Zarządzanie zatwierdzonymi aplikacjami dla urządzeń z systemem Windows za pomocą zasad Kontrola aplikacji dla firm i Instalatory zarządzane dla usługi Microsoft Intune

Każdego dnia na wolności pojawiają się nowe szkodliwe pliki i aplikacje. Gdy są uruchamiane na urządzeniach w organizacji, stwarzają zagrożenie, którym trudno jest zarządzać lub któremu można zapobiec. Aby zapobiec uruchamianiu niepożądanych aplikacji na zarządzanych urządzeniach z systemem Windows, możesz użyć zasad kontroli aplikacji usługi Microsoft Intune dla firm.

Zasady kontroli aplikacji dla firm usługi Intune są częścią zabezpieczeń punktów końcowych i używają dostawcy usług konfiguracji (CSP) kontrolki systemu Windows do zarządzania dozwolonymi aplikacjami na urządzeniach z systemem Windows.

Dostępne również za pośrednictwem zasad Kontrola aplikacji dla firm, możesz użyć zarządzanych zasad instalatora, aby dodać rozszerzenie zarządzania usługi Intune do dzierżawy jako instalatora zarządzanego. W przypadku tego rozszerzenia, jako instalatora zarządzanego, aplikacje wdrażane za pośrednictwem usługi Intune są automatycznie tagowane przez instalatora. Oznaczone aplikacje są identyfikowane przez zasady kontroli aplikacji dla firm jako bezpieczne aplikacje, które mogą być uruchamiane na Twoich urządzeniach.

• Rozszerzenie zarządzania usługi Intune to usługa usługi Intune, która uzupełnia funkcje Windows MDM dla urządzeń z systemem Windows. Ułatwia instalację aplikacji Win32 i skryptów PowerShell na zarządzanych urządzeniach.

• Instalator zarządzany używa reguły AppLocker do oznaczania aplikacji instalowanych jako zaufane przez organizację Aby uzyskać więcej informacji, zobacz Zezwalanie na aplikacje zainstalowane przez instalator zarządzany w dokumentacji Zabezpieczenia Windows.

  Korzystanie z instalatora zarządzanego nie jest wymagane do korzystania z zasad Kontrola aplikacji dla firm.

Informacje zawarte w tym artykule mogą ułatwić:

• Skonfiguruj rozszerzenie zarządzania usługą Intune jako instalator zarządzany.
• Skonfiguruj zasady kontroli aplikacji zabezpieczeń punktu końcowego dla firm.

Aby uzyskać pokrewne informacje, zobacz Kontrola aplikacji usługi Windows Defender w dokumentacji Zabezpieczenia Windows.

Dotyczy:

• System Windows

Wymagania wstępne

Urządzenia

Następujące urządzenia są obsługiwane na potrzeby zasad kontroli aplikacji dla firm, gdy są zarejestrowane w usłudze Intune:

• Windows Enterprise lub Education:

  • System Windows 10 w wersji 1903 lub nowszej
  • System Windows 11

• Windows Professional:

  • Windows 10 z KB5019959
  • Windows 11:
    • Wersja 22H2 z KB5019980
    • Wersja 21H2 z KB5019961

• Windows 11 SE:

  • System Windows 11 SE jest obsługiwany tylko dla dzierżaw edukacyjnych. Aby uzyskać więcej informacji, zobacz Zasady kontroli aplikacji dla firm dla dzierżaw edukacyjnych w dalszej części tego artykułu.

• Azure Virtual Desktop (AVD):

  • Na urządzeniach AVD jest obsługiwane korzystanie z zasad Kontroli aplikacji dla firm
  • Aby kierować urządzenia wielosesyjne AVD, użyj węzła Kontrola aplikacji dla firm w zabezpieczeniach punktu końcowego. Jednak Kontrola aplikacji dla firm jest wyłączna w zakresie urządzenia.

• Urządzenia współzarządzane:

  • Aby obsługiwać zasady kontroli aplikacji dla firm na urządzeniach współzarządzanych, ustaw suwak suwaka dla suwaka programu Endpoint Protection na Intune.

Kontrola aplikacji usługi Windows Defender dla firm

Zobacz wymagania dotyczące wersji i licencjonowania systemu Windows w sekcji Kontrola aplikacji dla systemu Windows — informacje w dokumentacji Zabezpieczenia Windows.

Kontrola dostępu oparta na rolach

Aby zarządzać zasadami kontroli aplikacji dla firm, konto musi mieć przypisaną rolę kontroli dostępu opartej na rolach (RBAC) usługi Intune, która obejmuje uprawnienia i prawa wystarczające do wykonania żądanego zadania.

Poniżej przedstawiono dostępne zadania wraz z ich wymaganymi uprawnieniami i prawami.

• Enable use of a managed installer - Accounts must be assigned the role of Intune Administrator. Włączenie instalatora jest zdarzeniem jednorazowym.

  Ważna

  Firma Microsoft rekomenduje używanie ról z najmniejszą liczbą uprawnień. Pomaga to zwiększyć bezpieczeństwo organizacji. Administrator usługi Intune i podobne konta są rolami o wysokich uprawnieniach, które powinny być ograniczone do scenariuszy, które nie mogą używać innej roli.

• Zasady Zarządzanie kontrolą aplikacji dla firm — konta muszą mieć uprawnienie Kontrola aplikacji dla firm , które obejmuje uprawnienia do usuwania, czytania, przypisywania, tworzenia, aktualizowania i wyświetlania raportów.

