Отправляет email-рассылки с помощью сервиса Sendsay

RFpro.ru: Windows 2000/XP/2003/Vista администратору

Подписаться Бесплатная «Золотая» новостная рассылка . Подписчиков 5.309 RSS
←   Ноябрь 2010   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30


За последние 60 дней ни разу не выходила


Сайт рассылки: http://admin.rusfaq.ru/winnt
Открыта: 14-03-2002

Автор
Калашников О.А.

Статистика

5.309 подписчиков
0 за неделю
←   Все выпуски   →

RFpro.ru: Windows 2000/XP/2003/Vista администратору


Хостинг портала RFpro.ru:
Московский хостер
Профессиональный ХОСТИНГ на базе Linux x64 и Windows x64

РАССЫЛКИ ПОРТАЛА RFPRO.RU

Лучшие эксперты данной рассылки

Гуревич Александр Львович
Статус: Профессионал
Рейтинг: 4699
∙ повысить рейтинг » 		Андреенков Владимир aka Black Cloud
Статус: Профессионал
Рейтинг: 4121
∙ повысить рейтинг » 		Валерий Ахметович Набиуллин aka ValeryN
Статус: Мастер-Эксперт
Рейтинг: 3768
∙ повысить рейтинг »

/ КОМПЬЮТЕРЫ И СОФТ / Установка и настройка ОС / Windows 2000/XP/2003/Vista/2008 администратору

Номер выпуска:1668
Дата выхода:10.11.2010, 11:00
Администратор рассылки:F®ost (Модератор)
Подписчиков / экспертов:687 / 410
Вопросов / ответов:1 / 1

Вопрос № 180516: Доброго времени суток, уважаемые эксперты. Вопрос о групповых политиках в домене Windows Server 2003. Конкретнее - о политиках ограниченного использования программ. В домене создана политика ограниченного использования программ в разделе...

Вопрос № 180516:

Доброго времени суток, уважаемые эксперты.
Вопрос о групповых политиках в домене Windows Server 2003.
Конкретнее - о политиках ограниченного использования программ.

В домене создана политика ограниченного использования программ в разделе Конфигурация пользователя. Применяется эта политика только для указанных мной учетных записей. В этот список разумеется не входит учетная запись администратора домена.
Политики применяются к различным расширениям исполняемых файлов.
Политики примерно следующие:
1) Везде запуск файлов запрещён.
2) Запуск в папках Windows и Program Files разрешен.
3) Запуск в ещё некоторых папках разрешён.
4) Включено логирование выполнения политики.

Суть проблемы.
При входе пользователя, которому назначена политика, в систему все правила применяются корректно: при запуске неразрешенного приложения выдаётся соответствующее системное сообщение и в лог заносится имя приложения и идентификатор запре щающего правила.
Но если в сеансе этого пользователя запустить приложение из запрещенного каталога от имени учетной записи локального или доменного администратора, то приложение не запускается, выдаётся точно такое же системное сообщение об ограничении доступа и в лог заносится запись, что доступ был запрещён согласно "default rule, GUID={11015445-d282-4f86-96a2-9e485f593302}".
В реестре локального компьютера записи об этой политике я не нашёл, а вот записи обо всех политиках ограничения доступа, созданных мной в домене, в реестре присутствуют.
При этом, если в этом же сеансе пользователя запустить от имени локального или доменного администратора Total Commander и в нём запустить приложение из запрещенной области, то доступ происходит нормально, без ограничений.

Помогите разобраться с этими непонятками.

Сразу постараюсь ответить на неско лько возможных вопросов:
1) Политики применяются на уровне пользователя, а не компьютера потому что некоторые пользователи посменно работают на одном компьютере, имеют на нём одинаковые права, но разные права на запуск программ.
2) В настройках политики галочка "не применять для локальных администраторов" включена, хотя я и читал, что она действует только на уровне компьютера.
3) Несмотря на то, что "проблема", как я написал выше, решается запуском нужного приложения из Total Commandera под правами локального администратора, всё же не хотелось бы зависеть в этом деле от каких-то сторонних программ.
4) По поводу политики с GUID={11015445-d282-4f86-96a2-9e485f593302} я много искал в интернете, но так и не нашёл, что это за политика по-умолчанию, и какие ограничения она вносит.

Буду благодарен за любой ответ.

