【导语】 随着企业数字化转型加速，员工在Windows设备上安装应用的需求日益多样。Python等脚本语言从Microsoft Store以MSIX格式分发，虽方便开发，却也带来安全与合规隐患。如何在不影响正常业务的前提下，有效阻止非授权商店应用的安装？微软Intune提供了一套基于自定义OMA-URI和XML策略的解决方案，正成为IT管理者的“新利器”。

背景：MSIX应用成为安全管控盲区

微软商店中的Python应用（如Python 3.12、Anaconda等）采用MSIX打包格式，具有现代化部署特性，但若被员工随意安装，可能绕过企业软件资产管理策略。一方面，未审核的Python环境可能被用于执行恶意脚本或连接外部服务器；另一方面，多个版本并存会导致依赖冲突和系统性能下降。传统组策略在云端管理的Intune环境中略显笨拙，而通过OMA-URI直接下发配置策略，可实现精准锁定。

技术核心：OMA-URI与XML的协同机制

OMA-URI（开放移动联盟统一资源标识符）是Intune设备配置策略中的“高级命令”，允许管理员直接写入Windows设备上的策略路径，例如配置AppLocker或Windows Defender应用程序控制策略。XML文件则承载具体的规则定义——包括要阻止的应用发布者、产品名称或文件哈希值。

以阻止特定Python MSIX应用为例，管理员需要将以下XML内容通过OMA-URI推送至目标设备：

<AppLockerPolicy Version="1">
  <RuleCollection Type="Exe" EnforcementMode="AuditOnly">
    <FilePublisherRule Id="..." Name="Block Python Store App" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
      <Conditions>
        <FilePublisherCondition PublisherName="CN=Python Software Foundation, O=Python Software Foundation, L=Beaverton, S=Oregon, C=US" ProductName="*" BinaryName="*" />
      </Conditions>
    </FilePublisherRule>
  </RuleCollection>
</AppLockerPolicy>

（注：实际发布者名称需从应用签名证书获取，可通过PowerShell命令Get-AppxPackage -Name *Python* | Select PublisherId查询）

配置步骤：从XML编写到策略部署

  1. 构建XML规则文件：确认需要阻止的MSIX应用的发布者信息，使用AppLocker编辑器或手动编写XML，设置操作类型为“Deny”，并选择“Exe”规则集合（MSIX应用本质为可执行文件）。
  2. 创建Intune自定义策略：在Microsoft Intune管理中心选择“设备”>“配置”>“创建”>“Windows 10及更高版本”，配置文件类型选“自定义”。
  3. 填写OMA-URI设置：名称随意，OMA-URI路径填写./Vendor/MSFT/Policy/Config/AppLocker/ApplicationLaunchRestrictions，数据格式选“字符串（XML文件）”，上传上一步的XML内容。
  4. 分配与部署：将策略分配给目标Azure AD用户组或设备组。建议先在测试组中启用“仅审核”模式，确认日志中显示拦截记录后再切换为“强制拒绝”。

效果与价值：精细化管控降低风险

部署成功后，员工在Windows商店中尝试安装被阻止的Python MSIX应用时，系统将直接报错“此应用已被你的组织阻止”。同时，Intune报告中心会生成设备合规性状态，管理员可监控策略生效情况。相比传统的白名单模式，该方法无需维护繁复的哈希列表，只需更新发布者或产品名称即可批量屏蔽同一供应商的所有应用，极大提升运维效率。

注意事项与最佳实践

  • XML格式校验：AppLocker策略XML对命名空间和ID值严格要求，建议使用官方工具（如AppLocker CSP Designer）生成模板。
  • 版本兼容性：该方案适用于Windows 10 1809及以上版本，且需确保设备已加入Azure AD并注册至Intune。
  • 渐进式推行：先对IT部门测试，再扩展至全体人员；定期复查日志，避免误拦截关键工具（如企业自签名的MSIX应用）。

总结

XML与OMA-URI的组合为Intune管理员提供了一种灵活、低代码的细粒度应用控制手段。从阻止Python商店应用到封禁其他MSIX风险软件，该方法均能快速落地。在零信任架构日益普及的当下，企业应当善用此类原生策略，将安全管控前移到应用的源头——安装环节，而非事后补救。对于已部署Intune的组织而言，这套配置方案值得立即行动。