Memblokir aplikasi di perangkat Windows 10 atau 11 dengan setelan kustom

Edisi yang didukung untuk fitur ini: Frontline Starter, Frontline Standard, dan Frontline Plus; Business Plus; Enterprise Standard dan Enterprise Plus; Education Standard, Education Plus, dan Endpoint Education Upgrade; Enterprise Essentials dan Enterprise Essentials Plus; Cloud Identity Premium. Bandingkan edisi Anda

Saat mengelola perangkat Windows di organisasi Anda dengan pengelolaan perangkat Windows, Anda dapat membatasi aplikasi yang diizinkan di perangkat tersebut dengan menambahkan setelan kustom di konsol Google Admin. Anda menentukan aplikasi dalam file XML yang Anda upload sebagai nilai setelan kustom. Anda dapat memblokir aplikasi satu per satu atau semua file aplikasi yang cocok dengan jenis tertentu, seperti file EXE atau MSI.

Langkah 1: Tentukan aplikasi yang diizinkan dan diblokir dalam file XML

Untuk membuat file XML, Anda dapat menggunakan command line di PowerShell atau GUI di editor Kebijakan Grup Windows. Petunjuk ini menunjukkan cara membuat satu kebijakan, tetapi Anda dapat menggabungkan kebijakan terkait untuk aplikasi dengan jenis file yang sama dalam satu file XML. Lihat contoh.

Penting: Untuk memblokir berbagai jenis file aplikasi (EXE, MSI, Script, StoreApps, dan DLL), Anda harus membuat setelan kustom terpisah.

Opsi 1—Command line (PowerShell)

  1. Gunakan generator GUID online untuk mendapatkan GUID acak. Tips: Di mesin telusur, telusuri online GUID generator.
  2. Jika Anda ingin memblokir aplikasi tertentu, dapatkan informasi aplikasi tersebut. Jika ingin memblokir semua aplikasi dengan jenis file tertentu, Anda dapat melewati langkah ini.
    1. Di perangkat Windows, download file yang dapat dieksekusi aplikasi (yang berakhiran .exe) yang ingin Anda blokir atau izinkan.
    2. Buka PowerShell.
    3. Jalankan Get-AppLockerFileInformation -path PathToExe | format-list, dengan PathToExe adalah jalur ke file yang dapat dieksekusi.
    4. Dalam respons, temukan dan catat nilai di baris Publisher. Nilai tersebut memiliki format berikut dan sesuai dengan nilai yang akan Anda gunakan di XML:

      PublisherNameProductNameBinaryName,BinaryVersion

      Nama penayang adalah string panjang, seperti O=MICROSOFT CORPORATION, L=REDWOOD, S=WASHINGTON, C=US dan Anda harus menyertakan seluruh string.

  3. Salin XML berikut ke editor teks:

    <RuleCollection Type="Type" EnforcementMode="Enabled">
    <FilePublisherRule Id=GUID Name=PolicyName Description=PolicyDescription UserOrGroupSid=UserOrGroupSid Action=[Allow|Deny]>
    <Conditions>
    <FilePublisherCondition PublisherName=PublisherName BinaryName=BinaryName ProductName=ProductName>
    <BinaryVersionRange HighSection=latestVersion LowSection=earliestVersion />
    </FilePublisherCondition>
    </Conditions>
    </FilePublisherRule>
    </RuleCollection>

  4. Edit XML untuk mengganti placeholder dengan nilainya. Untuk kasus penggunaan tertentu, seperti mengelompokkan beberapa kebijakan dalam satu file, lihat contoh.
    Placeholder Nilai
    Jenis

    Jenis file aplikasi (harus sesuai dengan OMA-URI):

    • Untuk file EXE, masukkan "Exe"
    • Untuk file MSI, masukkan "Msi"
    • Untuk file Skrip, masukkan "Script"
    • Untuk file DLL, masukkan "Dll"
    • Untuk aplikasi Microsoft Store, masukkan "Appx"
    GUID GUID yang Anda buat pada langkah 1
    PolicyName Nama kebijakan. Anda dapat menggunakan string apa pun.
    PolicyDescription Deskripsi kebijakan
    UserOrGroupSid Pengguna atau grup yang dikenai kebijakan:
    • Untuk menerapkan kebijakan ke semua pengguna di perangkat, masukkan S-1-1-0.
    • Untuk menerapkan kebijakan ke pengguna tertentu, masukkan SID mereka. Untuk mendapatkan SID mereka, di command line, jalankan:

      wmic username get name,sid

      dengan keterangan, username adalah nama pengguna dari pengguna di perangkat. Jika Anda tidak mengetahui nama pengguna, dapatkan daftar semua pengguna di perangkat dengan menjalankan:

      wmic useraccount get name,sid

    • Anda hanya dapat memasukkan satu nama pengguna. Untuk menerapkan kebijakan ke lebih banyak pengguna, masukkan pengguna di grup, atau salin kebijakan dan perbarui namanya.