• Wyświetlanie raportów na potrzeby zasad Kontroli aplikacji dla firm — konta muszą mieć jedno z następujących uprawnień i praw:

  • Kontrola aplikacji dla firm z uprawnieniem Wyświetlanie raportów.
  • Uprawnienie instytucji z wartością Odczyt.

Aby uzyskać wskazówki dotyczące przypisywania odpowiedniego poziomu uprawnień i praw do zarządzania zasadami kontroli aplikacji usługi Intune dla firm, zobacz Kontrola dostępu oparta na rolach na potrzeby zabezpieczeń punktów końcowych.

Pomoc techniczna dla chmury dla instytucji rządowych

Zabezpieczenia punktów końcowych usługi Intune, zasady kontroli aplikacji i konfigurowanie instalatora zarządzanego są obsługiwane w następujących niezależnych środowiskach chmury:

• Chmury dla instytucji rządowych Stanów Zjednoczonych
• 21Vianet

Wprowadzenie do instalatorów zarządzanych

Dzięki funkcji kontroli aplikacji zabezpieczeń punktu końcowego usługi Intune dla firm możesz używać zasad do dodawania rozszerzenia zarządzania usługą Intune jako instalatora zarządzanego na zarządzanych urządzeniach z systemem Windows.

Po włączeniu instalatora zarządzanego na urządzeniu wszystkie kolejne aplikacje wdrażane na urządzeniach z systemem Windows za pośrednictwem usługi Intune są oznaczone tagiem instalatora zarządzanego. Tag wskazuje, że aplikacja została zainstalowana ze znanego źródła i że może być zaufana. Tagowanie aplikacji instalatora zarządzanego jest następnie używane przez zasady kontroli aplikacji dla firm w celu automatycznego identyfikowania aplikacji jako zatwierdzonych do uruchamiania na urządzeniach w środowisku.

Zasady Kontroli aplikacji dla firm są implementacją funkcji Kontrola aplikacji usługi Windows Defender (WDAC). Aby dowiedzieć się więcej o WDAC i tagowaniu aplikacji, zobacz Informacje o kontroli aplikacji dla systemu Windows i przewodniku po tagowaniu identyfikatora aplikacji WDAC (AppId) w dokumentacji Kontroli aplikacji usługi Windows Defender.

Zagadnienia dotyczące korzystania z instalatora zarządzanego:

• Wdrażasz co najmniej jedną zasadę kontroli aplikacji dla firm dla instalatora zarządzanego w różnych grupach zarządzanych urządzeń z systemem Windows.

  Porada

  18 sierpnia 2025 r. usługa Intune zastąpiła pojedynczą zasadę obejmującą całą dzierżawę dotyczącą dodawania instalatora zarządzanego do urządzeń z systemem Windows nowym projektem zasad, który obsługuje przypisywanie instalatora zarządzanego do wybranych grup. Jeśli zasady obowiązujące w całej dzierżawie obowiązywały przed 18 sierpnia, zostaną one przekonwertowane na zasady dotyczące wszystkich urządzeń, które są równoważne z oryginalną konfiguracją. Jeśli wolisz użyć bardziej szczegółowego wdrożenia instalatora zarządzanego, rozważ usunięcie istniejących zasad, a następnie utworzenie nowych zasad docelowych dla określonych grup lub użycie określonych tagów zakresu.

• Po otrzymaniu na urządzeniach z systemem Windows zasad, które dodają rozszerzenie zarządzania usługi Intune jako instalator zarządzany, wszystkie aplikacje wdrażane na tych urządzeniach za pośrednictwem usługi Intune są oznaczone znakiem instalatora zarządzanego.

• Aby zapobiec dodawaniu zarządzanego instalatora przez nowe urządzenia, możesz edytować zasady w celu wykluczenia grup urządzeń lub usunąć zasady instalatora zarządzanego z usługi Intune. Wykluczenie z zasad lub usunięcie zasad nie powoduje jednak usunięcia instalatora zarządzanego z urządzeń, na których dodano go wcześniej.

• Sam ten tag nie ma wpływu na aplikacje, które mogą być uruchamiane na Twoich urządzeniach. Ten tag jest używany tylko wtedy, gdy przypiszesz również zasady WDAC, które określają, które aplikacje mogą być uruchamiane na zarządzanych urządzeniach.

• Ponieważ nie ma tagowania wstecznego, żadne aplikacje na urządzeniach, które zostały wdrożone przed włączeniem zarządzanego instalatora, nie są tagowane. Jeśli stosujesz zasady WDAC, musisz dołączyć jawne konfiguracje, aby umożliwić uruchamianie tych nieoznakowanych aplikacji.

• Zasady można wyłączyć , aby zapobiec oznaczaniu kolejnych aplikacji za pomocą instalatora zarządzanego. Aplikacje, które zostały wcześniej zainstalowane i oznaczone, pozostaną oznakowane. Aby uzyskać informacje o ręcznym oczyszczaniu instalatora zarządzanego po wyłączeniu zasad, zobacz Usuwanie rozszerzenia zarządzania usługą Intune jako instalatora zarządzanego w dalszej części tego artykułu.

Dowiedz się więcej o sposobie ustawiania instalatora zarządzanego przez usługę Intune w dokumentacji funkcji Zabezpieczenia Windows.

