組態設定可執行檔控制項

選取此選項以製作 應用程式控制項 組態拒絕清單。 本地驱动器上的所有内容都是允许的，除非在拒绝的项目列表中对其进行指定，或者它不具备受信任的所有权。 取消選取此選項以將組態製作成允許清單。 除非在「允許的項目」清單中指定，否則將封鎖本機磁碟上的所有內容。

允許清單組態最為安全。 但是，这种类型的配置需要花费大量时间，并且会影响客户端稳定性，因为所有未指定的应用程序都被阻止了。

管理員應在其 應用程式控制項 組態中明確禁止 cmd.exe。 在已拒絕 cmd.exe 且已停用「允許 cmd.exe 執行批次檔案」的情況下，於批次檔案違反 應用程式控制項 原則時，將會對批次檔案進行評估及封鎖。 如果未选中该选项且显式拒绝 cmd.exe，所有批处理文件被阻止，它们甚至不会被评估。 如果选择了此选项且 cmd 被显式地拒绝，则 cmd.exe 仍然无法单独运行，但批处理文件是根据 應用程式控制項 规则评估的。 如果 cmd.exe 未被显式地拒绝，则无论此选项是否被选中，所有批处理文件都将运行。

在登录期间，计算机可能会执行大量基本应用程序。 阻止这些可能导致计算机无法正常工作，或者完全不能工作。 因此，默认选中此项。

自解压文件是可执行文件，其中包含一个 ZIP 文件和一个用于解压它的小程序。 这些文件有时作为替代方法，以通过 MSI 文件安装应用程序。 有為數眾多的管理員偏好僅透過 MSI 檔案來安裝應用程式。

僅支援使用 ZIP 規格格式化的自動解壓縮 EXE。 有关其他信息，请参阅 ZIP 规范

解開自動解壓縮 ZIP 檔案選項，可允許由 ZIP 解壓縮程式解開拒絕的可執行檔案，可執行檔案是自動解壓縮 ZIP 檔案。如果取消选择此选项（默认设置），则该文件将和可执行文件一样受一般规则处理的约束。 当将内容解压出来后，其所包含的任何可执行内容仍然要受常规受信任的所有权检查的约束，并且当用户为非可信所有者时无法执行。 当自解压 ZIP 文件可能包含不可执行文件（比如用户需要的文档）时，这非常有用。 默认情况下，将取消选择此选项，自解压 ZIP 文件将被视为标准可执行文件，并将基于一般规则处理情况阻止其执行（因此解压其内容）。

默认情况下，在智能安装期间运行的所有应用程序都受 應用程式控制項 规则的约束。 选择此选项可使这些应用程序在智能安装期间无需接受规则检查。

取消选择此选项可移除对可移动介质的限制。 可移动介质是什么，完全由对 GetDriveType 的调用决定。 由于可移动介质的性质，驱动器号可能会根据端点的设置方式而改变。 例如：在一台计算机上，可移动介质驱动器可能被识别为 E 盘，而在另一台计算机上，则可能被识别为 F 盘：

选择此选项可验证系统用户执行的任何文件。 请注意，不建议选择此选项，因为它会增加端点计算机上发生的验证量，并阻止关键应用程序运行。 选择此选项意味着系统启动的所有可执行文件都受规则验证的约束。

選取此選項，即指定使用 wscript 或 cscript 執行之指令碼的指令列內容需進行規則驗證。

脚本可以引入病毒和恶意代码。 建议验证 WSH 脚本。

MSI 文件是安装 Windows 应用程序的标准方法。 建议用户不要随意安装 MSI 应用程序。 选择此选项意味着所有 MSI 均受规则验证的约束。 取消选择此选项意味着只有 Windows 安装程序本身即 msiexec.exe 是通过 應用程式控制項 规则处理验证的，而非它尝试运行的 MSI 文件。

选择此选项可启用 regedit.exe 和 regini.exe 的规则验证。 取消选择此选项意味着 regedit.exe 和 regini.exe 不再被默认阻止。 此外，嘗試執行的 .reg 指令碼、regedit.exe 和 regini.exe 亦不再由 應用程式控制項 規則處理進行驗證。

不建议允许用户访问注册表或注册表文件。

当启用时，该设置将拒绝 powershell.exe 和 powershell_ise.exe。 然而，若在指令列上找到 PowerShell 指令碼 (PS1 檔案)，則需進行完整的規則檢查，確認是否已設定供提高權限、允許或拒絕。

選取便會依據套用的組態終止應用程式

選取便會在電腦 IP 位址變更時終止應用程式，例如，在安全與不安全環境之間移動的情況。 請參閱範例。

顯示初始警告訊息以通知使用者遭拒絕的應用程式即將關閉，並請儲存所有工作。 可使用等待秒數... 選項來指定關閉時間选项。 與關閉應用程式和終止應用程式選項一起使用。 如果没有与这些选项一起使用，将显示一条消息，且拒绝的应用程序将不会关闭。

在顯示初始警告訊息之後關閉應用程式，會讓使用者有時間儲存其工作。

不給使用者發出警告訊息，直接終止遭拒絕的應用程式。