Tożsamość aplikacji (AppIDSvc)

Co musisz wiedzieć

Co robi Tożsamość aplikacji?

Dostarcza sprawdzenia tożsamości aplikacji używane przez wymuszanie zasad AppLocker.

Czy mogę wyłączyć Tożsamość aplikacji?

Wyłączenie tej usługi może osłabić wymuszanie kontroli aplikacji. Nie należy używać wyłączania usługi jako obejścia dla zablokowanej aplikacji. Przed zmianą zachowania podczas uruchamiania należy potwierdzić zainstalowaną funkcję i jej obowiązującą zasadę.

Dlaczego Tożsamość aplikacji jest zatrzymana?

Stan i konfiguracja uruchamiania to dwie różne rzeczy. Składnik uruchamiany na żądanie może być zatrzymany pomiędzy żądaniami; zbadaj faktyczne działanie funkcji i wszelkie błędy sterowania usługą.

Czy proces korzystający z Tożsamości aplikacji jest bezpieczny?

Sprawdź faktycznie uruchomiony plik, jego wystawcę certyfikatu, ścieżkę i zachowanie. Sama znajoma nazwa usługi lub pasująca nazwa pliku nie przesądza o bezpieczeństwie.

Co robi ta usługa i kiedy ją badać

Dostarcza sprawdzenia tożsamości aplikacji używane przez wymuszanie zasad AppLocker.

Zbadaj tę usługę, gdy jej własny stan lub dowody z zdarzeń zbiegają się z dotkniętą funkcją. Podobna nazwa w Menedżerze zadań, pojedyncza próbka użycia zasobów lub zatrzymany stan bez niesprawnej puli zadań nie stanowią diagnozy. Rozpocznij od dokładnej operacji opisanej poniżej i zachowaj oryginalną konfigurację systemu do porównania.

Wersje systemu Windows, nazwy usług i założenia dotyczące uruchamiania

Dla tej konkretnej usługi przywoływana tabela IoT Enterprise rejestruje kategorię uruchamiania Ręczny. Jest to udokumentowany przykład dla określonego środowiska IoT, a nie pomiar Twojego komputera. Porównaj lokalny StartMode i efektywną zasadę zarządzania przed uznaniem różnicy za usterkę.

Tabela usług Microsoft IoT Enterprise identyfikuje ten składnik pod jego identyfikatorem usługi. Tabela ta obejmuje urządzenia o stałej funkcji z systemem Windows IoT Enterprise, w tym udokumentowane warianty Windows 10 i Windows 11. Wskazówki dotyczące jej uruchamiania i wyłączania są ograniczone do tych scenariuszy; nie są uniwersalnym zaleceniem dotyczącym dostrajania dla domowego systemu Windows, każdego obrazu korporacyjnego lub każdej instalacji systemu Windows Server.

Dostępność usługi może zależeć od zainstalowanej edycji, kompilacji, funkcji opcjonalnych, kontekstu konta i konfiguracji organizacyjnej. Użyj polecenia winver lub zarządzanego spisu, aby zarejestrować zainstalowaną kompilację. Porównaj ją z zakresem produktu na powiązanych stronach firmy Microsoft. Jeśli źródło omawia inną edycję lub starszą bazę systemu Windows Server, użyj go do zrozumienia funkcji, zamiast kopiować jej domyślne ustawienia.

Użyj identyfikatora usługi zamiast polegać tylko na przetłumaczonej nazwie wyświetlanej. Kilka powiązanych usług może mieć podobne przyjazne nazwy. Brak rejestracji może wskazywać na niedostępną lub niezainstalowaną funkcję; nie jest to dowód, że usługę trzeba odtworzyć lub pobrać.

Sprawdź faktyczną rejestrację przed jej zmianą

Poniższe przykłady to lokalne, tylko do odczytu polecenia inspekcji dla programu Windows PowerShell. Nie instalują, nie zatrzymują, nie restartują, nie włączają ani nie wyłączają usługi. Użyj autoryzowanego konta; niektóre pola i dzienniki mogą wymagać uprawnień administracyjnych. Nie uruchamiaj poleceń w niezaufanej sesji zdalnej.