Dodawanie instalatora zarządzanego do dzierżawy

Możesz utworzyć co najmniej jedną zasadę instalatora zarządzanego, aby dodać zarządzanego instalatora do grup urządzeń. Tworząc więcej niż jedną zasadę, rozważ następujące kwestie, które mają zastosowanie do urządzeń objętych więcej niż jedną zarządzaną zasadą instalatora:

• Tak długo, jak jedna zasada ma ustawienie Włącz rozszerzenie zarządzane usługi Intune jako instalator zarządzany ustawione na wartość Włączone, urządzenie stosuje konfigurację jako włączoną.
• Tagi zakresu z więcej niż jednej zasady mają zastosowanie do urządzenia jako nadzbioru tych tagów zakresu.

Poniższa procedura przeprowadzi Cię przez proces dodawania rozszerzenia zarządzania usługą Intune jako instalatora zarządzanego dla Twojej dzierżawy:

1. W centrum administracyjnym usługi Microsoft Intune przejdź do pozycji Kontrola aplikacji zabezpieczeń> punktu końcowegodla firm>, wybierz kartę Instalator zarządzany, a następnie wybierz pozycję Utwórz. Zostanie otwarty przepływ pracy Tworzenie zasad Instalatora zarządzanego .

   

2. Na stronie Podstawy wprowadź następujące właściwości:

   • Nazwa: wprowadź opisową nazwę profilu. Nadaj nazwy profilom, aby można je było później łatwo zidentyfikować.
   • Opis: wprowadź opis profilu. To ustawienie jest opcjonalne, ale zalecane.

3. W ustawieniach ustaw opcję Włącz rozszerzenie zarządzane usługi Intune jako instalator zarządzany na wartość Włączone, ustawienie domyślne. Po włączeniu tej zasady urządzenia z tymi zasadami używają instalatora zarządzanego. Po wyłączeniu urządzenie nie korzysta aktywnie z instalatora zarządzanego.

   Porada

   Możesz edytować zasady w dowolnym momencie, aby edytować wartość Włącz rozszerzenie zarządzane usługi Intune jako instalator zarządzany.

4. W tagach zakresu możesz opcjonalnie wybrać dowolne tagi zakresu do zastosowania.

5. W przypadku przypisań możesz uwzględnić grupy urządzeń i wykluczyć je z zasad. Aby kontynuować, wybierz pozycję Dalej.

   Porada

   Mimo że można kierować grupy zabezpieczeń, które mogą zawierać użytkowników, tylko urządzenia w tej grupie zabezpieczeń będą atakowane i będą podlegać zasadom instalatora zarządzanego. Jest to spowodowane tym, że zasady instalatora zarządzanego dotyczą tylko tego urządzenia.

6. Dla opcji Przeglądanie + tworzenie przejrzyj ustawienia, a następnie wybierz pozycję Utwórz , aby zapisać zmiany i wdrożyć zasady dla członków przypisanych grup. Zasady są również widoczne na liście zasad.

Po dodaniu instalatora zarządzanego może być konieczne odczekanie do 10 minut przed dodaniem nowych zasad do dzierżawy. Wybierz pozycję Odśwież , aby okresowo aktualizować centrum administracyjne, aż będzie ono dostępne.

Gdy zasady są gotowe, zostaną wyświetlone na karcie Instalator zarządzany i będą miały stan Aktywne. Na urządzeniach może być wymagane do 30 minut oczekiwania na dostarczenie zasad.

Zanim zasady zaczną obowiązywać, należy utworzyć i wdrożyć zasady Kontrola aplikacji dla firm w celu określenia reguł, dla których aplikacje mogą być uruchamiane na urządzeniach z systemem Windows.

Aby uzyskać więcej informacji, zobacz Zezwalanie na aplikacje zainstalowane przez instalator zarządzany w dokumentacji zabezpieczenia Windows.

• Instalatory zarządzane mogą włączać zatrzymane lub wyłączone zasady App-Locker (na komputerach docelowych) wymuszane z obiektu zasad grupy.

Remove the Intune Management Extension as a managed installer

Jeśli zajdzie taka potrzeba, można powstrzymać zasady przed konfigurowaniem rozszerzenia zarządzania usługą Intune jako instalatora zarządzanego dla dzierżawy. Wymaga to wyłączenia wszystkich zasad instalatora zarządzanego. Po wyłączeniu zasad możesz użyć dodatkowych akcji oczyszczania.

Wyłączanie zasad rozszerzenia zarządzania usługą Intune (wymagane)

Następująca konfiguracja jest wymagana do skonfigurowania zasad w celu zatrzymania dodawania rozszerzenia zarządzania usługą Intune jako instalatora zarządzanego do urządzeń.

1. W centrum administracyjnym przejdź do pozycji Kontrola aplikacji zabezpieczeń> punktu końcowegodla firm>, wybierz kartę Instalator zarządzany, a następnie wybierz zasady, które chcesz edytować.

2. Edytuj zasady i zmień opcję Włącz rozszerzenie zarządzane usługi Intune jako instalator zarządzany na wartość Wyłączone, a następnie zapisz zasady.

Nowe urządzenia nie są skonfigurowane za pomocą rozszerzenia do zarządzania usługą Intune jako instalator zarządzany. Nie spowoduje to usunięcia rozszerzenia zarządzania usługą Intune Management Extension jako instalatora zarządzanego z urządzeń, które są już skonfigurowane do korzystania z tego rozszerzenia.

