在 Windows Server 2003 中使用软件限制策略
概要
本文说明如何在 Windows Server 2003 中使用软件限制策略。使用软件限制策略
可以标识并指定允许运行的软件,以便保护您的计算机环境不会受到不可信代码的攻击。
使用软件限制策略时,可以为组策略对象 (GPO) 定义两种默认安全级别(分别是无限制
和不允许)中的一种,使得在默认情况下或者允许软件运行,或者不允许软件运行。要创
建此默认安全级别的特例,可以创建针对特定软件的规则。可以创建以下几种规则:
• 哈希规则
• 证书规则
• 路径规则
• Internet 区域规则
一个策略由默认安全级别和所有应用于 GPO 的规则组成。此策略可以应用于所有的
计算机或者个别用户。软件限制策略提供了许多标识软件的方法,它们还提供了基于策略
的基础结构,以便强制执行关于软件是否可以运行的决定。有了软件限制策略,用户在运
行程序时必须遵守管理员设置的规则。
通过软件限制策略,可以执行以下任务:
• 控制可以在计算机上运行的程序。例如,如果担心用户通过电子邮件收到病毒,可
以应用一个策略,不允许一些文件类型在电子邮件程序的电子邮件附件文件夹中运行。
• 在多用户计算机上,仅允许用户运行特定的文件。例如,如果您的计算机上有多个
用户,您可以设置软件限制策略,使用户除了可以访问必须在工作中使用的特定文件外,
不能访问其他任何软件。
• 确定谁可以向计算机中添加受信任的发布服务器。
• 控制软件限制策略是影响计算机上的所有用户,还是只影响一些用户。
• 阻止任何文件在本地计算机、组织单元、站点或域中运行。例如,如果存在已知病
毒,就可以使用软件限制策略阻止计算机打开包含该病毒的文件。
重要说明:Microsoft 建议不要用软件限制策略代替防病毒软件。
如何启动软件限制策略
仅对于本地计算机
1. 单击开始,指向程序,指向管理工具,然后单击本地安全策略。
2. 在控制台树中,展开安全设置,然后展开软件限制策略。
对于成员服务器上的域、站点或组织单元或者已经加入域的工作站
1. 打开 Microsoft 管理控制台 (MMC)。要执行此操作,请单击开始,单击运行,键
入 mmc,然后单击确定。
2. 在文件菜单中,单击添加/删除管理单元,然后单击添加。
3. 单击组策略对象编辑器,然后单击添加。
4. 在选择组策略对象中,单击浏览。
5. 在浏览组策略对象中,选择相应的域、站点或组织单元中的一个组策略对象
(GPO),然后单击完成。
或者,可以创建一个新的 GPO,然后单击完成。
第 1 页 共 7 页