[Infra / SecOps] Gpo 跑 MDE Onboarding 炒咗，AppLocker 搞鬼？

Question

[Infra / SecOps] Gpo 跑 MDE Onboarding 炒咗，AppLocker 搞鬼？

Chen Weiming 140

喂巴打們，今日用 GPO startup script 推 MDE onboarding script (WindowsDefenderATPOnboardingScript.cmd) 去 300 部機，結果全部 silent fail 咗。

Trace 完陣容先發現原來係 AppLocker script rules 太嚴直接 block 咗。有無師兄知平時點樣喺 AppLocker 加 rule exceptions 嚟 allow 呢類 security agent onboarding script？求指教！

0 則留言

1 個回答

您的回答

Answer 1

你好，

你遇到的情况其实很常见：如果AppLocker的脚本规则设置得太严格，它们会直接阻止所有 .cmd脚本，.ps1比如.vbs，甚至是Microsoft官方的安全代理脚本，也会被视为未经授权执行。这就是为什么你的MDE引导脚本在GPO启动阶段完全无声失败

正确的做法是为这些安全代理创建异常允许规则，用于引导**脚本。在组策略管理控制台中，前往 **。你需要添加允许规则，指定发布者为 Microsoft Corporation，并允许签署脚本运行。这确保Computer Configuration → Windows Settings → Security Settings → Application Control Policies → AppLocker → Script Rules了像 Microsoft 签署的文件不会被拦截WindowsDefenderATPOnboardingScript.cmd

如果你想要更精确的控制，可以创建一个指向的路径规则%SystemRoot%\Sysvol\domain\Policies\{GUID}\Machine\Scripts\Startup，允许该目录中的脚本运行。这只允许通过 GPO 发布的启动脚本，并未放宽整个系统的脚本执行限制

同时，确保 Application Identity 服务（AppIDSvc）正在运行;否则，AppLocker 规则将无法正确应用。完成后，建议先测试 OU 应用程序，确保引导脚本正常运行，再推送到全局版本

通过这种设置，你的300台机器可以顺利运行MDE入职，而不会被AppLocker误阻。

多米克配音。