[cameron]

Вопрос - а что будет при попытке установить/обновить программное обеспечение через "Установка программ" групповых политик? msi-инсталлятор распакуется во временный каталог и не сможет оттуда запуститься? Или я ошибаюсь? »

параметры ПК? тогда ничего не будет - SRP не распространяется на SYSTEM.

[Michael]

cameron, да, софт распространяется через секцию "Конфигурация компьютера". Спасибо.
А если бы распространение было настроено через конфигурацию пользователя, то каким образом решалась бы проблема с обновлением? Перенесением софта в параметры компьютера или временным отключением политик ограниченного использования программ?

[cameron]

А если бы распространение было настроено через конфигурацию пользователя, то каким образом решалась бы проблема с обновлением? »

сперва вам пришлось бы решить проблему с тем, что в контексте пользователя MSI не установить по причине отстутствия прав на установку ПО.

Перенесением софта в параметры компьютера или временным отключением политик ограниченного использования программ? »

моё мнение по данному вопросу простое - есть механизмы установки ПО в контексте УЗ ПК или через агентов (SCCM\Emco\etc), которыми и надо пользоваться, а не иметь головняк в виде разворачивания софта в контексте пользователя.

Michael,
ну и ещё, на вашем месте, я бы ещё раз подумала, какую цель я хочу достигнуть этими действиями

Уровень безопасности - неограниченный (Доступ программ к ресурсам определяется правами пользователя) »

В дополнительных правилах пропишу запрет на запуск из временных каталогов (%temp%, %tmp%, Temporary Internet Files). »

я предпочитаю ставить SRP в запрещено и указывать то, что разрешено.

[Michael]

сперва вам пришлось бы решить проблему с тем, что в контексте пользователя MSI не установить по причине отстутствия прав на установку ПО. »

упс... не подумал...

есть механизмы установки ПО в контексте УЗ ПК »

извиняюсь, а УЗ это что?? не соображу никак...

[cameron]

извиняюсь, а УЗ это что?? не соображу никак... »

Учётная Запись

[Michael]

на вашем месте, я бы ещё раз подумала, какую цель я хочу достигнуть этими действиями »

цель - защита от вирусов, передающихся по электронной почте.
Сотрудники работают под ограниченной учетной записью с правами пользователя, доступа в интрент практически нет, запуск программ со съемных носителей запрещен. Думаю достаточно.

Если идти по вашему варианту - на запуск что разрешаете? %ProgramFiles% и %WinDir% ?

[Michael]

И еще вопрос - почему в дополнительных правилах прописаны пути вида
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%
и
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir%
а не
%SystemRoot%
и
%ProgramFiles%
соответственно?

[cameron]

Если идти по вашему варианту - на запуск что разрешаете? %ProgramFiles% и %WinDir% ? »

в общем и целом да, хотя этот вариант недостаточно хорош - кое куда пользователь писать может
стараюсь указывать пути в именем файла или хеш оного.

И еще вопрос - почему в дополнительных правилах прописаны пути вида %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot% и %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir% а не %SystemRoot% и %ProgramFiles% соответственно? »

этого я не знаю.

есть хорошее, почти готовое решение от MVP с ником WindowsNT (его ПРОТОКОЛ).
ознакомьтесь, крайне полезное чтиво.

[Michael]

cameron, спасибо за советы.
P.S. найдя решение от WindowsNT оказалось, что именно по нему я с этим вопросом и разбирался