ApplicationControl CSP

商務用應用程控原則可以透過ApplicationControl 設定服務提供者 (CSP) ，從 MDM 伺服器管理，或透過 WMI 網橋在本機使用 PowerShell 來管理。 ApplicationControl CSP 已在 Windows 10 1903 版中新增。 此 CSP 針對 Windows 10 版本 1903) 中引進的多個原則，提供擴充的診斷功能和支援 (。 它也支援 Windows 10 版本 1709) 中引進的原則部署 (，而不需要重新啟動。 不同於 AppLocker CSP，ApplicationControl CSP 會正確偵測到 [無重新啟動] 選項的存在，因此不會排程重新啟動。

使用 AppLocker CSP 的 CodeIntegrity 節點部署的現有商務用應用程控原則，現在可以使用 ApplicationControl CSP URI 進行部署。 雖然仍會繼續支援使用AppLocker CSP的應用程控原則部署，但所有新的功能工作都只會在ApplicationControl CSP中完成。

下列清單顯示 ApplicationControl 設定服務提供者節點：

• ./Vendor/MSFT/ApplicationControl
  • 原則
    • {原則 GUID}
      • 原則
      • PolicyInfo
        • BasePolicyId
        • FriendlyName
        • IsAuthorized
        • IsBasePolicy
        • IsDeployed
        • IsEffective
        • IsSystemPolicy
        • PolicyOptions
        • 狀態
        • 版本
  • 令牌
    • {ID}
      • 令牌
      • TokenInfo
        • 狀態
        • 類型

原則

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10 版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Policies

包含所有原則之子樹的開頭。

每個原則都是以其全域唯一標識碼 (GUID) 來識別。

描述架構屬性:

屬性名稱	屬性值
格式	node
存取類型	[取得]

Policies/{Policy GUID}

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10 版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Policies/{Policy GUID}

原則的 GUID。

每個原則 GUID 節點都包含原則節點和對應的 PolicyInfo 節點。

描述架構屬性:

屬性名稱	屬性值
格式	node
存取類型	[取得]
動態節點命名	UniqueName：ApplicationControl CSP 會強制指定原則 URI 的「標識符」區段與原則 Blob 中的原則標識符相同。

Policies/{Policy GUID}/Policy

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10 版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Policies/{Policy GUID}/Policy

編碼為base64的原則二進位檔。 支援的值是二進位檔，由 ConvertFrom-CIPolicy Cmdlet 從原則 XML 檔案轉換而來。

預設值是空的。

描述架構屬性:

屬性名稱	屬性值
格式	b64
存取類型	新增、刪除、取得、取代

Policies/{Policy GUID}/PolicyInfo

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10 版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Policies/{Policy GUID}/PolicyInfo

描述 GUID 所指示之原則的資訊。

描述架構屬性:

屬性名稱	屬性值
格式	node
存取類型	[取得]

Policies/{Policy GUID}/PolicyInfo/BasePolicyId

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10 版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Policies/{Policy GUID}/PolicyInfo/BasePolicyId

原則 GUID 指示之原則的BasePolicyId。

描述架構屬性:

屬性名稱	屬性值
格式	chr (字串)
存取類型	[取得]

Policies/{Policy GUID}/PolicyInfo/FriendlyName

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10 版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Policies/{Policy GUID}/PolicyInfo/FriendlyName

原則 GUID 指示之原則的 FriendlyName。

描述架構屬性:

屬性名稱	屬性值
格式	chr (字串)
存取類型	[取得]

Policies/{Policy GUID}/PolicyInfo/IsAuthorized

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10 版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Policies/{Policy GUID}/PolicyInfo/IsAuthorized

GUID 所指示的原則是否有權由系統上的強制引擎載入。

支援的值如下：

• True：表示系統上的強制引擎已授權載入原則。
• False：表示系統上的強制引擎未授權載入原則。 此值為預設值。

描述架構屬性:

屬性名稱	屬性值
格式	bool
存取類型	[取得]

Policies/{Policy GUID}/PolicyInfo/IsBasePolicy

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10 版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Policies/{Policy GUID}/PolicyInfo/IsBasePolicy