Usuwanie rozszerzenia do zarządzania usługą Intune jako instalatora zarządzanego na urządzeniach (opcjonalnie)

W ramach opcjonalnego kroku oczyszczania można uruchomić skrypt w celu usunięcia rozszerzenia zarządzania usługą Intune jako instalatora zarządzanego na urządzeniach, na których już go zainstalowano. Ten krok jest opcjonalny, ponieważ ta konfiguracja nie ma wpływu na urządzenia, chyba że używasz również zasad Kontroli aplikacji dla firm, które odwołują się do instalatora zarządzanego.

1. Pobierz skrypt programuCatCleanIMEOnly.ps1 PowerShell. Ten skrypt jest dostępny na https://aka.ms/intune_WDAC/CatCleanIMEOnlystronie download.microsoft.com.

2. Uruchom ten skrypt na urządzeniach, które mają rozszerzenie zarządzania usługi Intune ustawione jako instalator zarządzany. Ten skrypt usuwa tylko rozszerzenie zarządzania usługi Intune jako instalator zarządzany.

3. Uruchom ponownie usługę rozszerzenia zarządzania usługą Intune, aby powyższe zmiany zaczęły obowiązywać.

Aby uruchomić ten skrypt, możesz użyć usługi Intune do uruchamiania skryptów programu PowerShell lub innych wybranych metod.

Usunięcie wszystkich zasad funkcji AppLocker z urządzenia (opcjonalnie)

Aby usunąć wszystkie zasady funkcji Windows AppLocker z urządzenia, możesz użyć skryptu CatCleanAll.ps1 PowerShell. Ten skrypt usuwa nie tylko rozszerzenie zarządzania usługi Intune jako instalator zarządzany, ale wszystkie zasady oparte na funkcji Windows AppLocker z urządzenia. Przed użyciem tego skryptu upewnij się, że rozumiesz sposób używania zasad funkcji AppLocker w Twojej organizacji.

1. Pobierz skrypt programuCatCleanAll.ps1 PowerShell. Ten skrypt jest dostępny pod adresem [https://aka.ms/intune_WDAC/CatCleanAll](/ https:/aka.ms/intune_WDAC/CatCleanAll) w download.microsoft.com.

2. Uruchom ten skrypt na urządzeniach, które mają rozszerzenie zarządzania usługi Intune ustawione jako instalator zarządzany. Ten skrypt usuwa rozszerzenie zarządzania usługą Intune jako zarządzany instalator i zasady funkcji AppLocker z urządzenia.

3. Uruchom ponownie usługę rozszerzenia zarządzania usługą Intune, aby powyższe zmiany zaczęły obowiązywać.

Aby uruchomić ten skrypt, możesz użyć usługi Intune do uruchamiania skryptów programu PowerShell lub innych wybranych metod.

Wprowadzenie do zasad kontroli aplikacji dla firm

Za pomocą zasad kontroli aplikacji dla firm zabezpieczeń punktów końcowych usługi Intune możesz zarządzać aplikacjami na zarządzanych urządzeniach z systemem Windows, które mogą być uruchamiane. Uruchamianie aplikacji, które nie są jawnie dozwolone na mocy zasad, zostanie zablokowane, chyba że skonfigurowano zasady tak, aby używały trybu inspekcji. W trybie inspekcji zasady umożliwiają uruchamianie wszystkich aplikacji i rejestrują ich szczegóły lokalnie na kliencie.

Do zarządzania dozwolonymi lub blokowanymi aplikacjami usługa Intune używa dostawcy CSP ApplicationControl systemu Windows na urządzeniach z systemem Windows.

Podczas tworzenia zasad kontroli aplikacji dla firm należy wybrać format ustawień konfiguracji , który będzie używany:

• Wprowadzanie danych xml — gdy zdecydujesz się wprowadzić dane xml, musisz podać zasadom zestaw niestandardowych właściwości XML, które definiują zasady kontroli aplikacji dla firm.

• Wbudowane kontrolki — ta opcja jest najprostszą ścieżką konfiguracji, ale pozostaje zaawansowanym wyborem. Dzięki wbudowanym kontrolkom można łatwo zatwierdzić wszystkie aplikacje zainstalowane przez instalatora zarządzanego i zezwolić na zaufanie do składników systemu Windows oraz aplikacji ze sklepu.

  Więcej szczegółowych informacji na temat tych opcji jest dostępnych w interfejsie użytkownika podczas tworzenia zasad oraz szczegółowo opisano je w poniższej procedurze przeprowadzonej przez proces tworzenia zasad.

Po utworzeniu zasad kontroli aplikacji dla firm można rozszerzyć zakres tych zasad przez utworzenie zasad uzupełniających , które dodają więcej reguł w formacie XML do oryginalnych zasad. W przypadku korzystania z zasad uzupełniających zasady pierwotne są określane jako zasady podstawowe.

Tworzenie zasad kontroli aplikacji dla firm

Poniższa procedura ułatwi utworzenie skutecznych zasad kontroli aplikacji dla firm. Te zasady są uznawane za zasady podstawowe , jeśli następnie zostaną utworzone zasady uzupełniające w celu rozszerzenia zakresu zaufania zdefiniowanego za pomocą tych zasad.

