對于一般用戶或者系統管理員來說，除了要控制系統中已經安裝的應用程序的運行權限外，還要對應用程序的安裝行為進行控制。那么，這些在Windows 7中是如何實現的呢？我們可以通過Windows 7的相關組策略項實現我們的目標。
(1).安裝控制
運行secpol.msc打開Windows 7的本地安全策略控制臺，定位到“安全設置”→“本地策略”→“安全選項”節(jié)點，在右側可以看到很多組策略項。這其中與應用程序安裝相關的項目主要有4項，下面筆者分別進行說明。
用戶賬戶控制：檢測應用程序安裝并提示提升。該選項默認被啟用，它決定著Windows 7是否自動檢測應用程序的安裝并提示提升。默認情況下，系統會自動檢測應用程序的安裝，并提示用戶提升或者批準應用程序是否繼續(xù)安裝。如果該選項被禁用，那么使得用戶不能夠對應用程序的安裝進行控制。
用戶賬戶控制：只提升簽名并驗證的可執(zhí)行文件。該選項決定了Windows 7是否只允許運行帶有簽名并且有效的可執(zhí)行文件。在默認情況下，該選項是被禁用的，如果啟用該選項，Windows就會在可執(zhí)行文件運行之前，會強制檢查文件公鑰證書的有效性。
用戶賬戶控制：僅提升安裝在安全位置的UIAccess應用程序。該選項決定了Windows 7在允許運行之前是否驗證UIAccess應用程序的安全性，默認情況下該選項是被禁用的。
用戶賬戶控制：允許UIAccess應用程序在不使用安全桌面的情況下繼續(xù)提升。這個選項模式是禁用的，它決定了用戶界面輔助程序是否可以繞過安全桌面。如果啟用該選項應用程序就可以直接按照應用需求響應提升提示，這樣會增加系統的風險，因為可能會被惡意程序利用。比如，我們要進行遠程協助，為了避免出現問題，在創(chuàng)建遠程協助邀請時，要確保勾選“允許響應賬戶控制提示”選項。
用戶賬戶控制
其實，除了這4個選項外，在該節(jié)點下還有其他的一些選項都與應用程序的安裝和運行有關，大家可在理解其含義的基礎上根據需要進行設置。
(2).軟件限制
在Windows 7的組策略控制臺中還有一個與軟件限制相關的組策略項是“軟件限制策略”，在本地安全策略控制臺的“安全設置”下可以看到該組策略節(jié)點，通過該策略項我們可以對系統中安裝的軟件進行限制。其“強制”策略我們可幫助我們針對文件、用戶和用戶進行限制。此外，用戶還可選擇在應用軟件限制策略時是強制證書還是忽略證書�！爸付ǖ奈募愋汀表椏蓭椭覀兺ㄟ^文件類型實施限制，在此我們可以添加或者刪除相應的文件類型�！笆苄湃蔚陌l(fā)布者”項可方便我們設置信任策略。在“安全級別”節(jié)點下3個級別，默認是“不受限”級別，也就是軟件訪問權由用戶的訪問權來決定。“基本用戶”級別允許程序訪問一般用戶可以訪問的資源，但沒有管理員的訪問權。其中“不允許”是最嚴格的級別，意味著無論用戶的訪問權如何，軟件都不會運行。在“其他規(guī)則”節(jié)點下，默認有兩條注冊表路徑規(guī)則，它們的安全級別是不受限制的。在此，我們可以根據需要添加其他安全規(guī)則，可供選擇的規(guī)則有證書規(guī)則、哈希規(guī)則、網絡區(qū)域規(guī)則、路徑規(guī)則。創(chuàng)建方法是右鍵單擊“其他規(guī)則”節(jié)點然后在右鍵菜單中選擇創(chuàng)建相應的規(guī)則即可。這個組策略節(jié)點在此前的系統中也存在，但并不為用戶所使用，其實，只要靈活利用它可以幫助我們完成很多系統管理任務。
軟件限制
(3).應用程序控制
在Windows 7的“應用程序控制策略”的組策略節(jié)點下新增了一個名為AppLocker的組策略項，利用其我們可以實現對系統中的應用程序的靈活控制。關于該組策略項，筆者此前寫過一篇文章《Windows 7的AppLocker功能解析》，文章鏈接為http://cio.zol.com.cn/206/2066365.html，有興趣的朋友可以看看，筆者這里就不贅述了。
