Catatan
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba masuk atau mengubah direktori.
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba mengubah direktori.
MSIX menggunakan model kontainerisasi untuk mengisolasi aplikasi dari sistem lainnya. Tidak seperti teknologi kontainer tujuan umum (seperti Docker), kontainer MSIX bukan komputer virtual dan tidak memerlukan gambar OS terpisah. Sebagai gantinya, Windows mengalihkan sistem file dan aktivitas registri aplikasi pada waktu proses, menjaga aplikasi tetap mandiri sambil memungkinkan mereka untuk berinteraksi dengan bagian lain dari Windows secara normal.
Artikel ini menjelaskan model isolasi, dua tingkat kepercayaan yang tersedia untuk aplikasi yang dikemas, dan manfaat yang diberikan pendekatan ini.
Apa yang dimaksud dengan kontainerisasi MSIX (dan apa yang bukan)
Saat Anda menginstal paket MSIX, Windows menempatkan file aplikasi di lokasi yang dilindungi (C:\Program Files\WindowsApps\) yang tidak dapat dimodifikasi aplikasi itu sendiri. Saat runtime, Windows menyediakan aplikasi dengan tampilan yang ter-virtualisasi dari sistem file dan registri: pembacaan masuk ke lokasi pemasangan paket, dan penulisan dialihkan ke lokasi per pengguna yang dikelola oleh Windows.
Ini berarti:
- File penginstalan aplikasi tidak pernah dimodifikasi saat runtime.
- Keadaan aplikasi disimpan secara terpisah dari biner aplikasi — membuat pembaruan, perbaikan, dan penghapusan instalasi menjadi lebih bersih dan dapat diandalkan.
Nota
Kontainer MSIX adalah fitur runtime Windows, bukan lingkungan sistem operasi terpisah. Aplikasi ini berjalan sebagai proses Windows asli — aplikasi ini hanya memiliki tampilan virtual sumber daya sistem tertentu.
Dua tingkat kepercayaan
Aplikasi paket berjalan di salah satu dari dua tingkat kepercayaan, yang menentukan tingkat isolasi:
Kepercayaan penuh (integritas sedang)
Aplikasi kepercayaan penuh berjalan dengan izin yang sama dengan aplikasi desktop standar. Windows menyediakan identitas package dan beberapa virtualisasi file/registri, tetapi aplikasi masih dapat mengakses sebagian besar sumber daya sistem secara langsung.
Ini adalah default untuk aplikasi yang dikonversi dari penginstal Win32 menggunakan MSIX Packaging Tool, dan untuk sebagian besar aplikasi desktop WinUI 3.
AppContainer (kepercayaan parsial)
Aplikasi AppContainer berjalan di lingkungan yang terisolasi secara ketat. Proses dan anak-anaknya hanya dapat mengakses sumber daya yang diberikan secara eksplisit. Windows memberlakukan isolasi menggunakan sistem file dan virtualisasi registri, dan batas keamanan AppContainer.
Aplikasi UWP selalu berjalan di AppContainer. Aplikasi desktop juga dapat memilih AppContainer dengan mendeklarasikannya dalam manifes aplikasi.
Petunjuk / Saran
Aplikasi AppContainer mendapatkan jaminan keamanan terkuat, tetapi memerlukan lebih banyak pekerjaan untuk dikonfigurasi dengan benar, terutama untuk aplikasi yang mengandalkan akses sistem yang luas. Lihat Aplikasi MSIX AppContainer untuk langkah-langkah konfigurasi.
Manfaat model kontainerisasi MSIX
| Keuntungan | Deskripsi |
|---|---|
| Hapus instalasi | Karena Windows melacak semua status aplikasi secara terpisah, menghapus instalan paket MSIX akan menghapus semua file aplikasi, entri registri, dan perubahan sistem — tanpa artefak sisa. File yang dibuat pengguna dipertahankan. |
| Pembaruan yang andal | Biner aplikasi bersifat baca-saja saat runtime. Pembaruan menggantikan paket secara atomik, dan aplikasi dapat digulung balik jika diperlukan. |
| Tidak ada polusi registri | Penulisan registri dari aplikasi masuk ke sarang virtual per pengguna, bukan ke HKEY_LOCAL_MACHINE. Ini mencegah kemacetan register pada penginstal Win32 tradisional. |
| Isolasi keamanan | Aplikasi AppContainer hanya memiliki akses ke sumber daya yang diberikan secara eksplisit, mengurangi dampak dari proses yang terkompromi. |
| Penegakan integritas | Windows dapat mendeteksi perubahan file paket saat runtime. Jika paket dirusak, Windows memblokir peluncuran dan memicu perbaikan. Lihat Menandatangani gambaran umum paket MSIX. |
Cakupan virtualisasi
Tidak semua sistem file dan lokasi registri divirtualisasi. Windows menerapkan perilaku yang berbeda tergantung pada lokasi yang diakses:
- Penulisan ke file penginstalan paket diblokir — lokasi penginstalan bersifat baca-saja.
- Menulis ke lokasi system (seperti
C:\Windows\) diblokir untuk aplikasi AppContainer. - Menulis ke lokasi profil pengguna (seperti
AppData) dialihkan ke lokasi per paket untuk aplikasi AppContainer, atau melewati untuk aplikasi kepercayaan penuh. - Bacaan dari lokasi VFS yang dipaketkan disajikan dari paket itu sendiri, membuat aplikasi bereaksi seolah-olah dipasang ke lokasi tradisional (seperti
C:\Program Files\).
Untuk detail teknis lengkap tentang cara kerja sistem file dan virtualisasi registri, lihat Mengawasan cara aplikasi desktop kemasan berjalan pada Windows.
Kontainer bersama
Secara default, setiap paket MSIX berjalan dalam kontainer terisolasi sendiri. Untuk skenario perusahaan di mana beberapa paket perlu berbagi lingkungan runtime — misalnya, aplikasi utama dan paket kustomisasi — Windows mendukung kontainer paket shared. Kontainer bersama memberikan serangkaian paket yang ditentukan tampilan gabungan dari sistem file virtual dan registri satu sama lain.
Ini adalah fitur khusus perusahaan yang memerlukan hak istimewa administratif. Lihat Kontainer paket bersama.
Virtualisasi fleksibel
Mulai dari Windows 11, aplikasi dapat secara selektif memilih folder sistem file atau kunci registri tertentu dari virtualisasi — membuat lokasi tersebut terlihat oleh aplikasi lain dan mempertahankannya di seluruh penghapusan instalasi. Ini berguna untuk aplikasi yang perlu berbagi konfigurasi atau data dengan aplikasi lain sambil tetap mendapat manfaat dari kemasan MSIX.
Lihat Virtualisasi fleksibel.