Общие сведения об условии правила издателя в AppLocker

В этой статье объясняется, как применить условие правила издателя AppLocker и доступные элементы управления.

Условия издателя могут быть выполнены только для файлов с цифровой подписью. Это условие определяет файл приложения на основе его цифровой подписи и расширенных атрибутов. Цифровая подпись содержит сведения о компании, создающей приложение (издателе). Расширенные атрибуты, полученные из двоичного ресурса, содержат имя продукта, частью которого является приложение, и номер версии приложения. Издателем может быть компания по разработке программного обеспечения, например Майкрософт, или отдел информационных технологий вашей организации. Условия издателя проще поддерживать, чем условия хэша файлов, и более безопасны, чем условия пути. Правила, указанные на уровне версии, могут быть обновлены при выпуске новой версии файла. В следующей таблице описаны преимущества и недостатки условия издателя.

Преимущества условий издателя Недостатки условий издателя
  • Частое обновление не требуется.
  • В сертификате можно применить разные значения.
  • Для разрешения всего набора продуктов можно использовать одно правило.
  • Вы можете использовать подстановочный знак звездочки (*) в правиле издателя, чтобы указать, что любое значение должно совпадать.
    		•
  • Файл должен быть подписан.
  • Хотя для разрешения всего набора продуктов можно использовать одно правило, все файлы в наборе должны быть подписаны равномерно.
    		•

    Подстановочные знаки можно использовать в качестве значений в полях правил издателя в соответствии со следующими спецификациями:

    • Издатель

      Символ звездочки (*), используемый сам по себе, представляет любого издателя. В сочетании с любым строковым значением правило ограничивается издателем со значением в подписанном сертификате, соответствующим строке символов. Другими словами, звездочка не обрабатывается как подстановочный знак при использовании с другими символами в этом поле. Например, использование символов "M*" ограничивает имя издателя только издателем с именем "M*". Использование символов "*x*" ограничивает имя издателя только именем "*x*". Вопросительный знак (?) не является допустимым подстановочным знаком в этом поле.

    • Название продукта

      Символ звездочки (*), используемый сам по себе, представляет любое название продукта. В сочетании с любым строковым значением правило ограничивается продуктом издателя со значением в подписанном сертификате, соответствующим строке символов. Другими словами, звездочка не обрабатывается как подстановочный знак при использовании с другими символами в этом поле. Вопросительный знак (?) не является допустимым подстановочным знаком в этом поле.

    • Имя файла

      Символы звездочки (*) или вопросительного знака (?), используемые сами по себе, представляют любые имена файлов. В сочетании с любым строковым значением строка сопоставляется с любым именем файла, содержащим такую строку.

    • Версия файла

      Символ звездочки (*), используемый сам по себе, представляет любую версию файла. Если вы хотите ограничить версию файла определенной версией или в качестве отправной точки, можно указать версию файла, а затем использовать следующие параметры для применения ограничений:

      • Точно. Правило применяется только к конкретной версии приложения.
      • И выше. Правило применяется к этой и всем последующим версиям приложения.
      • И ниже. Правило применяется к этой и всем более ранним версиям приложения.

    В следующей таблице описано применение условия издателя.

    Параметр Условие издателя разрешает или запрещает...
    Все подписанные файлы Все файлы, подписанные издателем.
    Только издатель Все файлы, подписанные указанным издателем.
    Издатель и имя продукта Все файлы для указанного продукта, подписанные именованным издателем.
    Издатель, название продукта и имя файла Любая версия именованного файла для именованного продукта и подписана издателем.
    Издатель, имя продукта, имя файла и версия файла Совершенно верно
    Указанная версия именованного файла для именованного продукта, подписанного издателем.
    Издатель, имя продукта, имя файла и версия файла И выше
    Указанная версия именованного файла и все более поздние версии файла для именованного продукта, подписанного издателем.
    Издатель, имя продукта, имя файла и версия файла И ниже
    Указанная версия именованного файла и все более старые версии для именованного продукта, подписанного издателем.
    Пользовательское Чтобы создать пользовательское правило, можно изменить поля Publisher, Product name, File name (Имя файла) и Version (Версия ).

    Обзор трех типов условий правил AppLocker, их преимуществ и недостатков см. в статье Общие сведения о типах условий правила AppLocker.