Get-CimInstance Win32_Service -Filter "Name='AppIDSvc'" | Select-Object Name,DisplayName,State,StartMode,StartName,ProcessId,PathName Kopiuj

Dane wyjściowe oddzielają nazwę wewnętrzną, przyjazną nazwę wyświetlaną, aktualny stan, tryb uruchamiania, konto usługi, identyfikator procesu i skonfigurowane polecenie uruchomienia. Skonfigurowana ścieżka nie jest dowodem na to, że każdy plik ładowany przez proces jest godny zaufania.

sc.exe query "AppIDSvc" Kopiuj

sc.exe qc "AppIDSvc" Kopiuj

Użyj sc.exe jawnie w programie Windows PowerShell, gdzie krótsza pisownia sc może odnosić się do innego polecenia. Przeczytaj zwrócony stan i konfigurację przed podjęciem decyzji, co wymaga zbadania. Zapytanie zwracające odmowę dostępu wymaga sprawdzenia autoryzacji; zapytanie zgłaszające brak usługi wymaga sprawdzenia produktu i instalacji, a nie natywnej rekonstrukcji rejestru.

Sprawdź zależności i proces hosta

Sprawdź zarówno wymagania wstępne, jak i zależności odwrotne na badanym komputerze. RequiredServices wyświetla zarejestrowane wymagania wstępne; DependentServices wyświetla usługi deklarujące zależność od tej usługi. Są to zainstalowane relacje sterowania usługami, a nie wyczerpująca mapa każdej aplikacji, zadania zaplanowanego lub systemu zdalnego, który może polegać na tej funkcji.

Get-Service -Name 'AppIDSvc' -RequiredServices Kopiuj

Get-Service -Name 'AppIDSvc' -DependentServices Kopiuj

Użyj zaobserwowanego identyfikatora ProcessId, aby zidentyfikować uruchomionego hosta, i porównaj jego ścieżkę pliku wykonywalnego oraz wystawcę certyfikatu za pomocą Menedżera zadań lub zaufanego narzędzia Microsoft Sysinternals. Jeśli zgłoszony identyfikator procesu wynosi zero lub nie ma uruchomionej instancji, nie ma żywego hosta do sprawdzenia za pomocą tej wartości. Jeśli host zawiera kilka usług, jego całkowite użycie procesora lub pamięci nie może być przypisane do tej usługi tylko na podstawie nazwy procesu.

Identyfikatory procesów mogą być używane ponownie. Zarejestruj czas obserwacji i sprawdź ponownie identyfikator przed podjęciem działania. Nie kończ działania współdzielonego hosta usługi (Service Host) w celu przetestowania pojedynczej usługi; może to przerwać działanie innych hostowanych składników.

Skupiona sekwencja rozwiązywania problemów

Określ, czy AppLocker jest faktycznie wdrożony i który obowiązujący zestaw reguł jest zaangażowany. Zablokowany plik wykonywalny i błąd uruchomienia usługi to odrębne ustalenia.

Przeczytaj wpisy dziennika zdarzeń AppLocker dla konkretnej aplikacji i wyniku reguły. Przed zażądaniem zmiany zasady przetestuj zatwierdzoną aplikację na dotkniętym koncie.

Odróżnij decyzję o zapobieganiu lub egzekwowaniu od błędu dostępności. Odrzucona operacja może być zamierzonym wynikiem zasady. Przed zaproponowaniem jakiegokolwiek wyjątku zidentyfikuj obowiązującą regułę, konto, cel i czas.

1. Zapisz dokładną operację, która się nie powiodła, dotknięte konto, urządzenie lub punkt końcowy oraz czas awarii. Zachowaj pełny tekst błędu przed zamknięciem okna dialogowego.
2. Zarejestruj stan usługi i konfigurację na tym samym komputerze. Porównaj, czy funkcja jest brakująca, odrzucona przez zasady, nie może się uruchomić, czy ulega awarii po uruchomieniu.
3. W Podglądzie zdarzeń porównaj wpisy Menedżera sterowania usługami w dzienniku System z odpowiednim kanałem aplikacji lub funkcji w okolicach zarejestrowanego czasu. Potwierdź kontekst dostawcy i komunikatu przed użyciem identyfikatora zdarzenia znalezionego w Internecie.
4. Odtwórz raz za pomocą najmniejszego obsługiwanego porównania opisanego w tym artykule. Jeśli wynik się różni, zarejestruj, który etap uległ zmianie, zamiast natychmiast stosować szeroki reset.
5. Użyj ścieżki naprawy specyficznej dla funkcji firmy Microsoft lub dostawcy uzasadnionej dowodami, a następnie powtórz oryginalną operację i zweryfikuj jej wynik.

