Bloquear aplicaciones en dispositivos con Windows 10 u 11 mediante ajustes personalizados

1. Utiliza un generador de GUID online para obtener un GUID aleatorio. Consejo: Escribe generador de GUID online en un buscador.
2. Si quieres bloquear una aplicación concreta, busca información sobre ella. Si quieres bloquear todas las aplicaciones que tengan un determinado tipo de archivo, puedes saltarte este paso.
   1. En un dispositivo Windows, descarga el archivo ejecutable (el que termina en .exe) de la aplicación que quieres bloquear o permitir.
   2. Abre PowerShell.
   3. Ejecuta Get-AppLockerFileInformation -path RutaDelExe | format-list. Debes sustituir RutaDelExe por la ruta del archivo ejecutable.
   4. En la respuesta, busca y registra los valores en la línea Publisher (Editor). Los valores tienen el siguiente formato y se corresponden con los que utilizarás en el XML:

      NombreDeEditor\NombreDeProducto\NombreDeBinario,VersiónDeBinario

      El nombre del editor es una cadena larga, como O=MICROSOFT CORPORATION, L=REDWOOD, S=WASHINGTON, C=US, que debes incluir entera.

3. Copia el siguiente código XML en un editor de texto:

   <RuleCollection Type="Tipo" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name=NombreDeDirectiva Description=DescripciónDeDirectiva UserOrGroupSid=SIDDeUsuarioOGrupo Action=[Allow|Deny]>
     <Conditions>
       <FilePublisherCondition PublisherName=NombreDeEditor BinaryName=NombreDeBinario ProductName=NombreDeProducto>
         <BinaryVersionRange HighSection=VersiónMásReciente LowSection=VersiónMásAntigua />
       </FilePublisherCondition>
     </Conditions>
   </FilePublisherRule>
</RuleCollection>

4. Edita el código XML para sustituir los marcadores de posición por sus valores. Para ver casos prácticos específicos, como agrupar varias directivas en un archivo, consulta los ejemplos.

   Marcador de posición	Valor
   Tipo	El tipo de archivo de la aplicación (debe ser el mismo que el OMA-URI): Si es un archivo ejecutable, introduce "Exe". Si es un archivo MSI, introduce "Msi". Si es un archivo Script, introduce "Script". Si es un archivo DLL, introduce "Dll". Si es una aplicación de Microsoft Store, introduce "Appx".
   GUID	Es el GUID que has generado en el paso 1.
   NombreDeDirectiva	Es el nombre de la directiva y puedes utilizar cualquier tipo de cadena.
   DescripciónDeDirectiva	Es una descripción de la directiva.
   SIDDeUsuarioOGrupo	Son los usuarios o grupos a los que se aplica la directiva: Para aplicar la directiva a todos los usuarios del dispositivo, introduce S-1-1-0. Para aplicar la directiva a un usuario concreto, introduce su SID; para saber cuál es el del usuario que quieres, introduce en la línea de comandos lo siguiente: wmic nombredeusuario get name,sid Debes sustituir nombredeusuario por el nombre de usuario del dispositivo; si no sabes cuál es, consúltalo en la lista de usuarios del dispositivo, que puedes generar ejecutando la siguiente línea de comandos: wmic useraccount get name,sid Solo puedes introducir un nombre de usuario. Para aplicar la directiva a más usuarios, coloca los usuarios en un mismo grupo o cópiala y cambia el nombre de usuario. Para aplicar la directiva a un grupo concreto, introduce su SID; para saber cuál es el del grupo que quieres, introduce en la línea de comandos lo siguiente: wmic nombredegrupo get name,sid Debes sustituir nombredegrupo por el nombre del grupo del dispositivo. Si no sabes su nombre, puedes generar la lista de grupos del dispositivo ejecutando la siguiente línea de comandos: wmic group get name,sid
   Allow|Deny	Selecciona la acción de esta directiva, ya sea bloquear ("Deny") o permitir ("Allow") las aplicaciones especificadas.
   NombreDeEditor	Es el nombre del editor de la aplicación (NombreDeEditor en el paso 2). Aquí puedes incluir el carácter comodín *, pero no expresiones regulares que incluyan caracteres comodín de prefijo o sufijo.
   NombreDeBinario	Es el nombre de archivo del binario (NombreDeBinario en el paso 2). Aquí puedes incluir el carácter comodín *, pero no expresiones regulares que incluyan caracteres comodín de prefijo o sufijo. Por ejemplo, para bloquear todos los archivos ejecutables, introduce * y, cuando añadas la configuración personalizada, selecciona el OMA-URI que termina en /EXE/Policy.
   NombreDeProducto	Es el nombre del producto (NombreDeProducto del paso 2). Aquí puedes incluir el carácter comodín *, pero no expresiones regulares que incluyan caracteres comodín de prefijo o sufijo.
   VersiónMásReciente	Es el número de la versión más reciente de la aplicación a la que se aplica esta directiva. Para bloquear todas las versiones de la aplicación, introduce *.
   VersiónMásAntigua	Es el número de la versión más antigua de la aplicación a la que se aplica esta directiva. Para bloquear todas las versiones de la aplicación, introduce *.

