Какой правильный способ развернуть мою подписанную политику WDAC на тестовой виртуальной машине?

Я использую виртуальную машину Hyper-V, Windows 11 22H2, чтобы протестировать подписанную WDAC политику, в частности, тот факт, что даже администраторы не могут её отключить/удалить, поэтому я решил попробовать это.

Я уже успешно развернул неподписанную WDAC политику на своем хосте, и она работает прекрасно, но я испытываю трудности с тем, чтобы заставить работать подписанную версию.

Я изучил этот связанный вопрос и уже попробовал решение, предложенное там, которое заключалось в использовании PolicyID одного из шаблонов политики WDAC отсюда в моей WDAC политике:

"C:\Windows\schemas\CodeIntegrity\ExamplePolicies"

поэтому я сделал это, взял один из PolicyID из этих примерных XML файлов и заменил свой BasePolicyID и PolicyID на него так:

  <BasePolicyID>{A244370E-44C9-4C06-B551-F6016E563076}</BasePolicyID>
  <PolicyID>{A244370E-44C9-4C06-B551-F6016E563076}</PolicyID>

после перезагрузки виртуальной машины Windows больше не загружается.

до использования этого решения, моя виртуальная машина перезагружалась как минимум один раз, но на второй раз Windows больше не загружалась.

Я сделал контрольную точку перед её развертыванием на моей виртуальной машине, чтобы я мог вернуться в предыдущее состояние за секунды. Я открыт для любых предложений. этот вопрос был задан 3 года назад, я подумал, что, возможно, что-то изменилось сейчас.

практически нет информации о решении проблем с подписанными WDAC политиками или даже об их развертывании, все, что я нашел, было копированием текста с официального сайта Microsoft Docs.

Я не знаю, как Австралия это делает, но им честь и хвала.

Я не знаю, нужно ли добавлять файл .cert, который я использовал для создания подписанной WDAC политики, в хранилище сертификатов виртуальной машины или нет, и если нужно, то в какое хранилище? Я попробовал хранилище доверенных центров сертификации, но это не сработало.

вот как я создал свою подписанную WDAC политику (до применения решения из указанного вопроса):

сначала я создал свой сертификат для подписывания кода:

New-SelfSignedCertificate -DnsName test.com -CertStoreLocation Cert:\CurrentUser\My\ -Type Codesigning 

затем экспортировал его в .cert без приватных ключей и в .pfx с приватным ключом.

после этого, следуя руководству официального сайта Microsoft и сделал следующее:

Add-SignerRule -FilePath "C:\Users\username\OneDrive\Desktop\Signing test - my WDAC Policy\0 Signed\MERGED.xml" -CertificatePath "C:\Users\username\OneDrive\Desktop\certificate.cer" -Kernel -User –Update 

 

Set-RuleOption -FilePath "C:\Users\username\OneDrive\Desktop\Signing test - my WDAC Policy\0 Signed\MERGED.xml" -Option 6 –Delete 



$PolicyID= Set-CIPolicyIdInfo -FilePath "C:\Users\username\OneDrive\Desktop\Signing test - my WDAC Policy\0 Signed\MERGED.xml"  -ResetPolicyID     
$PolicyID = $PolicyID.Substring(11)     
$CIPolicyBin = "C:\Users\username\OneDrive\Desktop\Signing test - my WDAC Policy\0 Signed\" + $PolicyID + ".cip"     
ConvertFrom-CIPolicy "C:\Users\username\OneDrive\Desktop\Signing test - my WDAC Policy\0 Signed\MERGED.xml" $CIPolicyBin 

 

cd "C:\Program Files (x86)\Windows Kits\10\bin\10.0.22621.0\x64\" 
     
 

.\signtool.exe sign -v /n "test.com" -p7 . -p7co 1.3.6.1.4.1.311.79.1 -fd sha256 "C:\Users\username\OneDrive\Desktop\Signing test - my WDAC Policy\0 Signed\{3fc72282-501d-482a-906e-a67b66b8fc42}.cip" 

 

но это не сработало, как упомянуто выше.

Я сделал ту же процедуру, чтобы попробовать решение из упомянутого вопроса, за исключением того, что не запускал эту часть:

$PolicyID= Set-CIPolicyIdInfo -FilePath "C:\Users\username\OneDrive\Desktop\Signing test - my WDAC Policy\0 Signed\MERGED.xml"  -ResetPolicyID 

$PolicyID = $PolicyID.Substring(11) 

$CIPolicyBin = "C:\Users\username\OneDrive\Desktop\Signing test - my WDAC Policy\0 Signed\" + $PolicyID + ".cip" 

ConvertFrom-CIPolicy "C:\Users\username\OneDrive\Desktop\Signing test - my WDAC Policy\0 Signed\MERGED.xml" $CIPolicyBin 

и вместо этого вручную заменил PolicyID и BasePolicyID, а затем использовал эту команду для создания .cip файла:

ConvertFrom-CIPolicy "C:\Users\username\OneDrive\Desktop\Signing test - my WDAC Policy\0 Signed\MERGED.xml" "{A244370E-44C9-4C06-B551-F6016E563076}.cip"

Мне отчаянно нужна помощь, так как мне больше нечего пробовать.

Используйте CiTool.exe. Это исполняемый файл, который включён в Windows 11, начиная с версии 22H2, и в Windows Server 2025. Он может развернуть подписанные и неподписанные политики для вас. Всё, что вам нужно, это предоставить ему .CIP файл политики.

Если вы ищете инструмент для автоматизации, я разработал бесплатное приложение с открытым исходным кодом:

https://github.com/HotCakeX/Harden-Windows-Security/wiki/AppControl-Manager

Он позволяет вам создавать правильные сертификаты для подписывания политик WDAC (Управление приложениями), развертывать их локально или даже удаленно, удалять неподписанные/подписанные политики и многое другое.