Apps blokkeren op Windows 10- of 11-apparaten met aangepaste instellingen

Deze functie wordt ondersteund in de volgende versies: Frontline Starter, Frontline Standard, Frontline Plus, Business Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Endpoint Education Upgrade, Enterprise Essentials, Enterprise Essentials Plus en Cloud Identity Premium. Versies vergelijken

Als u Windows-apparaten in uw organisatie beheert met Windows-apparaatbeheer, kunt u beperken welke apps zijn toegestaan op die apparaten door aangepaste instellingen toe te voegen in de Google Beheerdersconsole. Je geeft de apps op in een XML-bestand dat je uploadt als de waarde van de aangepaste instelling. Je kunt afzonderlijke apps blokkeren of alle app-bestanden die overeenkomen met een bepaald type, zoals EXE- of MSI-bestanden.

Stap 1: Geef toegestane en geblokkeerde apps op in een XML-bestand

Je kunt het XML-bestand maken met de opdrachtregel in PowerShell of de GUI in de Windows-editor voor groepsbeleid. In deze instructies staat hoe je één beleid maakt, maar je kunt gerelateerde beleidsregels voor apps met hetzelfde bestandstype combineren in één XML-bestand. Bekijk de voorbeelden.

Belangrijk: Als je verschillende typen app-bestanden (EXE, MSI, Script, StoreApps en DLL's) wilt blokkeren, moet je afzonderlijke aangepaste instellingen maken.

Optie 1: Opdrachtregel (PowerShell)

  1. Gebruik een online GUID-generator om een willekeurige GUID te krijgen. Tip: Zoek in een zoekmachine naar online GUID generator.
  2. Als u een specifieke app wilt blokkeren, haalt u de app-gegevens op. Als u alle apps met een bepaald bestandstype wilt blokkeren, kunt u deze stap overslaan.
    1. Download op een Windows-apparaat het uitvoerbaar bestand van de app (het bestand dat eindigt op .exe) dat u wilt blokkeren of toestaan.
    2. Open PowerShell.
    3. Voer Get-AppLockerFileInformation -path PathToExe | format-list uit, waarbij PathToExe het pad naar het uitvoerbare bestand is.
    4. Zoek in de reactie de waarden in de regel Publisher en noteer deze. De waarden hebben de volgende indeling en komen overeen met waarden die u in het XML-bestand moet gebruiken:

      PublisherNameProductNameBinaryName,BinaryVersion

      De uitgeversnaam is een lange tekenreeks, zoals O=MICROSOFT CORPORATION, L=REDWOOD, S=WASHINGTON, C=US. U moet de hele tekenreeks opnemen.

  3. Kopieer de volgende XML naar een teksteditor:

    <RuleCollection Type="Type" EnforcementMode="Enabled">
    <FilePublisherRule Id=GUID Name=PolicyName Description=PolicyDescription UserOrGroupSid=UserOrGroupSid Action=[Allow|Deny]>
    <Conditions>
    <FilePublisherCondition PublisherName=PublisherName BinaryName=BinaryName ProductName=ProductName>
    <BinaryVersionRange HighSection=latestVersion LowSection=earliestVersion />
    </FilePublisherCondition>
    </Conditions>
    </FilePublisherRule>
    </RuleCollection>

  4. Bewerk de XML en vervang de tijdelijke aanduidingen door de juiste waarden. Bekijk de voorbeelden voor specifieke gebruiksvoorbeelden, zoals meerdere beleidsregels groeperen in 1 bestand.
    Tijdelijke aanduiding Waarde
    Type

    Het app-bestandstype (moet overeenkomen met de OMA-URI):

    • Voor EXE-bestanden voert u "Exe" in.
    • Voer voor MSI-bestanden "Msi" in.
    • Voer voor scriptbestanden "Script" in.
    • Voer voor DLL-bestanden "Dll" in.
    • Voor Microsoft Store-apps voert u "Appx"
    GUID De GUID die u in stap 1 heeft gegenereerd.
    NaamBeleid Een naam voor het beleid. U kunt elke tekenreeks gebruiken.
    BeschrijvingBeleid Een beschrijving van het beleid.
    SIDGebruikerOfGroep De gebruikers of groepen waarop het beleid van toepassing is:
    • Als je het beleid wilt toepassen op alle gebruikers op het apparaat, voer je S-1-1-0 in.
    • Als u het beleid wilt toepassen op een specifieke gebruiker, voert u de SID van de gebruiker in. Voer de volgende opdracht uit in de opdrachtregel om de SID van de gebruiker op te halen:

      wmic gebruikersnaam get name,sid

      Vervang gebruikersnaam door de gebruikersnaam van de gebruiker op het apparaat. Als u de gebruikersnaam niet weet, kunt u een lijst met alle gebruikers op het apparaat bekijken door de volgende opdracht uit te voeren:

      wmic useraccount get name,sid

    • U kunt slechts 1 gebruikersnaam invoeren. Als u het beleid op meer gebruikers wilt toepassen, plaatst u de gebruikers in een groep of kopieert u het beleid en past u de naam aan.

