Windows 10 veya 11 cihazlarda uygulamaları özel ayarlarla engelleme

Bu özelliğin desteklendiği sürümler: Frontline Starter, Frontline Standard ve Frontline Plus; Business Plus; Enterprise Standard ve Enterprise Plus; Education Standard, Education Plus ve Endpoint Education Upgrade; Enterprise Essentials ve Enterprise Essentials Plus; Cloud Identity Premium. Sürümünüzü karşılaştırın

Kuruluşunuzdaki Windows cihazları Windows cihaz yönetimiyle yönetirken Google Yönetici Konsolu'na özel ayarlar ekleyerek bu cihazlarda hangi uygulamalara izin verileceğini kısıtlayabilirsiniz. Uygulamaları, özel ayarın değeri olarak yüklediğiniz bir XML dosyasında belirtirsiniz. Uygulamaları tek tek veya belirli bir türle (ör. EXE ya da MSI dosyaları) eşleşen tüm uygulama dosyalarını engelleyebilirsiniz.

1. adım: İzin verilen ve engellenen uygulamaları bir XML dosyasında belirtin

XML dosyasını oluşturmak için PowerShell'deki komut satırını veya Windows Grup İlkesi düzenleyicisindeki GUI'yi kullanabilirsiniz. Bu talimatlarda tek bir politikanın nasıl oluşturulacağı gösterilmektedir ancak aynı dosya türüne sahip uygulamalarla ilgili politikaları tek bir XML dosyasında birleştirebilirsiniz. Örneklere bakın.

Önemli: Farklı uygulama dosyası türlerini (EXE, MSI, komut dosyası, StoreApps ve DLL'ler) engellemek için ayrı özel ayarlar oluşturmanız gerekir.

1. seçenek: Komut satırı (PowerShell)

  1. Rastgele bir GUID almak için çevrimiçi bir GUID oluşturucu kullanın. İpucu: Bir arama motorunda online GUID generator ifadesini arayın.
  2. Belirli bir uygulamayı engellemek istiyorsanız uygulama bilgilerini alın. Belirli bir dosya türüne sahip tüm uygulamaları engellemek istiyorsanız bu adımı atlayabilirsiniz.
    1. Bir Windows cihazda, engellemek veya izin vermek istediğiniz uygulama yürütülebilir dosyasını (.exe uzantılı dosya) indirin.
    2. PowerShell'i açın.
    3. Get-AppLockerFileInformation -path PathToExe | format-list komutunu çalıştırın. Burada PathToExe, yürütülebilir dosyanın yoludur.
    4. Yanıtta, Publisher satırındaki değerleri bulup kaydedin. Değerler aşağıdaki biçimdedir ve XML'de kullanacağınız değerlere karşılık gelir:

      PublisherNameProductNameBinaryName,BinaryVersion

      Yayıncı adı, O=MICROSOFT CORPORATION, L=REDWOOD, S=WASHINGTON, C=US gibi uzun bir dizedir ve dizenin tamamını eklemeniz gerekir.

  3. Aşağıdaki XML komutunu bir metin düzenleyiciye kopyalayın:

    <RuleCollection Type="Type" EnforcementMode="Enabled">
    <FilePublisherRule Id=GUID Name=PolicyName Description=PolicyDescription UserOrGroupSid=UserOrGroupSid Action=[Allow|Deny]>
    <Conditions>
    <FilePublisherCondition PublisherName=PublisherName BinaryName=BinaryName ProductName=ProductName>
    <BinaryVersionRange HighSection=latestVersion LowSection=earliestVersion />
    </FilePublisherCondition>
    </Conditions>
    </FilePublisherRule>
    </RuleCollection>

  4. XML dosyasını düzenleyerek yer tutucuları değerleriyle değiştirin. Birden fazla politikayı tek bir dosyada gruplama gibi belirli kullanımlar için örneklere bakın.
    Yer Tutucu Değer
    Tür

    Uygulama dosyası türü (OMA-URI ile eşleşmelidir):

    • EXE dosyaları için "Exe" yazın.
    • MSI dosyaları için "Msi" yazın.
    • Komut dosyaları için "Script" girin.
    • DLL dosyaları için "Dll" yazın.
    • Microsoft Store uygulamaları için "Appx" değerini girin.
    GUID 1. adımda oluşturduğunuz GUID
    PolitikaAdı Politikanın adı. Herhangi bir dizeyi kullanabilirsiniz.
    PolitikaAçıklaması Politikanın açıklaması
    KullanıcıVeyaGrupSID'si Politikanın geçerli olduğu kullanıcılar veya gruplar:
    • Politikayı cihazdaki tüm kullanıcılara uygulamak için S-1-1-0 değerini girin.
    • Politikayı belirli bir kullanıcıya uygulamak için kullanıcının SID'sini girin. Kullanıcının SID'sini almak için komut satırında şu komutu çalıştırın:

      wmic kullanıcıadı get name,sid

      Burada kullanıcıadı, cihazdaki kullanıcının kullanıcı adıdır. Kullanıcı adını bilmiyorsanız aşağıdaki komutu çalıştırarak cihazdaki tüm kullanıcıların listesini alın:

      wmic useraccount get name,sid

    • Yalnızca bir kullanıcı adı girebilirsiniz. Politikayı daha fazla kullanıcıya uygulamak için kullanıcıları bir gruba yerleştirin veya politikayı kopyalayıp adını güncelleyin.

