首先启用Application Identity服务并设置为自动启动，再通过secpol.msc打开本地安全策略，在AppLocker中创建默认规则和自定义规则，可使用发布者、路径或文件哈希作为条件，推荐使用发布者提高安全性；为批量配置，可利用自动生成功能扫描指定目录生成允许规则；配置完成后，先将规则设为“仅审核”模式测试，通过事件查看器检查AppLocker日志确保无误，最后切换至“强制实施规则”模式以实际阻止未授权程序运行。
如果您希望在Windows 10设备上限制特定应用程序的运行，以增强系统安全或管理用户权限，则可以使用AppLocker功能来实现。以下是详细的配置步骤和方法：
本文运行环境：Dell XPS 13，Windows 10 专业版。
一、启用并配置AppLocker服务
AppLocker依赖于“应用程序身份”服务来识别和验证程序文件。若该服务未运行，所有规则将无法生效。因此，必须确保该服务已启动并设置为自动运行。
1、按 Win + R 键打开“运行”对话框，输入 services.msc 并回车。
2、在服务列表中找到 Application Identity 服务，双击打开其属性。
3、将“启动类型”设置为 自动，如果当前状态不是“正在运行”，请点击“启动”按钮。
4、点击“应用”和“确定”保存设置。
二、通过本地安全策略创建执行规则
AppLocker通过定义可执行文件、脚本、安装程序等的运行权限来控制应用程序。您需要在本地安全策略中配置规则集合，并设定强制执行模式，以决定是仅审核还是实际阻止程序运行。
1、按 Win + R 键，输入 secpol.msc 并回车，打开“本地安全策略”。
2、展开左侧的“安全设置” > “应用程序控制策略” > “AppLocker”。
3、右键单击“AppLocker”下的“可执行规则”，选择“创建默认规则”。这将自动创建允许核心Windows组件运行的规则，避免系统关键功能被意外阻止。
4、右键单击“可执行规则”，选择“创建新规则”。
5、在向导中选择“允许”或“拒绝”，然后选择“下一步”。
6、选择规则条件，例如“发布者”（基于数字签名）、“路径”（基于文件位置）或“文件哈希”（基于文件唯一性），推荐使用“发布者”以提高灵活性和安全性。
7、根据所选条件指定具体的应用程序或文件夹，例如允许C:\Program Files\Microsoft Office下的所有程序。
8、完成向导并命名规则以便识别。
三、使用自动生成功能批量创建规则
当需要为大量已安装的应用程序快速创建允许规则时，可以利用AppLocker的自动生成功能。该功能会扫描指定目录或整个驱动器，为其中的所有可执行文件生成规则，大幅减少手动配置的工作量。
1、在“本地安全策略”的“AppLocker” > “可执行规则”上点击右键，选择“自动产生规则”。
2、在“操作”页面选择“创建规则”，点击“下一步”。
3、在“规则类型”页面选择“允许此组中的所有用户访问此计算机上的所有文件”，点击“下一步”。
4、在“选择目标”页面，点击“浏览”选择包含所需应用程序的文件夹，如 C:\Program Files 或自定义软件目录，也可选择 C:\ 进行全盘扫描（耗时较长）。
5、输入规则名称，例如“预装办公软件”，点击“下一步”。
6、在“规则首选项”页面保持默认，点击“下一步”。
7、等待系统分析并列出所有将要创建的规则，检查无误后点击“创建”。
8、完成后，可在“可执行规则”列表中查看和管理所有自动生成的规则。
四、配置规则强制与审计模式
在正式实施规则前，建议先将其设置为“仅审核”模式进行测试。在此模式下，AppLocker会记录所有违反规则的行为到事件日志，但不会实际阻止程序运行，有助于发现潜在问题。
1、在“本地安全策略”的“AppLocker”节点下，右键单击“可执行规则”，选择“属性”。
2、在“强制”选项卡中，为“可执行规则”选择“仅审核”以进行测试，或选择“强制实施规则”以启用实际阻止功能。
3、点击“确定”应用更改。
4、测试期间，打开“事件查看器” > “应用程序和服务日志” > “Microsoft” > “Windows” > “AppLocker”，检查“EXE and DLL”日志，查看是否有合法程序被错误标记。
5、根据日志反馈调整或删除相关规则，确认无误后，再将强制模式改为“强制实施规则”。