    • Untuk menerapkan kebijakan ke grup tertentu, masukkan SID-nya. Untuk mendapatkan SID grup, di command line, jalankan:

      wmic groupName get name,sid

      dengan keterangan, groupName adalah nama grup di perangkat. Jika tidak mengetahui nama grup, Anda bisa mendapatkan daftar semua grup di perangkat dengan menjalankan:

      wmic group get name,sid
    Allow|Deny Pilih tindakan untuk kebijakan ini, apakah aplikasi tertentu diblokir atau diizinkan
    PublisherName Nama penerbit aplikasi (PublisherName dari langkah 2). Anda dapat menggunakan karakter pengganti *, tetapi pencocokan ekspresi reguler dan karakter pengganti awalan atau akhiran tidak didukung.
    BinaryName

    Nama file biner (BinaryName dari langkah 2). Anda dapat menggunakan karakter pengganti *, tetapi pencocokan ekspresi reguler dan karakter pengganti awalan atau akhiran tidak didukung.

    Misalnya, untuk memblokir semua file EXE, masukkan * dan saat Anda menambahkan setelan kustom, pilih OMA-URI yang diakhiri dengan /EXE/Policy.
    ProductName Nama produk (ProductName dari langkah 2). Anda dapat menggunakan karakter pengganti *, tetapi pencocokan ekspresi reguler dan karakter pengganti awalan atau akhiran tidak didukung.
    latestVersion Nomor versi aplikasi terbaru tempat kebijakan ini diterapkan. Untuk memblokir semua versi aplikasi, masukkan *.
    earliestVersion Nomor versi aplikasi terlama tempat kebijakan ini diterapkan. Untuk memblokir semua versi aplikasi, masukkan *.

  5. Simpan file.

Opsi 2–GUI (Editor Kebijakan Grup Windows)

  1. Ikuti petunjuk di bagian "Generating the XML" dalam artikel Microsoft ini. Berhenti mengikuti petunjuk jika Anda membuka bagian "Creating the Policy".

    Catatan: Petunjuk ini menjelaskan cara membuat kebijakan untuk aplikasi yang diinstal di perangkat. Untuk membuat kebijakan bagi aplikasi yang tidak diinstal di perangkat, pada langkah 6, pilih Gunakan penginstal aplikasi paket sebagai referensi.

  2. Setelah Anda mengekspor file XML, di editor Groups Policy, hapus kebijakan yang telah dibuat. Jika tidak, kebijakan akan diterapkan di perangkat.

Langkah 2: Tambahkan setelan kustom

  1. Di konsol Google Admin, buka Menu lalu Perangkat lalu Seluler & endpoint lalu Setelan lalu Windows.

    Anda harus memiliki hak istimewa administrator Pengelolaan Perangkat Seluler.

  2. Klik Setelan kustom.
  3. Klik Add a custom setting.

  4. Konfigurasi setelan kustom:

    1. Di kolom OMA-URI, masukkan ApplicationLaunchRestriction dan pilih OMA-URI yang sesuai dengan jenis file aplikasi dalam kebijakan:

      • Untuk file EXE, pilih ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/EXE/Policy.
      • Untuk aplikasi yang tersedia di Microsoft Store, pilih ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/AppStore/Policy
      • Untuk file MSI, pilih ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/MSI/Policy
      • Untuk skrip PowerShell, pilih ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/Script/Policy

      • Untuk file DLL, pilih ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/DLL/Policy

        Untuk informasi selengkapnya, lihat dokumentasi AppLocker CSP Microsoft.

    2. Di OMA-URI, ganti <Enter Grouping> dengan string alfanumerik acak yang unik untuk setiap setelan kustom. Misalnya, jika Anda menambahkan satu setelan kustom untuk memblokir file EXE dan setelan lain untuk memblokir file MSI, gunakan nilai yang berbeda untuk setiap setelan kustom.

    3. Saat Anda memilih OMA-URI, kolom Name akan berubah menjadi "Policy". Masukkan nama unik untuk membantu Anda mengidentifikasinya di daftar setelan kustom.

    4. Untuk Jenis data, pilih String (XML), klik Upload XML, dan pilih file konfigurasi XML yang Anda buat di bagian pertama.

