了解 AppLocker 规则行为
本主题介绍了如何通过使用 AppLocker 中的允许和拒绝选项强制执行 AppLocker 规则。
如果不存在特定规则集合的任何 AppLocker 规则，则允许所有具有该文件格式的文件运行。但是，当创建特定规则集合的 AppLocker 规则时，仅允许运行规则中明确允许的文件。例如，如果你创建了可执行规则，允许 %SystemDrive%\FilePath 中的 .exe 文件运行，则仅允许位于该路径的可执行文件运行。
可配置规则以使用允许或拒绝操作：
允许。你可以指定允许在你的环境中运行的文件以及所针对的用户或用户组。你还可以配置例外以标识从规则中排除的文件。
拒绝。你可以指定not允许在你的环境中运行的文件以及所针对的用户或用户组。你还可以配置例外以标识从规则中排除的文件。
要点
你可以将允许操作和拒绝操作组合使用。但是，我们建议将允许操作和例外结合使用，因为拒绝操作在所有情况下都会替代允许操作。拒绝操作还可以被避开。例如，即使你为文件或文件夹路径配置了拒绝操作，用户仍可以从任何其他路径运行该文件。