1. Zaloguj się do centrum administracyjnego usługi Microsoft Intune i przejdź do pozycji Kontrola aplikacji zabezpieczeń> punktu końcowegodla firm>, wybierz kartę Kontrola aplikacji dla firm, a > następnie wybierz pozycję Utwórz zasady. Zasadom Kontrola aplikacji dla firm jest automatycznie przypisywany typ platformy.

   

2. W obszarze Podstawowe wprowadź następujące właściwości:

   • Nazwa: wprowadź opisową nazwę profilu. Nadaj nazwy profilom, aby można je było później łatwo zidentyfikować.
   • Opis: wprowadź opis profilu. To ustawienie jest opcjonalne, ale zalecane.

3. W obszarze Ustawienia konfiguracji wybierz format ustawień konfiguracji:

   Wprowadź dane xml — za pomocą tej opcji musisz podać niestandardowe właściwości XML w celu zdefiniowania zasad kontroli aplikacji dla firm. Jeśli wybierzesz tę opcję, ale nie dodasz właściwości XLM do zasad, będzie działać jako Nieskonfigurowane. Nieskonfigurowane zasady kontroli aplikacji dla firm powodują domyślne zachowania na urządzeniu bez dodanych opcji z dostawcy CSP ApplicationControl.

   Wbudowane kontrolki — po wybraniu tej opcji zasady nie używają niestandardowego kodu XML. Zamiast tego skonfiguruj następujące ustawienia:

   • Włącz zaufanie do składników systemu Windows i aplikacji ze sklepu — gdy to ustawienie jest włączone (ustawienie domyślne), zarządzane urządzenia mogą uruchamiać składniki systemu Windows i aplikacje sklepu, a także inne aplikacje, które możesz skonfigurować jako zaufane. Aplikacje, które nie są zdefiniowane jako zaufane w tych zasadach, nie mogą działać.

     To ustawienie obsługuje również tryb tylko inspekcji . W trybie inspekcji wszystkie zdarzenia są rejestrowane w lokalnych dziennikach klienta, ale uruchamianie aplikacji nie jest blokowane.

   • Wybierz dodatkowe opcje ufania aplikacjom — dla tego ustawienia możesz wybrać jedną lub obie z następujących opcji:

     • Ufaj aplikacjom o dobrej reputacji — ta opcja umożliwia urządzeniom uruchamianie zaufanych aplikacji zgodnie z definicją w inteligentnym grafie zabezpieczeń firmy Microsoft. Aby uzyskać informacje na temat korzystania z funkcji Intelligent Security Graph (ISG), zobacz Zezwalanie na używanie renomowanych aplikacji z inteligentnym wykresem zabezpieczeń (ISG) w dokumentacji zabezpieczenia Windows.

     • Ufaj aplikacjom od instalatorów zarządzanych — ta opcja umożliwia urządzeniom uruchamianie aplikacji, które zostały wdrożone przez autoryzowane źródło, czyli instalator zarządzany. Dotyczy to aplikacji wdrażanych za pośrednictwem usługi Intune po skonfigurowaniu rozszerzenia zarządzania usługą Intune jako instalatora zarządzanego.

       Zachowanie wszystkich innych aplikacji i plików, które nie są określone przez reguły w tych zasadach, zależy od konfiguracji opcji Włącz zaufanie składników systemu Windows i aplikacji ze sklepu:

       • Jeśli ta opcja jest włączona, uruchamianie plików i aplikacji na urządzeniach jest blokowane.
       • W przypadku ustawienia wartości Tylko inspekcja pliki i aplikacje są rejestrowane tylko w dziennikach klienta lokalnego.

   

4. Na stronie Tagi zakresu wybierz dowolne tagi zakresu do zastosowania, a następnie wybierz przycisk Dalej.

5. W obszarze Przypisania wybierz grupy, które otrzymują zasady, ale weź pod uwagę, że zasady WDAC mają zastosowanie tylko do zakresu urządzenia. Aby kontynuować, wybierz pozycję Dalej.

   Aby uzyskać więcej informacji na temat przypisywania profilów, zobacz Przypisywanie profilów użytkowników i urządzeń.

6. Dla opcji Przejrzyj + utwórz przejrzyj ustawienia, a następnie wybierz pozycję Utwórz. Po wybraniu pozycji Utwórz zmiany zostaną zapisane, a profil przypisany. Zasady są również widoczne na liście zasad.

Stosowanie zasad uzupełniających

Jedna lub więcej zasad uzupełniających może pomóc w rozszerzeniu podstawowej zasady kontroli aplikacji dla firm w celu zwiększenia kręgu zaufania dla tych zasad. Zasady uzupełniające mogą rozwijać tylko jedną zasadę podstawową, ale wiele zasad uzupełniających może rozwijać tę samą zasadę podstawową. Po dodaniu zasad uzupełniających aplikacje dozwolone przez zasady podstawowe i ich zasady uzupełniające mogą być uruchamiane na urządzeniach.

Zasady uzupełniające muszą być w formacie XML i muszą odwoływać się do identyfikatora zasad podstawowych.

Identyfikator zasad podstawowej kontroli aplikacji dla firm jest określany przez konfigurację zasad podstawowych:

• Zasady podstawowe utworzone przy użyciu niestandardowego kodu XML mają unikatowy identyfikator zasad oparty na tej konfiguracji XML.

