AppLocker是Windows企业/教育版内置的应用程序控制功能，需启用Application Identity服务，通过组策略配置默认允许规则与自定义拒绝规则，或使用向导生成白名单规则，实现精准程序运行管控。

如果您希望在Windows系统中精确控制哪些程序可以运行，防止未授权软件执行或减少非工作相关应用的干扰，则AppLocker是一项内置的应用程序控制功能。以下是实现该目标的多种方法：

一、启用Application Identity服务并确认系统版本

AppLocker依赖Application Identity服务运行，且仅在特定Windows版本中可用。若该服务未启动或系统不支持，所有规则均无法生效。

1、按下Win + R组合键，输入services.msc，回车打开服务管理器。

2、在服务列表中找到Application Identity服务。

3、双击该服务，在“启动类型”中选择自动，若状态为“已停止”，则点击“启动”按钮。

4、确认您的Windows版本为Windows 7旗舰版或企业版、Windows 8/8.1专业版或企业版、Windows 10/11企业版或教育版，其他版本不支持AppLocker。

二、通过组策略编辑器启用并配置AppLocker规则强制

此方法直接调用本地组策略编辑器，适用于未加入域的独立计算机，是配置AppLocker的基础路径。

1、以管理员身份登录，按下Win + R，输入gpedit.msc，回车打开组策略编辑器。

2、依次展开：计算机配置 → Windows设置 → 安全设置 → 应用程序控制策略 → AppLocker。

3、在左侧窗格右键单击AppLocker，选择配置规则强制。

4、在弹出窗口中，勾选可执行规则、脚本规则和Windows安装程序规则下的已配置复选框，确保其处于启用状态。

5、点击确定保存设置。

三、创建默认规则保障系统基本功能

默认规则可快速允许Windows核心目录下的程序运行，避免因策略过严导致系统无法启动或关键组件失效，是安全启用AppLocker的前提步骤。

1、在组策略编辑器中，展开AppLocker，右键单击可执行规则。

2、选择创建默认规则，系统将自动生成三条规则：允许所有用户运行%OSDRIVE%\Windows\**、%OSDRIVE%\Program Files\**及Administrator用户运行全部程序。

3、对脚本规则和Windows安装程序规则重复相同操作，分别创建对应默认规则。

4、注意：必须先部署默认规则，再添加拒绝规则，否则可能导致系统崩溃或登录失败。

四、创建自定义拒绝规则阻止指定程序

该方法通过文件属性（如发布者、路径或哈希值）精准识别目标程序，并施加运行阻止，适用于封禁游戏、工具类软件等场景。

1、在可执行规则节点上右键，选择创建新规则。

2、在向导第一页，选择拒绝，点击下一步。

3、选择适用的用户或用户组（如Everyone），点击下一步。

4、在条件页选择匹配方式：可选发布者（需数字签名）、路径（如C:\Games\Minesweeper.exe）或文件哈希（最精确，适用于无签名程序）。

5、若选路径，直接输入完整路径或使用通配符（如C:\Games\*.exe）；若选文件哈希，点击浏览定位到目标程序文件，系统自动计算哈希值。

6、输入规则名称（如“禁止所有扫雷游戏”）和描述，点击创建完成。

五、使用AppLocker规则生成向导批量允许已安装应用

该方法适用于“仅允许运行指定程序”的白名单策略，向导会自动扫描当前系统中已安装的有效应用并为其生成允许规则，其余程序默认被阻止。

1、以管理员身份运行secpol.msc，导航至安全设置 → 应用程序控制策略 → AppLocker。

2、右键可执行规则，选择自动规则生成向导。

3、在向导中选择目标用户或用户组，点击下一步。

4、勾选要纳入白名单的程序（如Microsoft Edge、Notepad、已安装的办公软件），取消勾选不希望允许的程序（如Steam、微信PC版）。

5、向导生成规则后，点击完成。

6、重要：启用白名单模式前，必须确保已安装所有必需应用，且Application Identity服务已设为自动并运行中。