software restriction policy и Outlook 2003

[Tushka]

Hi all.

поставил новый терминальный сервер win2003, на нем office 2003.
все работает, Outlook запускается и коннектится к другому серверу с Exchange
на этом терминальном сервере настраиваю software restriction policy.

после установки в политике уровня по умолчанию "не разрешено" (Disallowed) начинается глюкалово - Outlook пытается загрузиться, но тут же отваливается с ошибкой:
"Не удается запустить Microsoft Office Outlook. Не удается открыть окно Outlook. Не удается открыть набор папок. Подключение к серверу Microsoft Echange Server недоступно. Для завершения команды Outlook требуется постоянное или временное подключение к серверу."

При этом в политике прописаны правила с уровнем "неограниченный" (Unrestricted) для:
%userprofile%\Local Settings\
C:\Program Files\Microsoft Office
т.е. EXEшник Outlook'a запускается, и PSTшку находить должен.

при этом же можно снести подключение к Exchange и снова к нему подключиться (через Панель управления - почта) - т.е. вроде бы сервер Exchange видится и общение есть

При смене уровня по умолчанию обратно на "неограниченный" (Unrestricted) глюк остается
причем даже под пользователем с админскими правами

Глюк лечится только сносом и повторной установкой Office

при активировании software restriction policy все начинается снова.

Что посоветуете делать?
Спасибо.

[exo]

software restriction policy »
смотреть что за политики там... а какова цель software restriction policy ?

[Tushka]

цель стандартная - ограничить использование нелигитимных программ пользователями терминального сервера.

что именно про политики я написал непонятно?
уровень по умолчанию задает общую направленность политик - запретить все и разрешить нужное ("не разрешено" (Disallowed)) или разрешить все, запретить ненужное ("неограниченный" (Unrestricted))

я выбираю первый путь, при этом давая полный доступ к папке с приложением (C:\Program Files\Microsoft Office) и папке с файлами данных (%userprofile%\Local Settings\)

Word, Excel и т.д. работают нормально.

[exo]

запретить все »
разрешить нужное »
приоритет DENY и Alloy знаете? если вы что-то явно запрещаете - вы потом никакими разрешениями не разрешите.
Т.е. запретив всё, вы запрещаете Аутлук, и потом разрешение его отдельно не будет перекрывать запрет.

[Tushka]

Я благодарен Вам за ответ, но у меня возникает впечатление, что Вы слабо владеете темой настройки данных политик. Данные политики работают совсем не так, как, например, разрешения NTFS (с чем Вы видимо их и путаете), а по принципу, например, фаерволла.
Кроме того, если Вы внимательно вчитаетесь в написанное мной, то увидите, что, несмотря на "запрет всего", это же разрешающее правило работает для других приложений.
Ну и кроме того, есть разрешающие правила для других приложений, которые так же работают.
проблема именно с Outlook.

[Delirium]

Tushka, вы не пробовали мониторить файлмонитором и регмонитором при запуске outlook? Вполне возможно, что почтовик лезет в другие папки, куда доступа нет.

[monkkey]

C:\Program Files\Common Files\Microsoft Shared - про это забыли
И проверьте разрешения на соответствующие разделы реестра.

[Tushka]

Сегодня утром добавлял:

%USERPROFILE%
\\server (где живет Exchange)
C:\Program Files\Common Files\
C:\WINDOWS\AppPatch
C:\WINDOWS\system32
C:\WINDOWS\WindowsShell.Manifest
C:\WINDOWS\WinSxS

не помогло

до реестра не добрался, но посмотрел одним глазом - там столько веток, что кажется проще вообще открыть все
смысл тогда вообще software restriction policy делать, если реестр открыт?

[Tushka]

похоже что проблема не в политиках - сегодня удалил, перезагрузился 100 раз, переставил Office - ошибка не исчезла

[exo]

Tushka, вопрос: есть name.exe, может находится у каждого пользователя в разных дерикториях. Можно ли в доменной политике запретить вообще этот ехе, где бы он не находился ?

[Tushka]

да, там маски и переменные можно использовать

вообще тут есть перевод оф. статьи микрософта
http://www.oszone.net/3979/Software_Restriction_Policies

оригинал на английском
http://technet.microsoft.com/en-us/library/bb457006.aspx

в общем ситуация усугубилась
видимо винда заглючила - отключение\удаление политик, переустановка Office, все с перезагрузками - не помогает, ошибка все равно присутствует.
т.е. Outlook перестал работать вообще
если снести конфигурацию Outlook - то позволяет заново настроить подключение к Exchange, открывается, но после закрытия - при повторном октрытии снова описанная ошибка.

накатил поверх Office 2007 - работает при включенных политиках
сейчас еще немного покручу - и снесу, попробую снова Office 2003