[решено] Неправильное применение групповой политики ограниченного использования программ

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Windows Server 2008/2008 R2 (http://forum.oszone.net/forumdisplay.php?f=97)

Неправильное применение групповой политики ограниченного использования программ

Домен, клиенты Windows 7 и Windows XP. Решил запретить пользователям запускать лишние файлы, находящие вне %programfiles% и некоторых исключений. На некоторых машинах программы перестали запускаться с ярлыков рабочего стола с ошибкой запрещения(будто пытаюсь запустить программу из неразрешенной зоны). В отчете по применению политики существует сообщение: "Не удается найти Отображаемые имена для некоторых параметров. Чтобы решить эту проблему, нужно обновить ADM-файлы, используемые средством управления групповой политикой".
В приложении более подробный отчет.

Цитата:

Цитата zionkv

На некоторых машинах программы перестали запускаться с ярлыков рабочего стола с ошибкой запрещения(будто пытаюсь запустить программу из неразрешенной зоны). »

Удалите из назначенные типы файлов значение lnk.
из отчета

Цитата:

При сборе информации для этого расширения произошла неизвестная ошибка. Подробности: Не удалось привести тип объекта "System.String[]" к типу "Microsoft.GroupPolicy.Reporting.Extensions.Registry.UnknownType".

тыц

Вот тут есть все что нужно по теме SRP http://www.sysadmins.lv/CategoryView...curitySRP.aspx

Однако на Windows XP SP3 данные процедуры не помогают.

Client side extensions устанавил
КД на Windows 2008 R2, консоль открывалась с КД
Убрал lnk из запрещенных расширений
После установки http://support.microsoft.com/kb/981750/EN-US пропали проблемы в результирующей политике на сервере(прилагается)

Проблема осталась(журнал с клиента Windows XP SP3):

Тип события: Предупреждение
Источник события: Software Restriction Policies
Категория события: Отсутствует
Код события: 865
Дата: 17.05.2012
Время: 17:56:18
Пользователь: Н/Д
Компьютер: MANAGER1
Описание:
Доступ к C:\Documents and Settings\All Users\Рабочий стол\1C Enterprise.lnk был ограничен Администратором политикой ограниченного использования программ.

Код:

%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir (x86)%

Уровень безопасности        Неограниченный

Описание        

Изменено        17.05.2012 7:45:58

%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir%

Уровень безопасности        Неограниченный

Описание        

Изменено        02.05.2012 4:24:37

Код:

C:\Program Files

Уровень безопасности        Неограниченный

Описание        

Изменено        17.05.2012 7:47:37

C:\Program Files (x86)

Уровень безопасности        Неограниченный

Описание        

Изменено        17.05.2012 7:47:49

одно и тоже. последнее уберите.

Убрал последние два пункта. Пока безрезультатно.

А оно и не даст результат. Да и политика применяется на пользователей, так от машин тут мало чего зависит кроме того факта что машинка может не применять\обновлять политики по каким-то причинам. С КД сделайте на пользователя хм... забыл как называется, в общем в этой оснастке в самом низу есть возможность сделать rsop на пользователя и посмотреть что применилось или применится к нему.

Цитата:

Запретить использование командной строки Включено
Запретить также обработку сценариев в командной строке? Да

А зачем люди ЭТО делают я вообще никогда не понимал и не пойму :(

В качестве защиты от вирусов, чтобы cmd не юзали.
RSOP сделать c сервера? А смысл, если на поколении Windows 7 все работает как положено? RSOP не работает на XP, там GPRESULT, но опять же, ведь политика применяет нормально, исходя из того, что новые запреты появляются корректно.

gpresult c проблемной машины для проблемного пользователя от администратора:

Цитата:

Цитата zionkv

Пока безрезультатно. »

как уже сказали и не должно было :) просто указал на билиберду

Цитата:

Цитата zionkv

В качестве защиты от вирусов, чтобы cmd не юзали. »

гм. пояните?

Цитата:

Цитата zionkv

Следующие политики GPO не были приняты, поскольку они отфильтрованы
--------------------------------------------------------------------
Default Domain Policy »

прикольно

Цитата:

Цитата zionkv

Примененные объекты групповой политики
---------------------------------------
Ярлык_и_список_баз_1cv77 »

таки где у Вас сам экзешник 1с находится?

