Todo dice que se supone que Applocker funciona: ¿por qué no?

He configurado una política de grupo básica que consta de las reglas predeterminadas de Applocker. Según el artículo de Technet de Microsoft sobre el tema, se supone que cualquier archivo que no esté explícitamente permitido por la política debe estar bloqueado. Después de implementar esta política y verificar que se estaba aplicando al usuario correcto gpresult, todavía podía descargar y ejecutar un exe de Internet, un exe que se guardó en la carpeta temporal del perfil de usuario. Fue en ese momento que busqué más en Google, y vi que el servicio App Identity tenía que estar ejecutándose, y no fue así: así que, como cualquier buen administrador, lo inicié, lo configuré en automático y lo reinicié por si acaso. La política aún no funcionó después de reiniciar. A continuación se muestra una captura de pantalla de la política actual.

Agregué las reglas de denegación explícitamente porque las reglas predeterminadas no funcionaban. Apliqué correctamente la política a la máquina y verifiqué que las reglas se aplican (lo dice en la captura de pantalla). Test-AppLockerPolicyUsé el cmdlet para verificar que la regla debería estar bloqueando la ejecución de los EXEs y MSI, pero no es así. Abierto a la mayoría de las sugerencias, no importa cuán ridículas puedan sonar.

Actualizar

Olvidé agregar que revisé el registro de eventos de AppLocker durante todo este fiasco, y estaba en blanco. Ni una sola entrada todo el tiempo.

Si su bloque de ruta no se definió correctamente, eso explicaría su situación.

Por ejemplo, si usara la variable de entorno% userprofile%. Solo hay un subconjunto de las variables de entorno disponibles a través de GPO / AppLocker y esa no es una de ellas.

He tenido éxito con la siguiente regla de ruta:

%osdrive%\users\*

Este es un hilo viejo pero lo encontré al implementar AppLocker en nuestra propia red.

AppLocker requiere el uso del servicio Application Identity, que está configurado en Manual en una instalación predeterminada de Win7 / Server 2008 R2. Debe establecer el servicio de identidad de la aplicación en Inicio automático o las reglas no se aplicarán. Puede hacer esto con el objeto de directiva de grupo donde se definen las reglas de AppLocker.