning.

    3. När du väljer OMA-URI uppdateras fältet Namn till Policy. Ange ett unikt namn som hjälper dig att identifiera det i listan över anpassade inställningar.

    4. Välj Sträng (XML) för Datatyp, klicka på Ladda upp XML och välj XML-konfigurationsfilen som du skapade i det första avsnittet.

    5. (Valfritt) Ange en beskrivning av åtgärden för den anpassade inställningen och vem den gäller för.

  5. Klicka på Nästa och välj den organisationsenhet som den anpassade inställningen gäller för eller klicka på Lägg till ytterligare en för att starta en annan. Ytterligare policyer tillämpas inte på en organisationsenhet förrän du klickar på Nästa och väljer organisationsenheten.

  6. Välj den organisationsenhet som principen ska tillämpas på.

  7. Klicka på Använd.

Om en användare i organisationsenheten försöker installera eller öppna en blockerad app på sin Windows-enhet visas ett felmeddelande om att appen har blockerats av systemadministratören.

Exempel på XML-filer

Tillåt endast signerade appar (blockera alla osignerade appar)

Med den här policyn kan användarna enbart installera signerade appar, vilket även blockerar användare från att installera osignerade appar med den filtyp som anges i OMA-URI.

Om du vill blockera alla osignerade appar för alla filtyper lägger du till en anpassad inställning för varje filtyp och använder följande XML för värdet.

Obs! I RuleCollection måste Type matcha appfiltypen. Värdet kan vara "Exe" för EXE-filer, "Msi" för MSI-filer, "Script" för skriptfiler, "Dll" för DLL-filer eller "Appx" för StoreApps. Ersätt GUID i FilePublisherRule med ett slumpmässigt GUID som du får från en onlinegenerator för GUID.

<RuleCollection Type="Type" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
     <Conditions>
       <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
         <BinaryVersionRange LowSection="*" HighSection="*" />
       </FilePublisherCondition>
     </Conditions>
   </FilePublisherRule>
</RuleCollection>

blockera specifika appar

Om du vill blockera appar måste du inkludera ett avsnitt <FilePublisherRule> som tillåter appar och <FilePublisherRule>-blockeringar för varje app du vill blockera.

Det allmänna formatet är:

<RuleCollection Type="Type" EnforcementMode="Enabled">
  <FilePublisherRule...>
    ...allow apps...
  </FilePublisherRule>
  <FilePublisherRule...>
    ...conditions for first app to block...
  </FilePublisherRule>
  <FilePublisherRule...>
    ...conditions for second app to block...
  </FilePublisherRule>
</RuleCollection>

Obs! I RuleCollection måste Type matcha appfiltypen. Värdet kan vara "Exe" för EXE-filer, "Msi" för MSI-filer, "Script" för skriptfiler, "Dll" för DLL-filer eller "Appx" för StoreApps. Ersätt GUID i FilePublisherRule med ett slumpmässigt GUID som du får från en onlinegenerator för GUID.

Den här policyn blockerar till exempel användarna från att köra både App A och App B, som är EXE-filer:

<RuleCollection Type="Exe" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
  <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Block app A" Description="Blocks app A for all users" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Software Company, L=London, C=GB" ProductName="APPLICATION A" BinaryName="APPA.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Block app B" Description="Blocks app B for all users" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Solarmora Inc, L=Mountain View, S=California, C=US" ProductName="APPLICATION B" BinaryName="APPB.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
 </FilePublisherRule>
</RuleCollection>

Blockera appar som ingår i operativsystemet Windows

Detta exempel, baserat på exemplet i Microsoft-dokumentationen, blockerar användarna från att använda Windows Mail. Innan du använder funktionen ersätter du GUID med ett slumpmässigt GUID som du får från en GUID-onlinegenerator.

Obs! Appfilen är en Microsoft Store-app, så OMA-URI måste vara ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/AppStore/Policy.

<RuleCollection Type="Appx" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Block Windows Mail" Description="Blocks all users from using Windows Mail" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Microsoft Corporation, L=Redmond, S=Washington, C=US" ProductName="microsoft.windowscommunicationsapps" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
</RuleCollection>


Google, Google Workspace och tillhörande märken och logotyper är varumärken som tillhör Google LLC. Alla andra företags- och produktnamn är varumärken som tillhör de företag som de är kopplade till.