Цитата:

Цитата zionkv

В качестве защиты от вирусов, чтобы cmd не юзали. »

ох лол. Посмеялся, спасибо, пишите еще.

В той же оснастке в которой редактируете и просматриваете политики обратите свой взор в самый низ, там что-то про результативную политику для пользователя или компьютера есть. Точнее могу сказать завтра, если не будет лень.

Цитата:

Цитата zionkv

RSOP не работает на XP, там GPRESULT »

Блин, меня тут просили не выражаться на форуме :( Буду стараться...

покажите скрин настроек SRP что ли.

Цитата:

Цитата t3mk4

там что-то про результативную политику для пользователя или компьютера есть »

да, мастер называется Result Policy

Цитата:

Цитата zionkv

RSOP не работает на XP »

rsop.msc

Цитата:

Цитата cameron

покажите скрин настроек SRP что ли. »

Сами настройки уже есть в аттаче, мне больше интересно что применилось на пользователя и откуда правда берется ехешник 1с.

мне одной кажется что используется путь %allusersprofile%\*.ink? =)

Кажется, потому что это правило вообще ничего не делает, точнее делает, но в данном случае фигню :)

Цитата:

Цитата leonty

гм. пояните? »

Часто видел окно cmd во время работы вирусов, оттуда и мнение, плюс запрет vbs не помешает, так как вся затея исключительно ради борьбы с вредоносным ПО.

Цитата:

Цитата leonty

прикольно »

Что странного? У меня нет политики,которую я хочу применить ко всему домену, т.е. включительно к КД, все политики находятся глубже, одни географические, другие инфраструктурные по предприятию.

Цитата:

Цитата leonty

таки где у Вас сам экзешник 1с находится? »

C:\program files\1c\...чего-то там вроде common\1cтра-та-та.exe

Цитата:

Цитата t3mk4

Блин, меня тут просили не выражаться на форуме Буду стараться... »

Цитата:

Цитата cameron

rsop.msc »

Пардон.

Цитата:

Цитата cameron

мне одной кажется что используется путь %allusersprofile%\*.ink? »

А какая разница, если запрета в ГПО нет ни на то, ни на это. Я уже и разрешение ставил для *.ink, *.lnk.

Цитата:

Цитата zionkv

Часто видел окно cmd во время работы вирусов, оттуда и мнение, плюс запрет vbs не помешает, так как вся затея исключительно ради борьбы с вредоносным ПО. »

вот она безопасность моей мечты!

Цитата:

Цитата zionkv

C:\program files\1c\...чего-то там вроде common\1cтра-та-та.exe »

Ну тогда сделайте что-нибудь там где-то пам пам пам и заработает, да.

И когда будет отчет

Цитата:

Цитата cameron

Цитата:

Цитата t3mk4

там что-то про результативную политику для пользователя или компьютера есть »

да, мастер называется Result Policy »

Скрины:

Цитата:

Цитата t3mk4

Ну тогда сделайте что-нибудь там где-то пам пам пам и заработает, да. »

Суть ведь передал? C:\program files\...

Цитата:

Цитата t3mk4

И когда будет отчет »

Теперь только в шесть часов, временно пришлось отключить всю политику.

Хм, оригинально... А тестовую ОУ сделать и тестовым пользователем?

На win7,win2008r2 все работает адекватно, Hyper-V не используется, VirtualBox поставить нельзя - упадет сеть до перезагрузки сервера.(С этим сегодня же вечером разберусь, но пока так)

local.local не я придумал, так уж вышло =((

Ехешник самой 1с запустите из папки 1с (НЕ через ярлык, а сам ехешник), выдает ошибку SRP?

С самого начала exe запускались согласно политике, то бишь абсолютно адекватно.

c:\*.lnk
это ярлыки из корня С:, а не рекурсивно.

Цитата:

Цитата cameron

c:\*.lnk
это ярлыки из корня С:, а не рекурсивно. »

Не верю, в руководстве по SRP для Program Files указано C:\Program Files\*.exe, аналогично этому и c:\*.lnk.

Вечером буду проверять и запуск lnk из корня и остальные советы.

Столкнувшимся с проблемой, советую читать

http://blog.windowsnt.lv/2011/05/30/...h-srp-russian/

и, если таки не помогло:

http://social.technet.microsoft.com/...a-fda3c5038b42