Distribuire i criteri WDAC usando Microsoft Configuration Manager

• Si applica a:

  ✅ Windows 11, ✅ Windows 10, ✅ Windows Server 2022, ✅ Windows Server 2019, ✅ Windows Server 2016

Nota

Alcune funzionalità di Windows Defender controllo delle applicazioni (WDAC) sono disponibili solo in versioni specifiche di Windows. Altre informazioni sulla disponibilità delle funzionalità di Controllo applicazioni.

È possibile usare Microsoft Configuration Manager per configurare Windows Defender controllo delle applicazioni (WDAC) nei computer client.

Usare i criteri predefiniti di Configuration Manager

Configuration Manager include il supporto nativo per WDAC, che consente di configurare Windows 10 e Windows 11 computer client con un criterio che consentirà solo:

• Componenti Windows
• App di Microsoft Store
• App installate da Configuration Manager (Configuration Manager auto-configurate come programma di installazione gestito)
• (Facoltativo) App affidabili come definite da Intelligent Security Graph (ISG)
• (Facoltativo) App ed eseguibili già installati in percorsi di cartelle definibili dall'amministratore che Configuration Manager consentiranno di eseguire un'analisi occasionale durante la creazione di criteri negli endpoint gestiti.

Configuration Manager non rimuove i criteri dopo la distribuzione. Per interrompere l'imposizione, è consigliabile passare il criterio alla modalità di controllo, che produrrà lo stesso effetto. Se si vuole disabilitare completamente Windows Defender controllo delle applicazioni (WDAC), inclusa la modalità di controllo, è possibile distribuire uno script per eliminare il file dei criteri dal disco e attivare un riavvio o attendere il riavvio successivo.

Creare un criterio WDAC in Configuration Manager

1. Selezionare Asset and Compliance>Endpoint Protection>Windows Defender Application Control>Create Application Control Policy

   

2. Immettere il nome del criterio >Avanti

3. Abilitare Imponi un riavvio dei dispositivi in modo che questo criterio possa essere applicato per tutti i processi

4. Selezionare la modalità che si desidera che i criteri vengano eseguiti (Imposizione abilitata/Solo controllo)

5. Selezionare Avanti

   

6. Selezionare Aggiungi per iniziare a creare regole per il software attendibile

   

7. Selezionare File o Cartella per creare una regola > di percorso Sfoglia

   

8. Selezionare il file eseguibile o la cartella per la regola > del percorso OK

   

9. Selezionare OK per aggiungere la regola alla tabella di file o cartelle attendibili

10. Selezionare Avanti per passare alla pagina > di riepilogo Chiudi

    

Distribuire i criteri WDAC in Configuration Manager

1. Fare clic con il pulsante destro del mouse sui criteri appena creati > Distribuire i criteri di controllo delle applicazioni

   

2. Selezionare Sfoglia

   

3. Selezionare la raccolta di dispositivi creata in precedenza >OK

   

4. Modificare la pianificazione >OK

   

Per altre informazioni sull'uso dei criteri WDAC nativi di Configuration Manager, vedere Windows Defender gestione del controllo delle applicazioni con Configuration Manager.

Scaricare l'intero WDAC in Configuration Manager documento di laboratorio.

Distribuire criteri WDAC personalizzati usando pacchetti/programmi o sequenze di attività

L'uso dei criteri predefiniti di Configuration Manager può essere un punto di partenza utile, ma i clienti potrebbero trovare le opzioni circle-of-trust disponibili in Configuration Manager troppo limitanti. Per definire un cerchio di attendibilità personalizzato, è possibile usare Configuration Manager per distribuire criteri WDAC personalizzati usando la distribuzione basata su script tramite pacchetti e programmi di distribuzione software o sequenze di attività di distribuzione del sistema operativo.