5. Guarda el archivo.

1. Sigue las instrucciones de la sección sobre cómo generar el código XML incluida en este artículo de Microsoft. Deja de seguir las instrucciones cuando llegues a la sección sobre cómo crear una directiva.

   Nota: En estas instrucciones se describe cómo crear una directiva para una aplicación instalada en el dispositivo. Si quieres crear una directiva para una aplicación que no esté instalada en el dispositivo, en el paso 6, selecciona Usar un instalador de aplicaciones empaquetadas como referencia.

2. Después de exportar el archivo XML, ve al editor de directivas de grupo y quita la directiva que has creado; si no lo haces, se aplicará en el dispositivo.

Esta directiva permite a los usuarios instalar únicamente aplicaciones firmadas, lo que también impide que los usuarios instalen aplicaciones sin firmar con el tipo de archivo especificado en el OMA-URI.

Para bloquear todas las aplicaciones sin firmar de cualquier tipo de archivo, añade un ajuste personalizado para cada tipo de archivo y usa el siguiente XML para indicar el valor.

Nota: En RuleCollection, Type debe ser el tipo de archivo de la aplicación. El valor puede ser "Exe" para archivos ejecutables, "Msi" para archivos MSI, "Script" para archivos Script, "Dll" en el caso de los archivos DLL o " Appx" para StoreApps. En FilePublisherRule, sustituye GUID por un GUID aleatorio que obtengas de un generador online.

<RuleCollection Type="Tipo" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Permitir todas las aplicaciones firmadas" Description="Permite que todos los usuarios ejecuten aplicaciones firmadas" UserOrGroupSid="S-1-1-0" Action="Allow">
     <Conditions>
       <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">   
         <BinaryVersionRange LowSection="*" HighSection="*" />
       </FilePublisherCondition>
     </Conditions>
   </FilePublisherRule>      
</RuleCollection> 

Para bloquear aplicaciones, debes incluir una sección <FilePublisherRule> que permita aplicaciones y los bloqueos <FilePublisherRule> por cada aplicación que quieras bloquear.

El formato general es:

<RuleCollection Type="Tipo" EnforcementMode="Enabled">
  <FilePublisherRule...>
    ...permitir aplicaciones...
  </FilePublisherRule>
  <FilePublisherRule...>
    ...condiciones para que la primera aplicación bloquee...
  </FilePublisherRule>
  <FilePublisherRule...>
    ...condiciones para que la primera aplicación bloquee...
  </FilePublisherRule>
</RuleCollection>

Nota: En RuleCollection, Type debe ser el tipo de archivo de la aplicación. El valor puede ser "Exe" para archivos ejecutables, "Msi" para archivos MSI, "Script" para archivos Script, "Dll" en el caso de los archivos DLL o " Appx" para StoreApps. En FilePublisherRule, sustituye GUID por un GUID aleatorio que obtengas de un generador online.

Por ejemplo, la siguiente directiva impide que los usuarios ejecuten tanto la "aplicación A" como la "aplicación B", que son archivos ejecutables:

<RuleCollection Type="Exe" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Permitir todas las aplicaciones firmadas" Description="Permite que todos los usuarios ejecuten aplicaciones firmadas" UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
  <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Bloquear la aplicación A" Description="Bloquea la aplicación A para todos los usuarios" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Software Company, L=London, C=GB" ProductName="APPLICATION A" BinaryName="APPA.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" /> 
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Bloquear la aplicación B" Description="Bloquea la aplicación B para todos los usuarios" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Solarmora Inc, L=Mountain View, S=California, C=US" ProductName="APPLICATION B" BinaryName="APPB.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" /> 
      </FilePublisherCondition> 
    </Conditions>
 </FilePublisherRule>
</RuleCollection>

_{Google, Google Workspace, así como las marcas y los logotipos relacionados, son marcas de Google LLC. Todos los demás nombres de empresas y productos son marcas de las empresas con las que están asociadas.}