請問Windows 2019 Server上的APPlocker問題!!

您好，

感謝您在 Microsoft Windows 論壇發文提問！

事實上，網域管理員帳戶是「網域使用者」群組的成員（這是 Active Directory 中所有使用者帳戶（包括管理員帳戶）的預設設定）。如果您建立 AppLocker 規則並將其目標範圍過廣（例如，為「網域使用者」或「Everyone」設定可執行規則並新增例外），或者如果該規則套用於內建群組而沒有正確的排除層級結構，則管理員帳戶很容易被封鎖。

通常不建議將網域管理員（或任何使用者帳戶）從「網域使用者」主群組移除。因為「網域使用者」是設計為所有網域帳戶的主要群組成員。從中移除帳戶可能會破壞檔案權限、設定檔建立、群組原則應用、Kerberos 驗證行為以及各種核心網域功能。

建議使用規則例外或將規則專門針對非管理員群組。建立用於封鎖 cmd.exe 的可執行規則時，AppLocker 允許您新增例外。開啟群組原則管理 (gpmc.msc) 並導覽至您的 AppLocker 策略：電腦設定 -> 策略 -> Windows 設定 -> 安全性設定 -> 應用程式控制策略 -> AppLocker -> 執行檔規則。然後建立一個新規則，禁止執行 cmd.exe（透過路徑、檔案雜湊或發布者）。將使用者或群組範圍設定為“Everyone”或“網域使用者”。然後在精靈的“例外”頁面上，按一下“新增”，並將“網域管理員”群組（或特定的管理員帳戶/安全群組）明確新增為例外。保存規則。 AppLocker 將阻止除例外清單中明確列出的使用者之外的所有人執行 cmd.exe。 或者，您可以不將規則套用到「Everyone」並嘗試新增例外，而是將規則專門針對您想要限制的群組。建立可執行檔案規則時，將使用者或群組範圍設定為「網域使用者」或特定的受限安全群組（例如，「標準使用者」）。請勿將「網域管理員」、「企業管理員」或內建管理群組包含在該範圍內。由於 AppLocker 規則僅適用於規則屬性中指定的群組，網域管理員將完全繞過該規則，並保留執行 cmd.exe 的權限。

此外，值得一提的是，AppLocker 會優先評估「拒絕」規則，然後再評估「允許」規則。如果您建立了「網域使用者」群組的 cmd.exe「拒絕」規則，則該規則將適用於該群組中的所有用戶，包括網域管理員。即使您為網域管理員單獨新增了一條「允許」規則，也無法覆寫「拒絕」規則，因為「拒絕」規則會優先處理。這就是為什麼您會看到該策略也阻止了管理員的原因。

請注意：建議先在測試環境中執行上述步驟。此外，在強制執行 AppLocker 原則之前，請先將強制執行等級設定為「僅審核」幾天，並檢查 Microsoft-Windows-AppLocker/EXE 和 DLL 事件日誌，以確保您的網域管理員例外設定正常運作，並且您不會無意中將自己鎖定在管理權限之外。

希望以上資訊對您有幫助！如果對您有幫助，請點選「接受答案」。