现在可以使用 Intune 等管理工具将 WSL 作为 Windows 组件进行管理。
若要访问这些设置，请导航到 Microsoft Intune 管理中心门户，然后选择： 设备 -> 配置文件 -> 创建 -> 新建策略 -> Windows 10 及更高版本 -> 设置目录，为新配置文件创建名称，并搜索“适用于 Linux 的 Windows 子系统”以查看和添加可用设置的完整列表。
推荐设置
若要最大程度地提高企业环境中的安全性，建议指定以下设置：
| 设置名称 | 价值 | DESCRIPTION |
|---|---|---|
| 允许适用于 Linux 的 Windows 子系统的收件箱版本 | 已禁用 | 设置为“已禁用”时，此策略将禁用适用于 Linux 的 Windows 子系统的内置版本（可选组件）。 如果禁用此策略，则只能使用 WSL 的商店版本。 在此处详细了解 Store WSL 与内置 WSL 之间的差异 |
| 允许 WSL1 | 已禁用 | 设置为禁用时，此策略将禁用 WSL1。 禁用后，只能使用 WSL2 分发版。 |
| 允许调试 shell | 已禁用 | 设置为禁用时，此策略将禁用调试 shell（wsl.exe --debug-shell）。 此策略仅适用于 Store WSL。 |
| 允许自定义内核配置 | 已禁用 | 设置为禁用时，此策略通过 .wslconfig （wsl2.kernel） 禁用自定义内核配置。 此政策仅适用于 Store WSL。 |
| 允许内核命令行配置 | 已禁用 | 当此策略设置为禁用时，将禁用通过 .wslconfig（wsl2.kernelCommandLine）进行的内核命令行配置。 此策略仅适用于 Store WSL。 |
| 允许自定义系统分发配置 | 已禁用 | 设置为禁用时，此策略通过 .wslconfig （wsl2.systemDistro） 禁用自定义系统分发配置。 此策略仅适用于 Store WSL。 |
| 允许自定义网络配置 | 已禁用 | 设置为禁用时，此策略通过 .wslconfig （wsl2.networkingmode） 禁用自定义网络配置。 此策略仅适用于 Store WSL。 |
| 允许用户设置防火墙配置 | 已禁用 | 设置为禁用时，此策略会禁止通过 .wslconfig（wsl2.firewall）配置防火墙。 此策略仅适用于 Store WSL。 |
| 允许嵌套虚拟化 | 已禁用 | 设置为禁用时，此策略通过 .wslconfig（wsl2.nestedVirtualization）禁用嵌套虚拟化配置。 此策略仅适用于 Store WSL。 |
| 允许内核调试 | 已禁用 | 设置为禁用时，此策略通过 .wslconfig（wsl2.kernelDebugPort）禁用内核调试配置。 此策略仅适用于 Store WSL。 |
控制对 WSL 的访问
AllowWSL、AllowInboxWSL和AllowWSL1设置控制用户对 WSL 的访问。 可以将这些设置配置为启用或禁用访问 WSL 的 Windows 内版本、WSL 1 发行版或 WSL 本身。
这样，就可以配置 WSL，以确保用户仅使用支持 Enterprise 功能的最新版本 WSL。
控制 WSL 命令
AllowDebugShell 和 AllowDiskMount 控制用户是否可以运行 wsl --debug-shell 和 wsl --mount 命令。 详细了解如何使用 wsl --mount 命令在 WSL 2 中装载磁盘。
在 .wslconfig 中控制对 WSL 设置的访问
以 *UserSettingConfigurable 结尾的最后一组设置控制对 .wslconfig 中 WSL 高级设置的访问权限。 当这些设置为禁用时，用户只能使用该设置的默认值，并且无法将其配置为自定义值。 详细了解 .wslconfig 的配置设置，包括可为使用 WSL 2 运行的所有 Linux 分发版全局配置的设置列表。
可用设置的完整列表
| 设置名称 | DESCRIPTION |
|---|---|
| 启用适用于 Linux 的 Windows 子系统 | 设置为“已禁用”时，此策略将禁止计算机上所有用户访问适用于 Linux 的 Windows 子系统。 |
| 允许适用于 Linux 的 Windows 子系统的收件箱版本 | 设置为“已禁用”时，此策略将禁用适用于 Linux 的 Windows 子系统的系统自带版本（可选组件）。 如果禁用此策略，则只能使用 WSL 的商店版本。 |
| 允许 WSL1 | 设置为禁用时，此策略将禁用 WSL1。 禁用后，只能使用 WSL2 分发版。 |
| 允许使用调试 Shell | 设置为禁用时，此策略将禁用调试 shell（wsl.exe --debug-shell）。 此策略仅适用于 Store WSL。 |
| 允许直通磁盘装载 | 设置为禁用时，此策略将禁用 WSL2（wsl.exe --mount）中的直通磁盘装载。 此策略仅适用于 Store WSL。 |
| 允许自定义内核配置 | 设置为禁用时，此策略通过 .wslconfig （wsl2.kernel） 禁用自定义内核配置。 此策略仅适用于 Store WSL。 |
| 允许内核命令行配置 | 设置为禁用时，此策略通过 .wslconfig（wsl2.kernelCommandLine）禁用内核命令行配置。 此策略仅适用于 Store WSL。 |
| 允许自定义系统分发配置 | 设置为禁用时，此策略通过 .wslconfig （wsl2.systemDistro） 禁用自定义系统分发配置。 此政策仅适用于 Store WSL。 |
| 允许自定义网络配置 | 设置为禁用时，此策略禁用通过 .wslconfig（wsl2.networkingmode）进行的自定义网络配置。 此策略仅适用于 Store WSL。 |
| 允许用户设置防火墙配置 | 设置为禁用时，此策略将禁用通过 .wslconfig（wsl2.firewall）进行防火墙配置。 此策略仅适用于 Store WSL。 |
| 允许嵌套虚拟化 | 设置为禁用时，此策略禁止通过 .wslconfig（wsl2.nestedVirtualization）配置嵌套虚拟化。 此策略仅适用于 Store WSL。 |
| 允许内核调试 | 设置为禁用时，此策略通过 .wslconfig（wsl2.kernelDebugPort）禁用内核调试配置。 此策略仅适用于 Store WSL。 |
使用组策略进行设置
WSL 策略由可从 GitHub 下载的 WSL ADMX 文件 定义。
ADMX 文件可以手动导入，并用于在计算机上本地管理组策略， 请参阅 ADMX 文档页 ，了解有关该过程的详细信息。
