本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 應用程式存取權限
<a name="application-access"></a>

根據預設，WorkSpaces 應用程式可讓您在映像中指定的應用程式，在映像建置器和機群執行個體上啟動其他應用程式和可執行檔。這可確保與其他應用程式 (例如，啟動瀏覽器以導覽至產品網站的應用程式) 相依性的應用程式如預期般運作。請務必設定管理控制項目、安全性群組和其他安全性軟體，授予使用者存取資源和在本機電腦和機群執行個體之間傳輸資料所需的最低權限。

您可以使用應用程式控制軟體 (例如 [Microsoft AppLocker](https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-control/applocker/applocker-overview)) 和政策來控制使用者可以執行的應用程式和檔案。應用程式控制軟體和政策可協助您控制使用者可在 WorkSpaces 應用程式映像建置器和機群執行個體上執行的可執行檔、指令碼、Windows 安裝程式檔案、動態連結程式庫和應用程式套件。

**注意**  
WorkSpaces 應用程式代理程式軟體依賴 Windows 命令提示字元和 Windows Powershell 來佈建串流執行個體。如果您選擇防止使用者啟動 Windows 命令提示字元或 Windows Powershell，則政策不得套用至 Windows NT AUTHORITY\$1SYSTEM 或系統管理員群組中的使用者。


| 規則類型 | Action | Windows 使用者或群組 | Name/Path | 條件 | 說明 | 
| --- | --- | --- | --- | --- | --- | 
| 可執行 | 允許 | NT AUTHORITY\$1System | \$1 | 路徑 | WorkSpaces 應用程式代理程式軟體的必要項目 | 
| 可執行 | 允許 | BUILTIN\$1Administrators | \$1 | 路徑 | WorkSpaces 應用程式代理程式軟體的必要項目 | 
| 可執行 | 允許 | 每個人 | %PROGRAMFILES%\$1nodejs\$1\$1 | 路徑 | WorkSpaces 應用程式代理程式軟體的必要項目 | 
| 可執行 | 允許 | 每個人 | %PROGRAMFILES%\$1NICE\$1\$1 | 路徑 | WorkSpaces 應用程式代理程式軟體的必要項目 | 
| 可執行 | 允許 | 每個人 | %PROGRAMFILES%\$1Amazon\$1\$1 | 路徑 | WorkSpaces 應用程式代理程式軟體的必要項目 | 
| 可執行 | 允許 | 每個人 | %PROGRAMFILES%\$1<default-browser>\$1\$1 | 路徑 | 使用 Google Drive 或 Microsoft OneDrive for Business 等持久性儲存解決方案時，WorkSpaces 應用程式代理程式軟體需要。使用 WorkSpaces 應用程式主資料夾時，不需要此例外狀況。 |