TRUE/FALSE 如果原則是基底原則與補充原則。

描述架構屬性:

屬性名稱	屬性值
格式	bool
存取類型	[取得]

Policies/{Policy GUID}/PolicyInfo/IsDeployed

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10，版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Policies/{Policy GUID}/PolicyInfo/IsDeployed

GUID 所指示的原則是否部署在實體電腦上的系統 ()

支援的值如下：

• True：表示原則已部署在系統上，且存在於實體計算機上。
• False：表示原則未部署在系統上，且不存在於實體計算機上。 此值為預設值。

描述架構屬性:

屬性名稱	屬性值
格式	bool
存取類型	[取得]

Policies/{Policy GUID}/PolicyInfo/IsEffective

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10，版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Policies/{Policy GUID}/PolicyInfo/IsEffective

GUID 所指示的原則是否在強制引擎載入的系統 (上有效，實際上)

支援的值如下：

• True：表示原則是由強制引擎載入，並且在系統上生效。
• False：表示原則不是由強制引擎載入，也不會在系統上生效。 此值為預設值。

描述架構屬性:

屬性名稱	屬性值
格式	bool
存取類型	[取得]

Policies/{Policy GUID}/PolicyInfo/IsSystemPolicy

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10，版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Policies/{Policy GUID}/PolicyInfo/IsSystemPolicy

如果原則是系統原則，則為TRUE/FALSE，這是由操作系統Microsoft所管理的原則。

描述架構屬性:

屬性名稱	屬性值
格式	bool
存取類型	[取得]

Policies/{Policy GUID}/PolicyInfo/PolicyOptions

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10，版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Policies/{Policy GUID}/PolicyInfo/PolicyOptions

原則 GUID 所指示原則的 PolicyOptions。

描述架構屬性:

屬性名稱	屬性值
格式	chr (字串)
存取類型	[取得]

Policies/{Policy GUID}/PolicyInfo/Status

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10，版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Policies/{Policy GUID}/PolicyInfo/Status

原則 GUID 所指示原則的目前狀態。

預設值為 0，表示原則狀態為 OK。

描述架構屬性:

屬性名稱	屬性值
格式	int
存取類型	[取得]

Policies/{Policy GUID}/PolicyInfo/Version

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10 版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Policies/{Policy GUID}/PolicyInfo/Version

GUID 所指示的原則版本，以字串形式表示。 剖析時，請使用 uint64 作為包含的數據類型。

描述架構屬性:

屬性名稱	屬性值
格式	chr (字串)
存取類型	[取得]

令牌

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10 版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Tokens

包含所有令牌的子樹的開頭。

描述架構屬性:

屬性名稱	屬性值
格式	node
存取類型	[取得]

Tokens/{ID}

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10 版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Tokens/{ID}

用來區分令牌的任意標識碼。

描述架構屬性:

屬性名稱	屬性值
格式	node
存取類型	[取得]
動態節點命名	UniqueName：ApplicationControl CSP 會強制指定令牌 URI 的「標識符」區段是唯一的。

Tokens/{ID}/Token

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10 版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Tokens/{ID}/Token

編碼為base64的令牌二進位檔。 支援的值是從 OneCoreDeviceUnlockService 取得的二進位檔。

描述架構屬性:

屬性名稱	屬性值
格式	b64
存取類型	新增、刪除、取得、取代

Tokens/{ID}/TokenInfo

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10 版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Tokens/{ID}/TokenInfo

資訊 描述對應標識碼所指出的令牌。

描述架構屬性:

屬性名稱	屬性值
格式	node
存取類型	[取得]

Tokens/{ID}/TokenInfo/Status

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10，版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Tokens/{ID}/TokenInfo/Status

令牌標識碼所指出之令牌的目前狀態。

描述架構屬性:

屬性名稱	屬性值
格式	int
存取類型	[取得]

Tokens/{ID}/TokenInfo/Type

領域	版本	適用的作業系統
✅ 裝置 ❌ 使用者	✅ 專業版 ✅ 企業版 ✅ 教育版 ✅ Windows SE ✅ IoT 企業版 / IoT 企業版 LTSC	✅Windows 10，版本 1903 [10.0.18362] 和更新版本