    • Politikayı belirli bir gruba uygulamak için grubun SID'sini girin. Grup SID'sini almak için komut satırında şu komutu çalıştırın:

      wmic grupAdı get name,sid

      Burada grupAdı, cihazdaki grubun adıdır. Grubun adını bilmiyorsanız aşağıdaki adımları uygulayarak cihazdaki tüm grupların listesini alabilirsiniz:

      wmic group get name,sid
    Allow|Deny Bu politikanın belirtilen uygulamaları engelleyip engellemediğini belirten işlemi seçin
    YayıncıAdı Uygulamanın yayıncısının adı (2. adımdaki YayıncıAdı). * joker karakterini kullanabilirsiniz. Ancak, normal ifade eşleşmesi ve önek veya sonek joker karakterler desteklenmez.
    İkiliProgramAdı

    İkili programın dosya adı (2. adımdaki İkiliProgramAdı). * joker karakterini kullanabilirsiniz. Ancak, normal ifade eşleşmesi ve önek veya sonek joker karakterler desteklenmez.

    Örneğin, tüm EXE dosyalarını engellemek için * girin ve özel ayarı eklerken /EXE/Policy ile biten OMA-URI'yi seçin.
    ÜrünAdı Ürünün adı (2. adımdaki ÜrünAdı). * joker karakterini kullanabilirsiniz. Ancak, normal ifade eşleşmesi ve önek veya sonek joker karakterler desteklenmez.
    SonSürüm Bu politikanın geçerli olduğu uygulamanın en yeni sürüm numarası. Uygulamanın tüm sürümlerini engellemek için * girin.
    İlkSürüm Bu politikanın uygulanacağı uygulamanın ilk sürüm numarası. Uygulamanın tüm sürümlerini engellemek için * girin.

  5. Dosyayı kaydedin.

2. seçenek: GUI (Windows Grup İlkesi Düzenleyicisi)

  1. Bu Microsoft makalesinin "Generating the XML" (XML Oluşturma) bölümündeki talimatları uygulayın. "Creating the Policy" (Politika Oluşturma) bölümüne geldiğinizde talimatları izlemeyi bırakın.

    Not: Bu talimatlarda, cihaza yüklenen bir uygulama için nasıl politika oluşturulacağı açıklanmaktadır. Cihazda yüklü olmayan bir uygulama için politika oluşturmak istiyorsanız 6. adımda Referans olarak paketlenmiş bir uygulama yükleyici kullan'ı seçin.

  2. XML dosyasını dışa aktardıktan sonra, Grup İlkesi düzenleyicide oluşturduğunuz politikayı kaldırın. Aksi takdirde, politika cihazda zorunlu olarak uygulanır.

2. Adım: Özel ayarı ekleyin

  1. Google Yönetici Konsolu'nda Menü ardından Cihazlar ardından Mobil cihazlar ve uç noktalar ardından Ayarlar ardından Windows'a gidin.

    Mobil Cihaz Yönetimi yönetici ayrıcalığına sahip olunması gerekir.

  2. Özel ayarlar'ı tıklayın.
  3. Özel ayar ekle'yi tıklayın.

  4. Özel ayarı yapılandırın:

    1. OMA-URI alanına ApplicationLaunchRestriction yazın ve politikadaki uygulamanın dosya türüne karşılık gelen OMA-URI'yi seçin:

      • EXE dosyaları için ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/EXE/Policy'yi seçin.
      • Microsoft Store'da bulunan uygulamalar için ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/AppStore/Policy'yi seçin.
      • MSI dosyaları için ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/MSI/Policy'yi seçin.
      • PowerShell komut dosyaları için ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/Script/Policy'yi seçin.

      • DLL dosyaları için ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/DLL/Policy'yi seçin.

        Daha fazla bilgi için Microsoft AppLocker CSP dokümanlarına bakın.

    2. OMA-URI'de <Enter Grouping> ifadesini her özel ayar için benzersiz olan rastgele bir alfanümerik dizeyle değiştirin. Örneğin, EXE dosyalarını engellemek için bir özel ayar ve MSI dosyalarını engellemek için başka bir ayar eklerseniz her özel ayar için farklı bir değer kullanın.

    3. OMA-URI'yı seçtiğinizde Name alanı "Politika" ile güncellenir. Özel ayarlar listesinde tanımlamanıza yardımcı olacak benzersiz bir ad girin.