    • Als u het beleid wilt toepassen op een specifieke groep, voert u de SID van de groep in. Voer de volgende opdracht uit in de opdrachtregel om de SID van de groep te bekijken:

      wmic groepsnaam get name,sid

      Vervang groepsnaam door de naam van de groep op het apparaat. Als u de groepsnaam niet weet, kunt u een lijst met alle groepen op het apparaat bekijken door de volgende opdracht uit te voeren:

      wmic group get name,sid
    Allow|Deny Selecteer of de opgegeven apps moeten worden geblokkeerd of toegestaan bij dit beleid.
    NaamUitgever De naam van de uitgever van de app (NaamUitgever uit stap 2). U kunt het jokerteken * gebruiken, maar geen overeenkomsten met reguliere expressies of jokertekens voor voor- of achtervoegsels.
    BinaireNaam

    De bestandsnaam van het binaire bestand (BinaireNaam uit stap 2). U kunt het jokerteken * gebruiken, maar geen overeenkomsten met reguliere expressies of jokertekens voor voor- of achtervoegsels.

    Als je bijvoorbeeld alle EXE-bestanden wilt blokkeren, voer je * in en selecteer je bij het toevoegen van de aangepaste instelling de OMA-URI die eindigt op /EXE/Policy.
    NaamProduct De naam van het product (NaamProduct uit stap 2). U kunt het jokerteken * gebruiken, maar geen overeenkomsten met reguliere expressies of jokertekens voor voor- of achtervoegsels.
    NieuwsteVersie Het nieuwste versienummer van de app waarvoor dit beleid moet gelden. Voer * in om alle versies van de app te blokkeren.
    OudsteVersie Het oudste versienummer van de app waarvoor dit beleid moet gelden. Voer * in om alle versies van de app te blokkeren.

  5. Sla het bestand op.

Optie 2: GUI (editor voor Windows-groepsbeleid)

  1. Volg de instructies in het gedeelte 'Generating the XML' (De XML genereren) van dit Microsoft-artikel. Stop met het volgen van de instructies als u aankomt bij het gedeelte 'Creating the Policy' (Het beleid maken).

    Opmerking: Deze instructies beschrijven hoe je een beleid maakt voor een app die op het apparaat is geïnstalleerd. Als je een beleid wilt maken voor een app die niet op het apparaat is geïnstalleerd, selecteer je in stap 6 de optie Een verpakt app-installatieprogramma als referentie gebruiken.

  2. Nadat u het XML-bestand heeft geëxporteerd, moet u het gemaakte beleid verwijderen uit de editor voor groepsbeleid. Anders wordt het beleid afgedwongen op het apparaat.

Stap 2: De aangepaste instelling toevoegen

  1. Ga in de Google Beheerdersconsole naar Menu en dan Apparaten en dan Mobiel en eindpunten en dan Instellingen en dan Windows.

    Hiervoor is het beheerdersrecht Beheer van mobiele apparaten vereist.

  2. Klik op Aangepaste instellingen.
  3. Klik op Een aangepaste instelling toevoegen.

  4. Stel de aangepaste instelling in:

    1. Voer in het veld OMA-URI ApplicationLaunchRestriction in en selecteer de OMA-URI die overeenkomt met het bestandstype van de app in het beleid:

      • Selecteer voor EXE-bestanden ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/EXE/Policy.
      • Voor apps die beschikbaar zijn in de Microsoft Store, selecteert u ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/AppStore/Policy.
      • Voor MSI-bestanden selecteert u ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/MSI/Policy.
      • Selecteer voor PowerShell-scripts ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/Script/Policy.

      • Selecteer voor DLL-bestanden ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/DLL/Policy.

        Bekijk de CSP-documentatie van AppLocker voor meer informatie.

    2. Vervang in de OMA-URI <Enter Grouping> door een willekeurige alfanumerieke tekenreeks die uniek is voor elke aangepaste instelling. Als u bijvoorbeeld één aangepaste instelling toevoegt om EXE-bestanden te blokkeren en een andere instelling om MSI-bestanden te blokkeren, gebruikt u een andere waarde voor elke aangepaste instelling.

    3. Als u de OMA-URI selecteert, staat er Beleid in het veld Naam. Voer een unieke naam in waaraan u de instelling kunt herkennen in de lijst met aangepaste instellingen.

