Làm cách nào để định cấu hình Windows chỉ thực thi .exe khi ký chứng chỉ?

Tôi muốn chạy (trên một máy tính nhất định có Windows 10) chỉ những exe đó. các tệp được ký bởi chứng chỉ được cài đặt trên máy tính (có thể là chứng chỉ từ CA hoặc chứng chỉ kiểm tra của riêng tôi).

Tôi đã thử giải pháp này (và nhiều giải pháp khác): Làm cách nào để định cấu hình Windows không thực thi các tệp nhị phân giả mạo?

nhưng không ai trong số họ giải quyết vấn đề của tôi.

Tôi đã viết hai ứng dụng "HelloWorld" (có ký chứng chỉ và không ký chứng chỉ). Nhưng tất cả các giải pháp mà tôi đã thử đều cho phép chạy cả hai ứng dụng.

Làm cách nào để định cấu hình Windows10 để chỉ thực thi .exe khi ký chứng chỉ?

Có cấu hình AppLocker:

<AppLockerPolicy Version="1">
  <RuleCollection Type="Appx" EnforcementMode="NotConfigured" />
  <RuleCollection Type="Dll" EnforcementMode="NotConfigured" />
  <RuleCollection Type="Exe" EnforcementMode="Enabled">
    <FilePathRule Id="921cc481-6e17-4653-8f75-050b80acca20" Name="(Default Rule) All files located in the Program Files folder" Description="Allows members of the Everyone group to run applications that are located in the Program Files folder." UserOrGroupSid="S-1-1-0" Action="Allow">
      <Conditions>
        <FilePathCondition Path="%PROGRAMFILES%\*" />
      </Conditions>
    </FilePathRule>
    <FilePathRule Id="a61c8b2c-a319-4cd0-9690-d2177cad7b51" Name="(Default Rule) All files located in the Windows folder" Description="Allows members of the Everyone group to run applications that are located in the Windows folder." UserOrGroupSid="S-1-1-0" Action="Allow">
      <Conditions>
        <FilePathCondition Path="%WINDIR%\*" />
      </Conditions>
    </FilePathRule>
    <FilePublisherRule Id="d5c14ef6-5a5e-4863-aa49-a9ebbcab1afc" Name="Only run executables that are signed" Description="" UserOrGroupSid="S-1-1-0" Action="Allow">
      <Conditions>
        <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
          <BinaryVersionRange LowSection="*" HighSection="*" />
        </FilePublisherCondition>
      </Conditions>
    </FilePublisherRule>
  </RuleCollection>
  <RuleCollection Type="Msi" EnforcementMode="NotConfigured" />
  <RuleCollection Type="Script" EnforcementMode="NotConfigured" />
</AppLockerPolicy>