./Vendor/MSFT/ApplicationControl/Tokens/{ID}/TokenInfo/Type

令牌識別碼所指出的令牌類型。

描述架構屬性:

屬性名稱	屬性值
格式	int
存取類型	[取得]

IsAuthorized、IsDeployed 和 IsEffective 值

下表根據IsAuthorized、IsDeployed和IsEffective節點的不同值，提供此原則的結果：

IsAuthorized	IsDeployed	IsEffective	合成的
True	True	True	原則目前正在執行，且已生效。
True	True	False	原則需要重新啟動才能生效。
True	False	True	原則需要重新啟動才能從 CI 卸除。
False	True	True	無法連線。
True	False	False	*無法連線。
False	True	False	*無法連線。
False	False	True	無法連線。
False	False	False	*無法連線。

* 表示有效的中繼狀態;不過，如果 MDM 交易導致此狀態設定， END_COMMAND_PROCESSING 則會導致失敗。

Microsoft Intune 使用指引

若客戶使用 Intune 獨立或混合式管理，Configuration Manager 透過ApplicationControl CSP部署自定義原則，請參閱使用 Microsoft Intune部署商務用應用程控原則。

一般 MDM 伺服器使用方式指引

若要在不使用 Intune 的情況下使用 ApplicationControl CSP，您必須：

1. 知道所產生原則的 GUID，這可以在原則 xml 中找到，如 1903 年之前系統或<PolicyID><PolicyTypeID>之前系統。
2. 使用 ConvertFrom-CIPolicy Cmdlet 將原則轉換成二進位格式以進行部署。 二進位原則可能已簽署或未簽署。
3. 使用 certutil -encode 命令行工具， (二進位原則表示法的Base64編碼 Blob 建立原則節點) 。

以下是範例 certutil invocation：

certutil  -encode WinSiPolicy.p7b WinSiPolicy.cer

使用 certutil 的替代方法是使用下列 PowerShell 調用：

[Convert]::toBase64String($(Get-Content -Encoding Byte -ReadCount 0 -Path <bin file>))

部署原則

若要使用 CSP 部署新的基底原則，請使用 Base64 編碼原則節點作為 {Data}，在 ./Vendor/MSFT/ApplicationControl/Policies/Policy GUID/Policy 上執行 ADD。 請參閱下列範例 1 中的一節。

若要部署基底原則和補充原則：

1. 使用 Base64 編碼原則節點做為 {Data} 搭配基底原則的 GUID 和原則數據，在 ./Vendor/MSFT/ApplicationControl/Policies/Policy GUID/Policy 上執行 ADD。
2. 使用自己的 GUID 和數據) ，針對每個基底或補充原則 (重複。

下列範例示範兩個基底原則和補充原則 (的部署，這兩個原則已指定它所補充的基底原則，而且不需要反映在 ADD) 中。

範例 1：新增第一個基底原則

<Add>
    <CmdID>1</CmdID>
    <Item>
        <Target>
            <LocURI>./Vendor/MSFT/ApplicationControl/Policies/{Base1GUID}/Policy</LocURI>
        </Target>
        <Meta>
             <Format xmlns="syncml:metinf">b64</Format>
        </Meta>
        <Data> {Base1Data} </Data>
    </Item>
</Add>

範例 2：新增第二個基底原則

<Add>
    <CmdID>1</CmdID>
    <Item>
        <Target>
            <LocURI>./Vendor/MSFT/ApplicationControl/Policies/{Base2GUID}/Policy</LocURI>
        </Target>
        <Meta>
            <Format xmlns="syncml:metinf">b64</Format>
        </Meta>
        <Data> {Base2Data} </Data>
    </Item>
</Add>

範例 3：新增補充原則

<Add>
    <CmdID>1</CmdID>
    <Item>
        <Target>
            <LocURI>./Vendor/MSFT/ApplicationControl/Policies/{Supplemental1GUID}/Policy</LocURI>
        </Target>
        <Meta>
            <Format xmlns="syncml:metinf">b64</Format>
        </Meta>
        <Data> {Supplemental1Data} </Data>
    </Item>
</Add>

