Schritt 1: Dienst Anwendungsidentität (AppIDSvc) auf automatisch stellen und starten
Damit unsere in den nächsten Schritten erstellten Richtlinien Anwendung finden müssen wir den Dienst Anwendungsidentität (AppIDSvc) starten und den Startmodus auf Automatisch stellen. Da unter Windows 10 in der Computerverwaltung die Umstellung der Startart des Dienstes verweigert wird, müssen wir uns auf die Konsole begeben.
Dazu starten wir eine CMD-Shell mit Admin-Rechten:
In diese geben wir nun den folgende zwei Befehle nacheinander ein:
(Bitte auf das Leerzeichen nach dem Gleichheitszeichen achten, dies muss dort stehen)
sc config appidsvc start= auto
sc start appidsvc
Schritt 2: Erstellen einer APP-Richtlinie für Applocker
Nun müssen die Regeln der Anwendungen oder Apps welche erlaubt und welche zur Ausführung verweigert werden sollen erstellt werden. Dazu öffnen wir den Gruppenrichtlinien-Editor
gpedit.mscDarin navigieren wir in folgenden Zweig:
Computerkonfiguration
> Windowseinstellungen > Sicherheitseinstellungen >
Anwendungssteuerungsrichtlinien > Applocker
Erstellen einer Beispiel-Regel zur Verweigerung der Ausführung des neuen Browsers Microsoft Edge
Als Beispiel erstellen wir eine Regel die den Benutzern auf dem Computer verbietet, den neuen Browser Microsoft Edge auszuführen.
Dazu navigieren wir in den Unterzweig App-Paketregeln. Zu aller erst müssen wir eine Standardregel erzeugen die uns erst einmal Global das Ausführen von Apps erlaubt, um dann im zweiten Schritt eine Verweigerungsregel zu erstellen. Zur Erklärung: Ohne diese Standardregel würde uns später die Ausführung jeglicher Apps verweigert. Zur Info: Verweigerungen haben hier wie bei NTFS-ACLs Vorrang wenn es sich überschneidende Regeln gibt.
Um die Standardregel zu erzeugen genügt es das Kontextmenü auf dem Zweig App-Paketregeln zu öffnen und dann Standardregeln erstellen auszuwählen.
Damit sind nun alle signierten Apps auf dem Rechner ausführbar.