App-Kontrolle

In Relution steht die Konfiguration App-Kontrolle zur Verfügung. Hiermit lassen sich Windows Defender Anwendungssteuerungs-Richtlinien (WDAC-Richtlinien) auf Windows-Geräten anwenden. Diese definieren, welchen Anwendungen vertraut wird, sodass nur diese auf dem Gerät ausgeführt werden können. Die Konfiguration wird auf Windows Pro, Enterprise und Education ab Version 1903 unterstützt.

Microsoft stellt alle notwendigen Informationen über WDAC-Richtlinien in deren Dokumentation → bereit.

Generierung der WDAC-Richtlinie #

Die Konzeption und Erstellung der WDAC-Richtlinien erläutert Microsoft im Entwurfshandbuch →.

Es wird empfohlen, jegliche WDAC-Richtlinien ausgiebig zu testen, bevor diese über Relution an Produktiv-Geräte ausgerollt werden.

Erstellung der benötigten WDAC-Richtlinie Datei #

Für die Generierung können der WDAC Assistent → und die Beispiel Basisrichtlinien → verwendet werden.

Wird für die Generierung das WDAC-Assistenten-Tool verwendet, erzeugt dieses zwei Dateien: eine XML-Datei und eine CIP-Datei. Die MDM-Schnittstelle benötigt die Richtlinie als Binär-Datei. Die CIP-Datei liegt bereits in diesem Binärformat vor und kann direkt in Relution hochgeladen werden. Die XML-Datei muss zuerst in eine Binär-Datei umgewandelt werden; wie das geht, wird in den folgenden Abschnitten erläutert.

XML-Datei #

Die WDAC-Richtlinien XML-Datei enthält zwei Informationen, die für das erfolgreiche Anwenden der Konfiguration auf den Windows Geräten über Relution entscheidend sind.

Die <PolicyID> ist eine GUID, welche diese WDAC-Richtlinie eindeutig identifiziert. Sie wird daher für das Anwenden, Aktualisieren und Löschen der Konfiguration verwendet.

Die <VersionEx> wird als Versionierung für die WDAC-Richtlinie verwendet. Für jede Aktualisierung einer WDAC-Richtlinie muss <VersionEx> daher erhöht werden. Ist die Version kleiner als die zuletzt angewendete, lehnt Windows die Richtlinie ab und das Update der Konfiguration über Relution schlägt fehl.

Konvertierung der XML-Datei #

Die XML-Datei muss in eine Binär-Datei umgewandelt werden. Dies kann mit dem ConvertFrom-CIPolicy → PowerShell-Befehl gemacht werden.

Beispiel:

ConvertFrom-CIPolicy -XmlFilePath .\AllowAll.xml -BinaryFilePath .\AllowAll.bin

Die dadurch generierte Binär-Datei kann in der Konfiguration App-Kontrolle in Relution hochgeladen werden.

Konfiguration App-Kontrolle #

Die Konfiguration App-Kontrolle besteht aus zwei Pflichtfeldern:

• Feld App-Kontroll-ID: Damit die Konfiguration erfolgreich auf dem Gerät angewendet werden kann, muss die App-Kontroll-ID denselben Wert wie die <PolicyID> aus der WDAC-Richtlinie enthalten, jedoch ohne die geschweiften Klammern. Erwartet wird eine GUID im Format XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX, andere Eingaben werden als ungültig markiert.
  • Beispiel:
    • PolicyID in der WDAC-Richtlinie: <PolicyID>{31351756-3F24-4963-8380-4E7602335AAE}</PolicyID>
    • App-Kontroll-ID in der Konfiguration: 31351756-3F24-4963-8380-4E7602335AAE
  • Es ist nicht möglich, die eingetragene App-Kontroll-ID nach dem erstmaligen Speichern zu ändern. Es ist jedoch möglich, mehrere (sich ergänzende) Konfigurationen App-Kontrolle zu erstellen und auf einem Gerät anzuwenden.
• Feld App Control Binärdatei: Upload der WDAC-Richtlinie im Binärformat, siehe Generierung der WDAC-Richtlinie →. Der Hinweis im Formular nennt die Dateiendung .bin. Relution prüft die Dateiendung jedoch nicht, sodass auch die CIP-Datei des WDAC-Assistenten ohne Umbenennen hochgeladen werden kann.

Aktualisierung #

Damit eine neue Version der Konfiguration App-Kontrolle erfolgreich auf dem Gerät angewendet werden kann, muss die <PolicyID> in der WDAC-Richtlinie denselben Wert wie die App-Kontroll-ID der Konfiguration und die <VersionEx> einen höheren Wert aufweisen als in der vorherigen Version.

Löschen #

Damit das Löschen einer WDAC-Richtlinie auf dem Gerät angewendet wird, ist ein Neustart des Geräts erforderlich.

Microsoft empfiehlt einen Workaround, sodass die App-Einschränkungen auch ohne Neustart entfernt werden, siehe Microsoft Dokumentation →.

Löschen einer unsignierten WDAC-Richtlinie #

In Relution kann das Entfernen ohne Neustart daher folgendermaßen umgesetzt werden:

1. Erstellung einer Allow-All WDAC-Richtlinie
   • Die <PolicyID> muss der App-Kontroll-ID entsprechen
   • Die <VersionEx> muss höher sein als in der vorherigen Version
2. Konvertierung der XML-Datei in das benötigte Binär-Format
3. Erstellung einer neuen Richtlinien-Version in Relution
   • Hochladen der neuen Binär-Datei der Allow-All WDAC-Richtlinie in der Konfiguration App-Kontrolle
4. Veröffentlichung der neuen Richtlinien-Version
   • Dadurch werden die bestehenden Einschränkungen von dem Gerät entfernt
5. Entfernen der Richtlinie von dem Gerät
   • Dies löscht die Konfiguration App-Kontrolle von dem Gerät. Allerdings ist dies erst nach dem Neustart aktiv.

Löschen einer signierten WDAC-Richtlinie #

Das Entfernen einer signierten WDAC-Richtlinie (ohne benötigten Neustart) kann in Relution daher folgendermaßen umgesetzt werden:

1. Erstellung einer signierten WDAC-Richtlinie, welche unsignierte WDAC-Richtlinien erlaubt
   • Die <PolicyID> muss der App-Kontroll-ID entsprechen
   • Die <VersionEx> muss höher sein als in der vorherigen Version
2. Konvertierung der XML-Datei in das benötigte Binär-Format
3. Erstellung einer neuen Richtlinien-Version in Relution
   • Hochladen der neuen Binär-Datei der signierten WDAC-Richtlinie (die unsignierte WDAC-Richtlinien erlaubt) in der Konfiguration App-Kontrolle
4. Veröffentlichung der neuen Richtlinien-Version
   • Dadurch können unsignierte WDAC-Richtlinien auf dem Gerät angewendet werden
5. Löschen einer unsignierten WDAC-Richtlinie →