我們發現Windows 7增加了不少新功能，比如：XP模式和Bitlock To Go，誠然，這些功能可以使得用戶的升級更加方便、數據安全性更高，但是，管理員卻還在尋找多用戶環境下靈活限制程序運行的工具。以往的組策略經過復雜操作也能實現這一目的，而Windows 7則可以讓管理員從繁重的勞動中解脫出來了，它的AppLocker（應用程序控制策略）可以很方便地配置多用戶的程序、文件、腳本運行的策略。AppLocker基于組策略管理和配置，這更加適用于網絡環境的部署。

　　一、啟用AppLocker有講究在進行AppLocker策略配置前，我們需要做必需的準備工作。我們在開始菜單的搜索框輸入“Services.msc命令啟動服務窗口，接著我們在該窗口查找到Application Identity服務，該服務確定并驗證應用程序的標識，禁用此服務將阻止強制執行 AppLocker，默認情況下該服務時手動并停止的，因此，只有啟動了該服務才能正常使用AppLocker策略，我們可以將其“啟動類型設置為“自動，再點擊“啟動按鈕即可啟動成功了（如圖1）。

做好以上的準備工作，我們就可以在開始菜單搜索框輸入“Gpedit.msc命令啟動組策略編輯器來設置AppLocker策略了。我們可以在組策略編輯器依次進入“計算機配置-Windows設置-安全設置-應用程序控制策略-AppLocker菜單來設置（如圖2）。

二、限制用戶使用某個程序這里，我們就通過AppLocker來建立限制用戶使用某個程序的策略吧。比如：我們希望王蓉這個用戶不能使用Maxthon瀏覽器。我們可以這樣來做。首先，在左側選擇“可執行規則，在右側空白窗口處右鍵單擊選擇“創建新規則命令，接著會彈出“創建可執行規則的窗口（如圖3），只需點擊“下一步按鈕即可。

接著在窗口中選擇操作為“拒絕，點擊“用戶或組下的“選擇按鈕，在彈出的“選擇用戶或組窗口點擊“高級按鈕，在彈出窗口點擊“立即查找按鈕，在下面找到王蓉用戶確定即可（如圖4）。

回到原來的窗口，點擊“下一步按鈕（如圖5）。

在創建主要條件步驟，我們選擇“發布者條件（Maxthon已經由軟件發布者簽名，否則可以考慮選擇“文件哈希條件，如圖6），點擊“下一步按鈕。

在出現的窗口，這時我們可以限制用戶使用Maxthon2.5.0.0版本，而不能限制用戶使用其他的版本，我們只需將“文件版本旁的滑竿上移一格到“文件名即可限制使用Maxthon的任意版本了（如圖7）。

如果Maxthon更改了程序名，這個限制依然會失效，不過，我們再將滑竿上移到“產品名就可以繼續限制了（如圖8）。

同理，當產品名變化時，我們再將滑竿上移到“發布者就可以繼續保持限制了，一般情況滑竿上移到“文件名即可，點擊“下一步按鈕；接著，我們點擊“創建按鈕即可完成策略建立了，規則建立過程中會建議同時創建默認規則（當默認規則未建立時，如圖9），確定即可。

那么，創建了該規則后，王蓉用戶登錄系統運行Maxthon是否會生效呢？我們來測試一下吧。運行Maxthon時，彈出了禁止運行的窗口（如圖10），這說明AppLocker已經通過組策略生效了。

三、限制用戶安裝程序為了防止用戶隨意安裝程序，AppLocker也有相應的策略設置。我們打算讓所有用戶都不能安裝cooliris這個瀏覽器插件。不過，該策略只能禁止用戶安裝.msi和.msp的程序。我們可以選擇“Windows安裝程序規則，然后右鍵單擊右側的窗口選擇“創建新規則，同樣會打開一個“創建Windows安裝程序規則窗口，點擊“下一步按鈕；我們設置操作為“拒絕，“用戶或組為“Everyone，點擊“下一步按鈕（如圖11）。

這里我們還是選擇限制條件為“發布者，點擊“下一步按鈕（如圖12）。

這時，我們可以點擊瀏覽按鈕找到cooliris插件的文件，點擊“創建按鈕即可完成了（如圖13）。

以后，我們運行該安裝程序時都會彈出禁止安裝的提示（如圖14）。

　　四、不同用戶使用同程序的不同版本我們發現QQ已經成為辦公不可缺少的工具，但是娛樂性還是太強了，我們可以通過AppLocker讓普通用戶只能使用TM辦公。我們讓管理員用戶直接使用QQ2009，而普通用戶則使用TM2009。我們就來創建這個規則吧。首先，在左側選擇“可執行規則，右鍵單擊右側選擇“創建新規則命令，在“創建可執行規則窗口點擊“下一步按鈕；接著在“創建可執行規則窗口選擇“操作為“拒絕，選擇“用戶或組為“users（普通用戶組），點擊“下一步按鈕（如圖15）。

然后選擇條件類型為“發布者，點擊“下一步按鈕；這時點擊“瀏覽按鈕選擇QQ2009的可執行程序（一般為安裝目錄/QQ/Bin/QQ.exe），勾選“使用自定義值選項并將文件版本選項設置為“及以下版本以達到限制使用任意版本QQ的目的（如圖16），點擊“下一步按鈕。

這時我們可以添加普通用戶可以使用的例外程序TM2009，點擊“添加按鈕設置為TM2009的可執行程序即可（如圖17）。

確定之后回到原來窗口（如圖18），點擊“創建按鈕即可完成了。

建立這個規則后，普通用戶只能運行TM2009而無法運行QQ2009，這樣就達到了目的。

大家在使用AppLocker的時候還需要注意：默認的規則會限制任何用戶使用非“Program Files和“Windows文件夾的程序，我們需要將第二條默認規則的路徑設置為*（如圖19）,因為，任何用戶默認都是以普通用戶身份運行的。

相信大家在熟練使用AppLocker的過程中會摸索出更多更好的經驗的。