Jeśli nie występują odpowiednie błędy sterowania usługą, kontynuuj badanie funkcji lub aplikacji zamiast wymuszać ponowne uruchomienie. Z kolei awaria uruchomienia usługi wymaga jej faktycznego stanu wyjścia i otaczających zdarzeń; sam ogólny komunikat o przekroczeniu czasu nie identyfikuje pojedynczej naprawy.

Zatrzymana, ręczna lub nie znaleziona: co oznacza ten wynik

Uruchomiona opisuje bieżący stan; tryb uruchamiania opisuje konfigurację. Usługa uruchamiana ręcznie lub wyzwalana zdarzeniem może zostać zatrzymana pomiędzy żądaniami. Odtwórz obsługiwane działanie funkcji i porównaj przejście stanu przed wyciągnięciem wniosku, że powinna ona działać cały czas.

Jeśli usługa nie zostanie znaleziona, potwierdź jej dokładny identyfikator, docelowy komputer oraz czy zainstalowana jest jej funkcja systemu Windows. Jeśli odmówiono dostępu, zachowaj błąd i sprawdź autoryzację lub zasady zarządzania. Nie wyciągaj wniosków o braku na podstawie jednego widoku o ograniczonych uprawnieniach i nie twórz zastępczej rejestracji z niepowiązanego komputera.

Operacja uruchamiania może się nie powieść z powodu wymagań wstępnych, konfiguracji, uprawnień konta, stanu funkcji lub składnika, który uruchamia. Unikaj stosowania stałej wartości uruchamiania skopiowanej z innej edycji lub obrazu systemu Windows; porównaj rzeczywistą zarządzaną bazę dla tego komputera.

Badanie wysokiego użycia procesora, pamięci, dysku lub sieci

Zarejestruj krótką serię czasową podczas odtwarzania rzeczywistego obciążenia. Oddziel krótki impuls związany z logowaniem, konfiguracją, synchronizacją lub aktualizacją od pracy, która wielokrotnie nie kończy się powodzeniem. Zarejestruj obciążenie aplikacji i interwał użyty do porównania; ten artykuł nie narzuca uniwersalnego bezpiecznego procentu lub progu pamięci.

Użyj bieżącego mapowania procesów i odpowiedniego narzędzia wydajnościowego, aby połączyć aktywność zasobów z żądającą funkcją. Zestaw roboczy współdzielonego hosta nie jest alokacją na usługę, a etykieta stanu nie ustala, który składnik wygenerował każdą operację dyskową lub żądanie sieciowe. Jeśli użycie zasobów zmieni się po obsługiwanej naprawie, zweryfikuj, czy funkcja nadal działa, przed przypisaniem przyczyny.

Czy możesz ją zatrzymać lub wyłączyć?

Wyłączenie tej usługi może osłabić wymuszanie kontroli aplikacji. Nie należy używać wyłączania usługi jako obejścia dla zablokowanej aplikacji.

Podczas badania zachowaj dostępną ścieżkę odzyskiwania ochrony lub szyfrowania. Nie wyłączaj współdzielonego składnika bezpieczeństwa, nie osłabiaj walidacji certyfikatów ani nie przyznawaj szerokich uprawnień tylko po to, aby test się powiódł. Po każdej zatwierdzonej naprawie potwierdź, że oryginalna operacja działa zgodnie z zamierzoną zasadą.

