在Windows 7操作系統中，AppLocker（應用程序控制策略）是一項強大的安全功能，它允許系統管理員通過組策略精確控制用戶可以在計算機上運行哪些應用程序、安裝程序、腳本和Windows Installer文件。合理配置AppLocker，結合對計算機系統服務的理解與管理，能有效提升系統安全性與穩定性。

一、AppLocker的核心功能與啟用方法

AppLocker并非默認開啟，需要手動啟用并配置策略。其核心功能包括：

1. 可執行規則控制（.exe, .com）。
2. Windows安裝程序規則控制（.msi, .msp）。
3. 腳本規則控制（.ps1, .bat, .cmd, .vbs, .js）。
4. 動態鏈接庫規則控制（.dll, .ocx）。
5. 封裝應用與智能應用規則控制（AppX包）。

啟用步驟：

1. 點擊“開始”菜單，在搜索框中輸入“gpedit.msc”并回車，打開“本地組策略編輯器”。
2. 依次展開：“計算機配置” -> “Windows 設置” -> “安全設置” -> “應用程序控制策略” -> “AppLocker”。
3. 在右側窗格中，可以看到上述五類規則。右鍵點擊任意一類規則（如“可執行規則”），選擇“創建默認規則”。這一步至關重要，它會創建允許“所有用戶”運行“Program Files”和“Windows”文件夾下程序的基礎允許規則，防止因配置不當導致系統無法正常使用。
4. 創建默認規則后，AppLocker引擎即被激活。你可以根據需要創建新的“拒絕”或“允許”規則來細化控制。

二、創建自定義AppLocker規則

以阻止某特定游戲程序為例：

1. 在“可執行規則”上右鍵，選擇“創建新規則...”。
2. 在向導的“操作”頁面，選擇“拒絕”，并選擇要應用的用戶或用戶組（如“Everyone”）。
3. 在“條件”頁面，選擇“發布者”（最精確，依賴數字簽名）、“路徑”或“文件哈希”。對于無簽名的普通程序，常用“路徑”條件，直接指定程序的.exe文件位置。
4. 后續步驟按提示完成即可。規則創建后，被限制的用戶嘗試運行該程序時，會看到“此程序被組策略阻止”的提示。

三、AppLocker與計算機系統服務的協同管理

計算機系統服務（Services）是在后臺運行、支持系統各種功能的程序。AppLocker雖然不直接管理服務，但可以通過控制相關可執行文件（.exe或.dll）來間接影響服務的運行。

重要關聯點：

1. 服務可執行文件路徑：許多系統服務對應的.exe文件位于“C:\Windows\System32”或“C:\Windows”下。AppLocker的默認規則已經允許這些路徑，確保了系統核心服務的正常運行。如果你創建了過于寬泛的拒絕規則，可能會意外阻止服務宿主進程（svchost.exe）或特定服務程序，導致服務啟動失敗。
2. 第三方服務：對于安裝的第三方軟件所注冊的服務，其可執行文件通常位于“Program Files”目錄下，同樣受默認規則允許。若你需要阻止某第三方服務，除了在“服務”管理控制臺（services.msc）中禁用該服務外，還可以通過AppLocker創建針對其可執行文件的拒絕規則，實現雙重封鎖。
3. 腳本與計劃任務：系統常利用腳本（如VBS、PowerShell）和計劃任務來執行維護工作，這些也受AppLocker中“腳本規則”控制。不當配置可能影響重要的系統維護任務。

四、最佳實踐與故障排查

1. 先允許，后拒絕：始終先為系統關鍵路徑（Windows, Program Files）創建默認的允許規則，再創建具體的拒絕規則。這是安全配置的基本原則。
2. 審核模式先行：在正式部署拒絕規則前，可先將規則集合配置為“審核模式”。這樣規則不會真正阻止程序，但會在事件查看器（eventvwr.msc）的“應用程序和服務日志\Microsoft\Windows\AppLocker”中記錄匹配事件。通過分析日志，可以確認規則效果，避免影響正常工作。
3. 規則導出與備份：配置好的AppLocker策略可以右鍵點擊“AppLocker”節點，選擇“導出策略”進行備份。重裝系統或部署到其他計算機時，可“導入策略”快速應用。
4. 故障恢復：如果因AppLocker規則配置錯誤導致系統關鍵程序（甚至管理工具本身）無法運行，可以重啟計算機進入“安全模式”。在安全模式下，AppLocker策略不會被加載，此時可以重新登錄并打開組策略編輯器修正或清除錯誤規則。

在Windows 7中，AppLocker是構筑應用程序執行邊界的利器，而計算機系統服務是維持系統運轉的基石。將兩者結合管理，在制定AppLocker規則時充分考慮對系統服務及關鍵進程的影響，遵循最小權限和測試先行的原則，方能在提升安全性的保障系統的穩定與可用性。