取得原則

使用已部署原則的 GUID 執行 GET，以詢問/檢查原則本身或其相關信息。

下表顯示不同節點上取得作業的結果：

節點	取得結果
./Vendor/MSFT/ApplicationControl/Policies/Policy GUID/Policy	raw p7b
./Vendor/MSFT/ApplicationControl/Policies/Policy GUID/PolicyInfo/Version	原則版本
./Vendor/MSFT/ApplicationControl/Policies/Policy GUID/PolicyInfo/IsEffective	原則是否有效
./Vendor/MSFT/ApplicationControl/Policies/Policy GUID/PolicyInfo/IsDeployed	這是系統上的原則
./Vendor/MSFT/ApplicationControl/Policies/Policy GUID/PolicyInfo/IsAuthorized	系統上是否已授權原則
./Vendor/MSFT/ApplicationControl/Policies/Policy GUID/PolicyInfo/Status	部署是否成功
./Vendor/MSFT/ApplicationControl/Policies/Policy GUID/PolicyInfo/FriendlyName	每個原則的易記名稱

Get 命令的範例為：

 <Get>
    <CmdID>1</CmdID>
        <Item>
            <Target>
                <LocURI>./Vendor/MSFT/ApplicationControl/Policies/{PolicyGUID}/Policy</LocURI>
            </Target>
        </Item>
 </Get>

刪除原則

重新啟動無刪除

刪除時，透過 ApplicationControl CSP 部署的原則會從系統中移除，但在下次重新啟動之前會保持作用。 若要在功能上執行無啟動刪除，請先將現有的原則取代為在 C:\Windows\schemas\CodeIntegrity\ExamplePolicies\AllowAll.xml) 找到的 [允許所有原則 (，然後刪除更新的原則。 此順序會立即防止任何專案遭到封鎖，並在下次重新啟動時完全停用原則。

不帶正負號的原則

若要刪除未簽署的原則，請在 ./Vendor/MSFT/ApplicationControl/Policies/Policy GUID/Policy 上執行 DELETE。

已簽署的原則

注意

根據預設，已簽署的原則只能由另一個已簽署的原則取代。 因此，在 ./Vendor/MSFT/ApplicationControl/Policies/Policy GUID/Policy 上執行 DELETE 並不足以刪除已簽署的原則。

若要刪除已簽署的原則：

1. 將它取代為允許不帶正負號原則的已簽署更新。
2. 使用不帶正負號的 [允許所有原則] 部署另一個更新。
3. 執行刪除。

Delete 命令的範例如下：

   <Delete>
     <CmdID>1</CmdID>
        <Item>
            <Target>
                  <LocURI>./Vendor/MSFT/ApplicationControl/Policies/{PolicyGUID}/Policy</LocURI>
            </Target>
        </Item>
   </Delete>

PowerShell 和 WMI 網橋使用方式指引

您也可以使用 WMI 網橋提供者，從 PowerShell 或透過 Configuration Manager 的工作順序腳本，在本機管理 ApplicationControl CSP。

設定使用 WMI 網橋

1. 將您的應用程控原則轉換為Base64。

2. 透過 PSExec 或類似) (在本機系統內容中開啟 PowerShell。

3. 使用 WMI 介面：

   $namespace = "root\cimv2\mdm\dmmap"
   $policyClassName = "MDM_ApplicationControl_Policies01_01"
   $policyBase64 = "<base64policy>"
   

透過 WMI 網橋部署原則

執行下列命令。 PolicyID 是可在原則 xml 中找到的 GUID，應該在這裡使用，而不需要大括號。

New-CimInstance -Namespace $namespace -ClassName $policyClassName -Property @{ParentID="./Vendor/MSFT/ApplicationControl/Policies";InstanceID="<PolicyID>";Policy=$policyBase64}

透過 WMI 網橋查詢所有原則

Get-CimInstance -Namespace $namespace -ClassName $policyClassName

相關文章

設定服務提供者參考