• Zasady podstawowe, które są tworzone przy użyciu wbudowanych kontrolek Kontroli aplikacji dla firm, mają jeden z czterech możliwych identyfikatorów zasad, które są określane przez możliwe kombinacje ustawień wbudowanych. W poniższej tabeli przedstawiono te kombinacje i powiązany identyfikator PolicyID:

  PolicyID zasad podstawowych	Opcje w zasadach WDAC (inspekcja lub wymuszanie)
  {A8012CFC-D8AE-493C-B2EA-510F035F1250}	Włącz zasady kontroli aplikacji, aby ufać składnikom systemu Windows i aplikacjom ze Sklepu
  {D6D6C2D6-E8B6-4D8F-8223-14BE1DE562FF}	Włącz zasady kontroli aplikacji, aby ufać składnikom systemu Windows i aplikacjom ze Sklepu I ufaj aplikacjom cieszącym się dobrą reputacją
  {63D1178A-816A-4AB6-8ECD-127F2DF0CE47}	Włącz zasady kontroli aplikacji, aby ufać składnikom systemu Windows i aplikacjom ze Sklepu I ufaj aplikacjom od zarządzanych instalatorów
  {2DA0F72D-1688-4097-847D-C42C39E631BC}	Włącz zasady kontroli aplikacji, aby ufać składnikom systemu Windows i aplikacjom ze Sklepu I ufaj aplikacjom o dobrej reputacji I ufaj aplikacjom od zarządzanych instalatorów

Mimo że dwie zasady kontroli aplikacji dla firm, które używają tej samej konfiguracji wbudowanych kontrolek, mają ten sam identyfikator zasad, można zastosować różne zasady uzupełniające na podstawie przypisań zasad.

Rozważmy następujący scenariusz:

• Tworzysz dwie zasady podstawowe, które używają tej samej konfiguracji i dlatego mają ten sam identyfikator zasad. Jedną z nich wdrażasz w zespole wykonawczym, a drugą — w zespole pomocy technicznej.

• Następnie utworzysz zasady uzupełniające umożliwiające uruchamianie innych aplikacji wymaganych przez zespół kierowniczy. Te zasady uzupełniające przypisuje się do tej samej grupy — zespołu kierowniczego.

• Następnie należy utworzyć drugą zasadę uzupełniającą, która umożliwia uruchamianie różnych narzędzi wymaganych przez zespół pomocy technicznej. Te zasady są przypisane do grupy Pomoc techniczna.

W wyniku tych wdrożeń obie zasady uzupełniające mogą modyfikować oba wystąpienia zasad podstawowych. Jednak ze względu na odrębne i oddzielne przypisania pierwsza zasada uzupełniająca modyfikuje tylko dozwolone aplikacje przypisane do zespołu kierowniczego, a druga modyfikuje tylko dozwolone aplikacje używane przez zespół pomocy technicznej.

Tworzenie zasad uzupełniających

1. Użyj Kreatora kontroli aplikacji usługi Windows Defender lub poleceń cmdlet programu PowerShell, aby wygenerować zasadę Kontrola aplikacji dla firm w formacie XML.

   Aby dowiedzieć się więcej na temat tego Kreatora, zobacz aka.ms/wdacWizard lub Kreator Microsoft WDAC.

   Podczas tworzenia zasad w formacie XML muszą one odwoływać się do identyfikatora zasad podstawowych.

2. Po utworzeniu zasad uzupełniających kontroli aplikacji dla firm w formacie XML zaloguj się do centrum administracyjnego usługi Microsoft Intune i przejdź do pozycji Kontrola aplikacji zabezpieczeń punktu końcowego>dla firm>, wybierz kartę Kontrola aplikacji dla firm, a następnie wybierz pozycję Utwórz zasady.

3. W obszarze Podstawowe wprowadź następujące właściwości:

   • Nazwa: wprowadź opisową nazwę profilu. Nadaj nazwy profilom, aby można je było później łatwo zidentyfikować.

   • Opis: wprowadź opis profilu. To ustawienie jest opcjonalne, ale zalecane.

4. W obszarze Ustawienia konfiguracji w polu Format ustawień konfiguracji wybierz pozycję Wprowadź dane xml i przekaż plik XML.

5. W polu Przypisania wybierz te same grupy, które przypisano do zasad podstawowych, do których mają być stosowane zasady uzupełniające, a następnie wybierz pozycję Dalej.

6. Dla opcji Przejrzyj + utwórz przejrzyj ustawienia, a następnie wybierz pozycję Utwórz. Po wybraniu pozycji Utwórz zmiany zostaną zapisane, a profil przypisany. Zasady są również widoczne na liście zasad.

Zasady kontroli aplikacji dla firm dla dzierżaw edukacyjnych

Zasady kontroli aplikacji dla firm w dzierżawach dla organizacji edukacyjnych obsługują również system Windows 11 SE oprócz platform obsługiwanych w wymaganiach wstępnych.

Windows 11 SE to system operacyjny oparty przede wszystkim na chmurze, który jest zoptymalizowany do użytku w salach lekcyjnych. Podobnie jak usługa Intune for Education, system Windows SE 11 traktuje priorytetowo produktywność, prywatność uczniów oraz naukę i obsługuje tylko funkcje i aplikacje niezbędne dla edukacji.

Aby wspomóc tę optymalizację, zasady WDAC i rozszerzenie zarządzania usługi Intune są konfigurowane automatycznie dla urządzeń z systemem Windows 11 SE:

• Obsługa usługi Intune dla urządzeń z systemem Windows 11 SE jest ograniczona do wdrażania wstępnie zdefiniowanych zasad WDAC z określoną listą aplikacji w dzierżawach EDU. Te zasady są wdrażane automatycznie i nie można ich zmienić.