    5. (Opsional) Masukkan deskripsi yang menjelaskan tindakan setelan kustom dan siapa yang menerapkannya.

  5. Klik Berikutnya untuk melanjutkan dan memilih unit organisasi tempat setelan kustom diterapkan, atau klik Tambahkan yang lain untuk memulai yang lain. Kebijakan tambahan tidak akan diterapkan untuk unit organisasi sebelum Anda mengklik Berikutnya dan memilih unit organisasi.

  6. Pilih unit organisasi tempat kebijakan diterapkan.

  7. Klik Terapkan.

Jika pengguna di unit organisasi mencoba menginstal atau membuka aplikasi yang diblokir di perangkat Windows mereka, mereka akan mendapatkan pesan error bahwa aplikasi diblokir oleh administrator sistem mereka.

Contoh file XML

Hanya izinkan aplikasi bertanda tangan (Blokir semua aplikasi yang tidak bertanda tangan)

Kebijakan ini mengizinkan pengguna menginstal aplikasi dengan sertifikat keamanan saja, yang juga mencegah pengguna menginstal aplikasi yang tidak memiliki sertifikat keamanan dengan jenis file yang ditentukan dalam OMA-URI.

Guna memblokir semua aplikasi yang tidak memiliki sertifikat keamanan untuk semua jenis file, tambahkan setelan kustom untuk setiap jenis file dan gunakan XML berikut untuk nilai tersebut.

Catatan: Di RuleCollection, Type harus cocok dengan jenis file aplikasi. Nilainya dapat berupa "Exe" untuk file EXE, "Msi" untuk file MSI, "Script" untuk file Skrip, "Dll" untuk file DLL, atau "Appx" untuk StoreApps. Di FilePublisherRule, ganti GUID dengan GUID acak yang Anda dapatkan dari generator GUID online.

<RuleCollection Type="Type" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
     <Conditions>
       <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
         <BinaryVersionRange LowSection="*" HighSection="*" />
       </FilePublisherCondition>
     </Conditions>
   </FilePublisherRule>
</RuleCollection>

Memblokir aplikasi tertentu

Untuk memblokir aplikasi, Anda harus menyertakan bagian <FilePublisherRule> yang mengizinkan aplikasi dan pemblokiran <FilePublisherRule> untuk setiap aplikasi yang ingin diblokir.

Format umumnya adalah:

<RuleCollection Type="Type" EnforcementMode="Enabled">
  <FilePublisherRule...>
    ...allow apps...
  </FilePublisherRule>
  <FilePublisherRule...>
    ...conditions for first app to block...
  </FilePublisherRule>
  <FilePublisherRule...>
    ...conditions for second app to block...
  </FilePublisherRule>
</RuleCollection>

Catatan: Di RuleCollection, Type harus cocok dengan jenis file aplikasi. Nilainya dapat berupa "Exe" untuk file EXE, "Msi" untuk file MSI, "Script" untuk file Skrip, "Dll" untuk file DLL, atau "Appx" untuk StoreApps. Di FilePublisherRule, ganti GUID dengan GUID acak yang Anda dapatkan dari generator GUID online.

Misalnya, kebijakan ini mencegah pengguna menjalankan "Aplikasi A" dan "Aplikasi B", yang merupakan file EXE:

<RuleCollection Type="Exe" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
  <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Block app A" Description="Blocks app A for all users" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Software Company, L=London, C=GB" ProductName="APPLICATION A" BinaryName="APPA.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Block app B" Description="Blocks app B for all users" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Solarmora Inc, L=Mountain View, S=California, C=US" ProductName="APPLICATION B" BinaryName="APPB.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
 </FilePublisherRule>
</RuleCollection>

Memblokir aplikasi yang disertakan dalam sistem operasi Windows

Contoh ini, berdasarkan contoh di dokumentasi Microsoft, mencegah pengguna menggunakan Windows Mail. Sebelum Anda menggunakannya, ganti GUID dengan GUID acak yang Anda dapatkan dari generator GUID online.

Catatan: File aplikasi ini adalah aplikasi Microsoft Store, sehingga OMA-URI harus berupa ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/AppStore/Policy.

<RuleCollection Type="Appx" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Block Windows Mail" Description="Blocks all users from using Windows Mail" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Microsoft Corporation, L=Redmond, S=Washington, C=US" ProductName="microsoft.windowscommunicationsapps" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
</RuleCollection>


Google, Google Workspace, serta merek dan logo terkait adalah merek dagang Google LLC. Semua nama perusahaan dan produk lainnya adalah merek dagang milik setiap perusahaan terkait.