Traktuj zatrzymanie, ponowne uruchomienie i wyłączenie jako różne operacje. Ponowne uruchomienie przerywa bieżącą pracę; wyłączenie zmienia przyszłe zachowanie podczas uruchamiania. Możliwość żądania zmiany nie dowodzi, że zmiana jest bezpieczna, obsługiwana lub dozwolona przez zasady organizacyjne. Ten artykuł celowo podaje najpierw polecenia inspekcji, a nie uniwersalne polecenie zatrzymania lub wyłączenia.

Odzyskiwanie, potwierdzenie i lista kontrolna eskalacji

Przed zatwierdzeniem zmiany konfiguracji zarejestruj oryginalne ustawienia uruchamiania, konto usługi, zależności i odpowiednie zasady funkcji. Uzyskaj okno konserwacyjne i znaną ścieżkę dostępu do odzyskiwania, gdy użytkownicy, pamięć masowa, uwierzytelnianie lub administracja zdalna mogą zostać dotknięte. Przechowuj kopie zapasowe i materiały odzyskiwania poświadczeń w autoryzowanej bezpiecznej lokalizacji, a nie w transkrypcji wsparcia.

Zmieniaj jedno uzasadnione ustawienie naraz, korzystając z obsługiwanej procedury właściciela produktu lub administratora. Jeśli wynik jest gorszy, przywróć zarejestrowaną konfigurację za pośrednictwem tej samej obsługiwanej ścieżki zarządzania. Nie zgaduj uprawnień usług, nie zastępuj konta usługi administratorem, nie importuj kluczy rejestru z innej kompilacji systemu Windows ani nie traktuj udanego uruchomienia usługi jako dowodu na odzyskanie sprawności aplikacji.

Potwierdź odzyskanie sprawności, powtarzając oryginalną operację, sprawdzając jej wynik i porównując zdarzenia usługi oraz aplikacji w ramach tego samego rodzaju obciążenia. Sprawdź, czy zależne funkcje nadal działają i czy objaw nie powraca natychmiast. Jeśli przyczyna pozostaje niejasna, zachowaj nieudany test jako dowód zamiast ponawiać destrukcyjne naprawy.

• Uwzględnij identyfikator usługi i rzeczywistą nazwę instancji, edycję/kompilację systemu Windows, dotkniętą funkcję oraz informację, czy urządzenie jest zarządzane.
• Uwzględnij sygnaturę czasową stanu usługi, dane wyjściowe zależności, dokładny błąd aplikacji oraz odpowiedniego dostawcę zdarzeń i komunikat.
• Uwzględnij najmniejsze odtworzenie, podjęte obsługiwane zmiany i ich zaobserwowane wyniki.
• Przed udostępnieniem dzienników usuń hasła, klucze odzyskiwania, tokeny dostępu, klucze prywatne, zawartość plików osobistych i niepotrzebne identyfikatorów.

Powiązane

Te elementy są powiązane z tym artykułem. Typ jest podany przy każdym łączu.

Źródła i weryfikacja

Własność redakcyjna: Feex. Nie odnotowano daty niezależnego przeglądu. Jak prowadzimy badania.

• Microsoft: Wskazówki dotyczące usług Windows IoT Enterprise · Dokładny wiersz usługi (AppIDSvc). Zakres Windows 10/11 IoT Enterprise; nie jest to uniwersalne zalecenie konfiguracyjne.
• Microsoft: Architektura usług systemu Windows · Architektura cyklu życia i zarządzania usługami; poniższa interpretacja diagnostyczna to wskazówki redakcyjne Feex.
• Microsoft: Właściwości Win32_Service · Definicje stanu, trybu uruchamiania, tożsamości usługi, identyfikatora procesu i skonfigurowanej ścieżki pliku wykonywalnego.
• Microsoft: Get-Service · Odkrywanie usług tylko do odczytu i inspekcja zależności. Przykłady są przeznaczone dla programu Windows PowerShell.
• Zapytanie Microsoft: sc.exe · Wynik stanu usługi i składnia nazwy usługi.
• AppLocker · Odniesienie do badania specyficznego dla funkcji; należy przestrzegać jego podanego zakresu produktu i wersji.
• Przegląd Zapory systemu Windows · Kontekst obszaru diagnostycznego, a nie dowód ustalonej listy zależności lub uniwersalnej konfiguracji uruchamiania.