    4. Selecteer bij Gegevenstype de optie Tekenreeks (XML), klik op XML uploaden en selecteer het XML-configuratiebestand dat u in het eerste gedeelte heeft gemaakt.

    5. (Optioneel) Voer een beschrijving in die de actie van de aangepaste instelling beschrijft en op wie deze van toepassing is.

  5. Klik op Volgende om door te gaan en de organisatie-eenheid te selecteren waarop de aangepaste instelling van toepassing is, of klik op Nog een toevoegen om nog een instelling toe te voegen. Aanvullende beleidsregels worden pas op een organisatie-eenheid toegepast als u op Volgende klikt en de organisatie-eenheid selecteert.

  6. Kies de organisatie-eenheid waarop u het beleid wilt toepassen.

  7. Klik op Toepassen.

Als een gebruiker in de organisatie-eenheid een geblokkeerde app probeert te installeren of te openen op een Windows-apparaat, krijgt die een foutmelding dat de app is geblokkeerd door de systeembeheerder.

Voorbeeld-XML-bestanden

Alleen ondertekende apps toestaan (alle niet-ondertekende apps blokkeren)

Met dit beleid kunnen gebruikers alleen ondertekende apps installeren, waardoor gebruikers ook geen niet-ondertekende apps kunnen installeren met het bestandstype dat is opgegeven in de OMA-URI.

Als u alle niet-ondertekende apps wilt blokkeren voor alle bestandstypen, voegt u een aangepaste instelling toe voor elk bestandstype en gebruikt u de volgende XML voor de waarde.

Opmerking: In RuleCollection moet Type overeenkomen met het type app-bestand. De waarde kan "Exe" zijn voor EXE-bestanden, "Msi" voor MSI-bestanden, "Script" voor scriptbestanden, "Dll" voor DLL-bestanden of "Appx" voor StoreApps. Vervang in FilePublisherRule de GUID door een willekeurige GUID die je krijgt van een online GUID-generator.

<RuleCollection Type="Type" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
     <Conditions>
       <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
         <BinaryVersionRange LowSection="*" HighSection="*" />
       </FilePublisherCondition>
     </Conditions>
   </FilePublisherRule>
</RuleCollection>

Specifieke apps blokkeren

Als je apps wilt blokkeren, moet je een <FilePublisherRule>-gedeelte opnemen waarin apps en <FilePublisherRule>-blokkeringen staan voor elke app die je wilt blokkeren.

Dit is de algemene indeling:

<RuleCollection Type="Type" EnforcementMode="Enabled">
  <FilePublisherRule...>
    ...allow apps...
  </FilePublisherRule>
  <FilePublisherRule...>
    ...conditions for first app to block...
  </FilePublisherRule>
  <FilePublisherRule...>
    ...conditions for second app to block...
  </FilePublisherRule>
</RuleCollection>

Opmerking: In RuleCollection moet Type overeenkomen met het type app-bestand. De waarde kan "Exe" zijn voor EXE-bestanden, "Msi" voor MSI-bestanden, "Script" voor scriptbestanden, "Dll" voor DLL-bestanden of "Appx" voor StoreApps. Vervang in FilePublisherRule de GUID door een willekeurige GUID die je krijgt van een online GUID-generator.

In dit voorbeeldbeleid kunnen gebruikers App A en App B (beide exe-bestanden) niet uitvoeren:

<RuleCollection Type="Exe" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
  <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Block app A" Description="Blocks app A for all users" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Software Company, L=London, C=GB" ProductName="APPLICATION A" BinaryName="APPA.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Block app B" Description="Blocks app B for all users" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Solarmora Inc, L=Mountain View, S=California, C=US" ProductName="APPLICATION B" BinaryName="APPB.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
 </FilePublisherRule>
</RuleCollection>

Apps blokkeren die zijn gebundeld in het Windows-besturingssysteem

Dit voorbeeld, gebaseerd op het voorbeeld in de Microsoft-documentatie, voorkomt dat gebruikers Windows Mail kunnen gebruiken. Voordat u dit beleid gebruikt, vervangt u GUID door een willekeurige GUID die u maakt via een online GUID-generator.

Opmerking: Dit app-bestand is een Microsoft Store-app. De OMA-URI moet dus ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/AppStore/Policy zijn.

<RuleCollection Type="Appx" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Block Windows Mail" Description="Blocks all users from using Windows Mail" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Microsoft Corporation, L=Redmond, S=Washington, C=US" ProductName="microsoft.windowscommunicationsapps" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
</RuleCollection>


Google, Google Workspace en gerelateerde merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waarmee ze in verband worden gebracht.