配置设置可执行的控件

选择此选项可创建 应用程序控件 配置拒绝列表。 本地驱动器上的所有内容都是允许的，除非在拒绝的项目列表中对其进行指定，或者它不具备受信任的所有权。 取消选择此选项可将配置创建为允许列表。 本地驱动器上的所有内容均被阻止，除非在“允许的项目”列表中对其进行指定。

允许列表配置最为安全。 但是，这种类型的配置需要花费大量时间，并且会影响客户端稳定性，因为所有未指定的应用程序都被阻止了。

管理员可能会在 应用程序控件 配置中明确禁止执行 cmd.exe。 当拒绝 cmd.exe 并禁用“允许 cmd.exe 用于批处理文件”时，如果批处理文件不符合 应用程序控件 策略，则将对其进行评估和阻止。 如果未选中该选项且显式拒绝 cmd.exe，所有批处理文件被阻止，它们甚至不会被评估。 如果选择了此选项且 cmd 被显式地拒绝，则 cmd.exe 仍然无法单独运行，但批处理文件是根据 应用程序控件 规则评估的。 如果 cmd.exe 未被显式地拒绝，则无论此选项是否被选中，所有批处理文件都将运行。

在登录期间，计算机可能会执行大量基本应用程序。 阻止这些可能导致计算机无法正常工作，或者完全不能工作。 因此，默认选中此项。

自解压文件是可执行文件，其中包含一个 ZIP 文件和一个用于解压它的小程序。 这些文件有时作为替代方法，以通过 MSI 文件安装应用程序。 许多管理员希望仅使用 MSI 文件安装应用程序。

仅支持使用 ZIP 规范格式化的自解压 EXE。 有关其他信息，请参阅 ZIP 规范

解压自解压 ZIP 文件选项允许被拒绝的可执行文件（即自解压 ZIP 文件）由 ZIP 解压器进行解压。如果取消选择此选项（默认设置），则该文件将和可执行文件一样受一般规则处理的约束。 当将内容解压出来后，其所包含的任何可执行内容仍然要受常规受信任的所有权检查的约束，并且当用户为非可信所有者时无法执行。 当自解压 ZIP 文件可能包含不可执行文件（比如用户需要的文档）时，这非常有用。 默认情况下，将取消选择此选项，自解压 ZIP 文件将被视为标准可执行文件，并将基于一般规则处理情况阻止其执行（因此解压其内容）。

默认情况下，在智能安装期间运行的所有应用程序都受 应用程序控件 规则的约束。 选择此选项可使这些应用程序在智能安装期间无需接受规则检查。

取消选择此选项可移除对可移动介质的限制。 可移动介质是什么，完全由对 GetDriveType 的调用决定。 由于可移动介质的性质，驱动器号可能会根据端点的设置方式而改变。 例如：在一台计算机上，可移动介质驱动器可能被识别为 E 盘，而在另一台计算机上，则可能被识别为 F 盘：

选择此选项可验证系统用户执行的任何文件。 请注意，不建议选择此选项，因为它会增加端点计算机上发生的验证量，并阻止关键应用程序运行。 选择此选项意味着系统启动的所有可执行文件都受规则验证的约束。

选择此选项将指定：使用 wscript 或 cscript 运行的脚本的命令行内容受规则验证的约束。

脚本可以引入病毒和恶意代码。 建议验证 WSH 脚本。

MSI 文件是安装 Windows 应用程序的标准方法。 建议用户不要随意安装 MSI 应用程序。 选择此选项意味着所有 MSI 均受规则验证的约束。 取消选择此选项意味着只有 Windows 安装程序本身即 msiexec.exe 是通过 应用程序控件 规则处理验证的，而非它尝试运行的 MSI 文件。

选择此选项可启用 regedit.exe 和 regini.exe 的规则验证。 取消选择此选项意味着 regedit.exe 和 regini.exe 不再被默认阻止。 此外，.reg 脚本、regedit.exe 和 regini.exe 尝试运行时不再通过 应用程序控件 规则处理进行验证。

不建议允许用户访问注册表或注册表文件。

当启用时，该设置将拒绝 powershell.exe 和 powershell_ise.exe。 但是，如果在命令行中发现 PowerShell 脚本（PS1 文件），则需要对其进行全面的规则检查，以确定其是否针对提升、运行或拒绝进行配置。

选择根据应用的配置终止应用程序

选择在计算机的 IP 地址发生更改时终止应用程序，例如，在安全环境和不安全环境之间移动。 请参见示例。

显示初始警告消息，通知用户拒绝的应用程序将被关闭，应及时保存任何工作。 可使用等待秒数... 指定关闭时间。 选项。 请将此选项与“关闭应用程序”和“终止应用程序”选项一起使用。 如果没有与这些选项一起使用，将显示一条消息，且拒绝的应用程序将不会关闭。

根据初始警告消息关闭应用程序，允许用户保存其工作。

在未向用户发出警告消息的情况下终止拒绝的应用程序。