MSIX kapsayıcılığa genel bakış

MSIX, uygulamaları sistemin geri kalanından yalıtmak için bir kapsayıcılama modeli kullanır. Genel amaçlı kapsayıcı teknolojilerinden (Docker gibi) farklı olarak, MSIX kapsayıcıları sanal makine değildir ve ayrı bir işletim sistemi görüntüsü gerektirmez. Bunun yerine, Windows bir uygulamanın dosya sistemini ve kayıt defteri etkinliğini çalışma zamanında yeniden yönlendirir ve uygulamaları kendi içinde tutarken Windows geri kalanıyla normal bir şekilde birlikte çalışmasına olanak tanır.

Bu makalede yalıtım modeli, paketlenmiş uygulamaların kullanabileceği iki güven düzeyi ve bu yaklaşımın sağladığı avantajlar açıklanmaktadır.

MSIX kapsayıcılaştırma nedir (ve değildir)

BIR MSIX paketi yüklediğinizde, Windows uygulamanın dosyalarını uygulamanın kendisinin değiştiremeyeceği korumalı bir konuma (C:\Program Files\WindowsApps\) yerleştirir. çalışma anında Windows, uygulamaya dosya sistemi ve kayıt defterinin sanallaştırılmış görünümünü sağlar: okuma işlemleri paketin yükleme konumuna gider ve yazma işlemleri Windows'un yönettiği kullanıcıya özel konumlara yönlendirilir.

Bu, şu anlama gelir:

  • Uygulamanın yükleme dosyaları çalışma zamanında hiçbir zaman değiştirilmez.
  • Uygulama durumu, uygulama ikili dosyalarından ayrı olarak depolanır; güncelleştirmeler, onarımlar ve kaldırma işlemleri temiz ve güvenilir hale getirilir.

Uyarı

MSIX kapsayıcıları, Windows çalışma zamanı özelliğinin bir parçasıdır, ayrı bir işletim sistemi ortamı değildir. Uygulama yerel Windows işlemi olarak çalışır; yalnızca belirli sistem kaynaklarının sanallaştırılmış bir görünümü vardır.

İki güven düzeyi

Paketlenmiş uygulamalar, yalıtım derecesini belirleyen iki güven düzeyinden birinde çalışır:

Tam güven (orta düzeyde bütünlük)

Tam güven uygulamaları standart bir masaüstü uygulamasıyla aynı izinlerle çalışır. Windows package identity ve bazı dosya/kayıt defteri sanallaştırmaları sağlar, ancak uygulama sistem kaynaklarının çoğuna doğrudan erişmeye devam edebilir.

Bu, MSIX Paketleme Aracı kullanılarak Win32 yükleyicilerinden dönüştürülen uygulamalar ve çoğu WinUI 3 masaüstü uygulaması için varsayılandır.

AppContainer (kısmi güven)

AppContainer uygulamaları tamamen yalıtılmış bir ortamda çalışır. İşlem ve alt süreçleri yalnızca açıkça izin verilen kaynaklara erişebilir. Windows, dosya sistemi ve kayıt defteri sanallaştırması ve AppContainer güvenlik sınırlarını kullanarak yalıtımı zorlar.

UWP uygulamaları her zaman bir AppContainer'da çalışır. Masaüstü uygulamaları, uygulama bildiriminde bildirerek AppContainer'ı da seçebilir.

Tavsiye

AppContainer uygulamaları en güçlü güvenlik garantilerini alır, ancak özellikle geniş sistem erişimi kullanan uygulamalar için doğru yapılandırmak için daha fazla çalışma gerektirir. Yapılandırma adımları için bkz. MSIX AppContainer uygulamaları .

MSIX kapsayıcılama modelinin avantajları

Fayda Açıklama
Temiz kaldırma Windows tüm uygulama durumunu ayrı olarak izlediği için, bir MSIX paketinin kaldırılması tüm uygulama dosyalarını, kayıt defteri girdilerini ve sistem değişikliklerini kaldırır. Artık dosya veya kalıntı bırakmaz. Kullanıcı tarafından oluşturulan dosyalar korunur.
Güvenilir güncelleştirmeler Uygulama binarileri çalışma zamanında salt okunurdur. Güncellemeler paketi atomik olarak değiştirir ve ihtiyaç duyulursa uygulama geri alınabilir.
Kayıt defteri kirliliği yok Uygulamadan yapılan kayıt defteri yazma işlemleri HKEY_LOCAL_MACHINE yerine kullanıcı başına sanal bir kovana gider. Bu, kayıt defterinin, geleneksel Win32 yükleyicilerinde yaygın olan gereksiz genişlemesini önler.
Güvenlik yalıtımı AppContainer uygulamaları açıkça verilen kaynaklarla kısıtlanır ve bu da güvenliği aşılmış bir işlemin etkisini azaltır.
Bütünlük sağlama Windows, çalışma zamanında paket dosyalarıyla oynandığını algılayabilir. Bir paket üzerinde oynanmışsa, Windows başlatmayı engeller ve onarımı tetikler. Bkz. MSIX paketi imzalamaya genel bakış.

Sanallaştırma kapsamı

Tüm dosya sistemi ve kayıt defteri konumları sanallaştırılmaz. Windows, erişilen konuma bağlı olarak farklı davranışlar uygular:

  • Paket yükleme dosyalarına yazma işlemleri engellenir; yükleme konumu salt okunurdur.
  • sistem konumlarına (C:\Windows\ gibi) yazma işlemleri AppContainer uygulamaları için engellenir.
  • Kullanıcı profili konumlarına (örneğin AppData) yazmalar, AppContainer uygulamaları için paket bazında konumlara yönlendirilir veya tam güven uygulamaları için doğrudan geçiş yapılır.
  • Paketlenmiş VFS konumlarından okumalar, paketin kendisinden sağlanır ve uygulamanın geleneksel konumlara (C:\Program Files\ gibi) yüklenmiş gibi davranmasını sağlar.

Dosya sistemi ve kayıt defteri sanallaştırmanın nasıl çalıştığıyla ilgili tüm teknik ayrıntılar için bkz. Paketlenmiş masaüstü uygulamalarının Windows üzerinde nasıl çalıştığını anlama.

Paylaşılan kapsayıcılar

Varsayılan olarak, her MSIX paketi kendi yalıtılmış kapsayıcısında çalışır. Birden çok paketin çalışma zamanı ortamını (örneğin, bir ana uygulama ve özelleştirme paketi) paylaşması gereken kurumsal senaryolar için Windows shared paket kapsayıcılarını destekler. Paylaşılan kapsayıcı, tanımlı bir paket kümesine birbirlerinin sanal dosya sistemi ve kayıt defterinin birleştirilmiş bir görünümünü verir.

Bu, yönetim ayrıcalıkları gerektiren yalnızca kurumsal bir özelliktir. Bkz. Paylaşılan paket kapsayıcısı.

Esnek sanallaştırma

Windows 11 ile birlikte, uygulamalar belirli dosya sistemi klasörleri veya kayıt defteri anahtarlarını seçerek sanallaştırmadan hariç tutabilir ve bu konumları diğer uygulamalar için görünür hale getirir ve kaldırma işleminden sonra da kalıcı hale getirir. Bu, MSIX paketlemeden yararlanmaya devam ederken yapılandırmayı veya verileri diğer uygulamalarla paylaşması gereken uygulamalar için kullanışlıdır.

Bkz . Esnek sanallaştırma.

  • Last updated on