    4. Data type (Veri türü) için String (XML) [Dize (XML)] seçeneğini belirleyin, Upload XML'i (XML Yükle) tıklayın ve ilk bölümde oluşturduğunuz XML yapılandırma dosyasını seçin.

    5. (İsteğe bağlı) Özel ayarın işlevini ve kimlere uygulanacağını açıklayan bir açıklama girin.

  5. Devam edip özel ayarın uygulanacağı kuruluş birimini seçmek için İleri'yi tıklayın veya başka bir ayar başlatmak için Başka bir tane ekle'yi tıklayın. Sonraki'yi tıklayıp kuruluş birimini seçene kadar ek politikalar kuruluş birimine uygulanmaz.

  6. Politikanın uygulanacağı kuruluş birimini seçin.

  7. Uygula'yı tıklayın.

Kuruluş birimindeki bir kullanıcı, engellenen bir uygulamayı Windows cihazına yüklemeye veya cihazında açmaya çalışırsa uygulamanın sistem yöneticisi tarafından engellendiğini belirten bir hata mesajı alır.

Örnek XML dosyaları

Yalnızca imzalı uygulamalara izin verme (İmzalanmamış tüm uygulamaları engelleme)

Bu politika, kullanıcıların yalnızca imzalanmış uygulamaları yüklemesine izin verir. Ayrıca, kullanıcının OMA-URI'de belirtilen dosya türüne sahip imzalanmamış uygulamaları yüklemesini de engeller.

Tüm dosya türlerindeki imzalanmamış tüm uygulamaları engellemek istiyorsanız her dosya türü için özel bir ayar ekleyin ve değer için aşağıdaki XML komutunu kullanın.

Not: RuleCollection içinde Type, uygulama dosya türüyle eşleşmelidir. Değer, EXE dosyaları için "Exe", MSI dosyaları için "Msi", komut dosyaları için "Script", DLL dosyaları için "Dll" veya StoreApps için "Appx" olabilir. FilePublisherRule içinde, GUID'yi online bir GUID oluşturucudan aldığınız rastgele bir GUID ile değiştirin.

<RuleCollection Type="Type" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
     <Conditions>
       <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
         <BinaryVersionRange LowSection="*" HighSection="*" />
       </FilePublisherCondition>
     </Conditions>
   </FilePublisherRule>
</RuleCollection>

Belirli uygulamaları engelleme

Uygulamaları engellemek için uygulamalara izin veren bir <FilePublisherRule> bölümü ve engellemek istediğiniz her uygulama için <FilePublisherRule> blokları eklemeniz gerekir.

Genel biçim şöyledir:

<RuleCollection Type="Type" EnforcementMode="Enabled">
  <FilePublisherRule...>
    ...allow apps...
  </FilePublisherRule>
  <FilePublisherRule...>
    ...conditions for first app to block...
  </FilePublisherRule>
  <FilePublisherRule...>
    ...conditions for second app to block...
  </FilePublisherRule>
</RuleCollection>

Not: RuleCollection içinde Type, uygulama dosya türüyle eşleşmelidir. Değer, EXE dosyaları için "Exe", MSI dosyaları için "Msi", komut dosyaları için "Script", DLL dosyaları için "Dll" veya StoreApps için "Appx" olabilir. FilePublisherRule içinde, GUID'yi online bir GUID oluşturucudan aldığınız rastgele bir GUID ile değiştirin.

Örneğin, aşağıdaki politika kullanıcıların "A Uygulaması"nı ve "B Uygulaması"nı çalıştırmasını engeller:

<RuleCollection Type="Exe" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
  <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Block app A" Description="Blocks app A for all users" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Software Company, L=London, C=GB" ProductName="APPLICATION A" BinaryName="APPA.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Block app B" Description="Blocks app B for all users" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Solarmora Inc, L=Mountain View, S=California, C=US" ProductName="APPLICATION B" BinaryName="APPB.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
 </FilePublisherRule>
</RuleCollection>

Windows işletim sisteminde paket halinde sunulan uygulamaları engelleme

Microsoft dokümanındaki örneği temel alan bu örnek, kullanıcıların Windows Mail'i kullanmasını engeller. Kullanmadan önce, GUID kısmını çevrimiçi bir GUID oluşturucusundan aldığınız rastgele bir GUID ile değiştirin.

Not: Bu uygulama dosyası bir Microsoft Store uygulaması olduğundan OMA-URI ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/AppStore/Policy olmalıdır.

<RuleCollection Type="Appx" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Block Windows Mail" Description="Blocks all users from using Windows Mail" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Microsoft Corporation, L=Redmond, S=Washington, C=US" ProductName="microsoft.windowscommunicationsapps" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
</RuleCollection>


Google, Google Workspace ve ilgili markalar ile logolar, Google LLC şirketinin ticari markalarıdır. Diğer tüm şirket ve ürün adları, ilişkili oldukları şirketlerin ticari markalarıdır.