• W przypadku dzierżaw usługi Intune EDU rozszerzenie do zarządzania usługą Intune jest automatycznie ustawiane jako instalator zarządzany. Ta konfiguracja jest automatyczna i nie można jej zmienić.

Zasady Usuwanie kontroli aplikacji dla firm

Zgodnie z opisem w artykule Wdrażanie zasad WDAC przy użyciu zarządzania urządzeniami przenośnymi (MDM) - zabezpieczenia Windows w dokumentacji Zabezpieczenia Windows, zasady usunięte z interfejsu użytkownika usługi Intune są usuwane z systemu i urządzeń, ale pozostają w mocy do następnego ponownego uruchomienia komputera.

Aby wyłączyć lub usunąć wymuszanie WDAC:

1. Zastąp istniejące zasady nową wersją zasad, która będzie Allow /*, podobnie jak reguły w przykładowych zasadach znalezionych na urządzeniach z systemem Windows pod adresem %windir%\schemas\CodeIntegrity\ExamplePolicies\AllowAll.xml

   Ta konfiguracja usuwa wszelkie blokady, które w przeciwnym razie mogłyby pozostać na urządzeniu po usunięciu zasad.

2. Po wdrożeniu zaktualizowanych zasad można usunąć nowe zasady z portalu usługi Intune.

Ta sekwencja zapobiega blokowaniu czegokolwiek i całkowicie usuwa zasady WDAC po następnym ponownym uruchomieniu.

Monitorowanie zasad Kontroli aplikacji dla firm i instalatora zarządzanego

Po przypisaniu urządzeniom zasad kontroli aplikacji dla firm i instalatora zarządzanego możesz wyświetlić szczegóły zasad w centrum administracyjnym.

• Aby wyświetlać raporty, Twoje konto musi mieć uprawnienie Odczyt dla kategorii kontroli dostępu opartej na rolach w organizacji usługi Intune.

Aby wyświetlić raporty, zaloguj się do centrum administracyjnego usługi Intune i przejdź do pozycji Kontrola aplikacji zabezpieczeń> punktu końcowegodla firm. Wybierz kartę Zasady dla zasad Kontrola aplikacji dla firm i Instalator zarządzany dla zasad Instalatora zarządzanego:

Kontrola aplikacji dla firm

Na karcie Kontrola aplikacji dla firm wybierz zasady, aby otworzyć widok z następującymi opcjami raportu:

• Stan ewidencjonowania urządzeń i użytkowników — prosty wykres przedstawiający liczbę urządzeń zgłaszających każdy dostępny stan dla tych zasad.

• Wyświetl raport — spowoduje to otwarcie widoku z listą urządzeń, które otrzymały te zasady. W tym miejscu możesz wybrać urządzenia, aby przejść do szczegółów i wyświetlić ich format ustawień zasad Kontroli aplikacji dla firm.

Widok zasad zawiera również następujące kafelki raportów:

• Stan przypisania urządzeń — w tym raporcie są wyświetlane wszystkie urządzenia, które są objęte zasadami, w tym urządzenia w stanie oczekiwania na przypisanie zasad.

  W tym raporcie możesz wybrać wartości stanu przypisania , które chcesz wyświetlić, a następnie wybrać pozycję Generuj raport , aby odświeżyć raport w celu wyświetlenia poszczególnych urządzeń, które otrzymały zasady, ich ostatniego aktywnego użytkownika i stanu przypisania.

  Możesz również wybrać urządzenia, aby przejść do szczegółów i wyświetlić ich format ustawień zasad Kontrola aplikacji dla firm.

• Stan ustawienia — w tym raporcie jest wyświetlana liczba urządzeń, które zgłaszają stan jako Powodzenie, Błąd lub Konflikt dla ustawień z tej zasady.

Instalator zarządzany

Na karcie Instalator zarządzany wybierz zasady, aby otworzyć ich stronę Przegląd, na której możesz wyświetlić następujące informacje:

• Stan urządzenia, statyczna liczba sukcesów i błędów.

• Trend stanu urządzeń — wykres historyczny, który wyświetla oś czasu i liczbę urządzeń w każdej kategorii szczegółów.

Szczegóły raportu obejmują:

• Powodzenie — urządzenia, które pomyślnie zastosowały zasady.

• Błąd — urządzenia z błędami.

• Nowe urządzenia — nowe urządzenia identyfikują urządzenia, które ostatnio stosowały zasady.

  

Aktualizacja sekcji Stan urządzenia i Trend stanu urządzeń w przeglądzie może potrwać do 24 godzin.

Podczas wyświetlania szczegółów zasad możesz wybrać pozycję Stan urządzenia (poniżej pozycji Monitor), aby otworzyć widok szczegółów zasad oparty na urządzeniu. Widok Stan urządzenia zawiera następujące szczegóły, których można użyć do identyfikowania problemów, jeśli urządzenie nie zastosuje zasad pomyślnie:

• Nazwa urządzenia
• Nazwa użytkownika
• Wersja systemu operacyjnego
• Stan instalatora zarządzanego (powodzenie lub błąd)

Może upłynąć kilka minut, zanim widok szczegółów zasad na urządzeniu zostanie zaktualizowany po rzeczywistym odebraniu zasad przez urządzenie.

