在AppLocker处于活动状态时安装MSI

Question

我们将软件的一个组件作为MSI发送给已激活AppLocker的客户。 AppLocker开始安装失败。据我了解，问题是：

• AppLocker默认规则仅允许管理员安装MSI文件
• 按照设计，Windows安装程序首先运行非特权的MSI文件，以后只能切换到提升的权限

所以安装人员已经迟到了＃34;对于AppLocker。什么有效（只试过1-3）：

1. 以管理员身份打开命令提示符并运行MSI文件
2. 创建AppLocker规则以允许普通用户从指定目录安装MSI
3. 让setup.exe运行MSI并以管理员身份运行setup.exe
4. 破解Windows以创建＆＃34;运行为＆＃34; MSI文件的上下文菜单条目
5. 将MSI包装为自解压EXE

所有这些要么需要在客户方面进行更改（2,4），要么不如安装（1,3）或包装（5）加倍。 （其他客户需要MSI进行部署。）

有一种简单的方法可以让MSI与AppLocker一起使用吗？

Answer 1

AppLocker是一项功能，允许企业创建可以安装和执行的软件的保护策略。这是您的客户制作的问题，他们需要在内部处理您的应用程序白名单。

MSI和AppLocker完全按照设计运行。安全性和可用性成反比。 ：（

Answer 2

  

有一种简单的方法可以让MSI与AppLocker一起使用吗？

是的，我的建议是对MSI进行数字签名。

通过数字签名，客户可以创建发布者规则，以允许规则允许贵公司签署的任何MSI从主机系统上的任何位置进行安装。

参考文献：

了解AppLocker中的发布者规则条件

https://technet.microsoft.com/en-us/library/ee460943(v=ws.11).aspx

AppLocker中的Windows Installer规则

https://technet.microsoft.com/en-us/library/ee460957(v=ws.11).aspx