Политики ограниченного использования программ.
 

Добрый день.

На сервер Windows 2008 R2 задействовал "Политики ограниченного использования программ", но в настройках указал чтобы для локальных администраторов это не распространялось. Но не могу понять есть пользователь с правами администратора, но он не может запустить программы которые явно не разрешены. А встроенная учетная запись администратора, позволяет это.

Проверил вхождение пользователя в другие группы и убрал, он присутствовал в группах "Пользователи", "Пользователи удаленного рабочего стола". Перезагрузил сервер, но у вы все так же не может запускать явно не указанные как разрешенные программы.

Подскажите в чем может быть проблема? Пользователь и встроенная учетная запись обе входят в группу "Администраторы" только.

Должно быть, причина кроется в UAC. Если все обычные пользователи работают со стандартными привилегиями, а администратор использует свой логин только по доказанной необходимости, UAC можно отключить, он может только мешать работать.

С другой стороны, лучше бы вы сделали так, чтобы SRP распространялись и на администраторов тоже. Это самые опасные пользователи в системе, их нужно защищать не менее, чем остальных. И, конечно же, не только на единичной машине, а на всех компьютерах сети без малейшего исключения.

Факт, но я но компе буду работать крайне редко. Проверю, вашу теорию.

Отключил UAC, теперь пользователи с правами администраторов могут запускать программы не входящие в список разрешенных, за пользователи входящие в группу пользователи не могут запускать программы, на которые явно указан тип разрешения "Неограниченный".

В чем может быть проблема?

Покажите, как это выглядит в правилах.
Покажите сообщение блокировки SRP из Application Event Log.
Расскажите, что именно и конкретно, нажимая что и куда пытаются запустить пользователи.

Доступ к C:\Users\Public\Desktop\1C Предприятие.lnk был ограничен администратором с помощью уровня политики ограничения использования программ по умолчанию.
Запускал ярлык с рабочего стола.

Пришлось разрешить запуск ярлыка, жесть в 2003 было проще, но в 2008 думаю будет лучше.

Читайте буквы: система вам чётко и прямо сообщает, что не программа заблокирована, а ярлык на неё.
Решение: удалите .lnk из списка обрабатываемых расширений. Это нужно делать как в 2003, так и в 2008. Всё, enjoy.

Если что, вносить все эти 1С в список не следовало, у вас же этот ехе-файл расположен в заведомо разрешённом пути %ProgramFilesDir%.