Często zadawane pytania

Kiedy należy ustawić rozszerzenie zarządzania usługą Intune jako instalator zarządzany?

Zalecamy skonfigurowanie rozszerzenia zarządzania usługą Intune jako instalatora zarządzanego przy następnej możliwej okazji.

Po ustawieniu kolejne aplikacje wdrażane na urządzeniach są odpowiednio tagowane, aby obsługiwać zasady WDAC, które ufają aplikacjom z zarządzanych instalatorów.

W środowiskach, w których aplikacje zostały wdrożone przed skonfigurowaniem instalatora zarządzanego, zalecamy wdrożenie nowych zasad WDAC w trybie inspekcji , aby można było stwierdzić, że aplikacje zostały wdrożone, ale nie zostały oznaczone jako zaufane. Następnie możesz przejrzeć wyniki inspekcji i określić, które aplikacje powinny być zaufane. Dla aplikacji, którym ufasz i których uruchamianie zezwolisz, możesz następnie utworzyć niestandardowe zasady WDAC, aby zezwolić tym aplikacjom.

Pomocne może być zapoznanie się z zaawansowanym wyszukiwaniem zagrożeń, funkcją w ochronie punktu końcowego w usłudze Microsoft Defender ułatwiającą wykonywanie zapytań o zdarzenia inspekcji na wielu maszynach zarządzanych przez administratorów IT i pomagającą im w tworzeniu zasad.

Co zrobić ze starymi zasadami kontroli aplikacji z moich zasad zmniejszania obszaru podatnego na ataki

Wystąpienia zasady kontroli aplikacji można zauważyć w interfejsie użytkownika usługi Intune w obszarzeZmniejszanie obszaru atakówzabezpieczeń> punktu końcowego lub w obszarze Zarządzanie> urządzeniamiKonfiguracjaurządzeń>. Zostaną one wycofane w przyszłej wersji.

Co zrobić, jeśli mam wiele podstawowych lub uzupełniających zasad na tym samym urządzeniu?

Przed systemem Windows 10 1903 Kontrola aplikacji dla firm obsługiwała w danym momencie tylko jedną aktywną zasadę w systemie. Takie zachowanie znacznie ogranicza klientów w sytuacjach, w których przydatne byłoby użycie kilku zasad o różnych celach. Obecnie na tym samym urządzeniu jest obsługiwanych wiele zasad podstawowych i uzupełniających. Dowiedz się więcej o wdrażaniu wielu zasad kontroli aplikacji dla firm.

W związku z tym, nie ma już ograniczenia 32 zasad aktywnych na tym samym urządzeniu dla Kontroli aplikacji dla firm. Ten problem został rozwiązany dla urządzeń z systemem Windows 10 1903 lub nowszym dzięki aktualizacji zabezpieczeń Windows wydanej 12 marca 2024 r. lub później. Starsze wersje systemu Windows powinny otrzymać tę poprawkę w przyszłych aktualizacjach zabezpieczeń systemu Windows.

Czy możliwość zgody na Instalatora zarządzanego dla mojej dzierżawy ustawia aplikacje zainstalowane z programu Configuration Manager z odpowiednim tagiem?

L.p. Ta wersja koncentruje się na ustawianiu aplikacji zainstalowanych z usługi Intune przy użyciu rozszerzenia zarządzania usługą Intune jako instalatora zarządzanego. Nie można ustawić programu Configuration Manager jako instalatora zarządzanego.

Jeśli ustawienie programu Configuration Manager jako instalatora zarządzanego jest pożądane, możesz zezwolić na takie zachowanie z poziomu programu Configuration Manager. Jeśli masz już program Configuration Manager ustawiony jako instalator zarządzany, oczekiwanym zachowaniem jest scalenie nowych zasad AppLocker rozszerzenia zarządzania usługi Intune z istniejącymi zasadami programu Configuration Manager.

Jakie kwestie należy wziąć pod uwagę w przypadku urządzeń z funkcją Hybrid Join (HAADJ) usługi Microsoft Entra (HAADJ) w mojej organizacji, które chcą używać Instalatora zarządzanego?

Urządzenia przyłączone hybrydowo do usługi Microsoft Entra wymagają łączności z lokalnym kontrolerem domeny (DC) w celu zastosowania zasad grupy, w tym zarządzanych zasad instalatora (za pośrednictwem funkcji AppLocker). Bez łączności kontrolera domeny, zwłaszcza podczas inicjowania obsługi funkcji Windows Autopilot, zasady instalatora zarządzanego nie będą pomyślnie stosowane. Zastanów się:

1. Zamiast tego użyj rozwiązania Windows Autopilot z dołączaniem do usługi Microsoft Entra. Zobacz naszą rekomendację, którą opcję dołączania do usługi Microsoft Entra wybrać, aby uzyskać więcej informacji.

2. W przypadku dołączania hybrydowego usługi Microsoft Entra wybierz jedną lub obie z następujących opcji:

   • Użyj metod aprowizacji urządzeń, które zapewniają łączność kontrolera domeny w czasie instalowania aplikacji, ponieważ rozwiązanie Windows Autopilot może tutaj nie działać.
   • Wdróż aplikacje po zakończeniu inicjowania obsługi funkcji Windows Autopilot, aby łączność kontrolera domeny została ustanowiona w czasie instalowania aplikacji i można było zastosować zasady instalatora zarządzanego.

Następne kroki

Konfigurowanie zasad zabezpieczeń punktu końcowego