Отправлен: 31.10.2010, 05:49
Вопрос задал: Dipauler (Профессионал)
Всего ответов: 1
Страница вопроса »

Отвечает F®ost (Модератор) :
Здравствуйте, Dipauler!
© Цитата: перенос поиска решения проблемы из мини-форума

31.10.2010, 07:19 Vasiliy83 Профессионал
Dipauler: ТУТ наткнулся на следующее:
© Цитата: самое забавное, что щелчок по ярлыку IE на рабочем столе его тоже не запускает (хотя прямой запуск из Проводника в рабочей папке IE сработает). Отменяем действие политики, чтобы посмотреть журнал ее применения (иначе Блокнот тоже не запустится). Наткнувшись на строчку вида explorer.exe (PID = 372) identified C:\Documents and Settings\администратор\Рабочий стол\Запустить обозреватель Internet Explorer.lnk as Disallowed using default rule, Guid = {11015445-d282-4f86-96a2-9e485f593302} вспоминаем, что ярлыки (то есть файлы с расширением .lnk) также расцениваются как исполняемый код. Поскольку у нас разрешен Проводник, нет особой нужды запрещать запуск ярлыков, тем более, что мы разрешаем запускать лишь определенные программы. Поэтому просто удалим тип LNK из списка назначенных типов файлов.
Получается, что правило по умолчанию запрещает запуск всего, что и было установлено в данном руководстве несколькими пунктами ранее:
© Цитата: Для обеспечения действенного запрета на использование нежелательных программ необходимо использовать уровень безопасности Не разрешено. Для изменения уровня необходимо сделать двойной щелчок мышью на нужном параметре и в открывшемся окне нажать кнопку По умолчанию, или, щелкнув правой кнопкой мыши выбрать в контекстном меню команду По умолчанию.
по всей видимости Вы также используете по умолчанию правила полного запрета, а значит в случае попытки запуска запрещенного приложения срабатывает именно оно. на счет невозможности запуска напрямую от имени администратора - может вариант с ярлыками, описанный в данном руководстве и есть Ваша проблема?

01.11.2010, 09:26 Dipauler Профессионал
Vasiliy83: Здравствуйте. Спасибо за Ваше замечание. Совсем забыл уточнить, что мои политики ограничения не применяются к ярлыкам. Специально удалил из списка блокируемых расширений .LNK. К тому же данная проблема существует и при запуске непосредственно .EXE-файлов.
Кстати именно этой инструкцией я и пользовался. Да, в политиках выставлен уровень безопасности по-умолчанию - Не разрешено. Но к доменному администратору эти политики я не применял. И уж тем более непонятно, почему они применяются к встроенной локальной учетной записи администратора.

01.11.2010, 10:03 Vasiliy83 Профессионал
Dipauler: а кроме тотал коммандера что-то еще запускается от имени администратора? или он запускается только из незапрещенной области?

01.11.2010, 11:38 Dipauler Профессионал
Vasiliy83: Тотал Коммандер располагается в незащищенной области (Program Files), поэтому запуск его оттуда разрешен. Все приложения из Program Files запускаются нормально под любой учетной записью. А вот из каталогов, запрещенных для обычного пользователя, запуск под администратором доступен только через дополнительный файловый менеджер - Фар, Тотал Коммандер, Анреал Коммандер и т.д.

01.11.2010, 12:12 Vasiliy83 Профессионал
Dipauler: мне кажется, что данное поведение системы может быть вполне логичным, если у пользователя ограничен доступ к каким-то разделам реестра или если при запуске от имени администратора выполняются еще какие-то действия в системе (к сожалению нигде не у далось найти механизм запуска приложения от имени администратора, чтобы точно сказать, где может быть проблема) можно воспользоваться утилитами вроде Procmon.exe, чтобы найти, какое именно действие запрещается системой в момент запуска программы

01.11.2010, 14:19 Dipauler Профессионал
Vasiliy83: У меня, откровенно говоря, были те же опасения. Возможно, при работе механизма олицетворения действительно происходят обращения от имени пользователя к областям, недоступным этому пользователю по правам доступа.

01.11.2010, 14:34 Vasiliy83 Профессионал
Dipauler: информации на данную тему никакой, так что только отслеживая процессы можно найти проблемное место в Procmon фильтруйте по пользователю и по результату DENIED - тогда проще будет отыскать

Ответ отправил: F®ost (Модератор)
Ответ отправлен: 09.11.2010, 10:24
Номер ответа: 263906

Вам помог ответ? Пожалуйста, поблагодарите эксперта за это!
Как сказать этому эксперту "спасибо"?
  • Отправить SMS #thank 263906 на номер 1151 (Россия) | Еще номера »
  • Отправить WebMoney:

    • Оценить выпуск »
    Нам очень важно Ваше мнение об этом выпуске рассылки!

    Задать вопрос экспертам этой рассылки »

    Скажите "спасибо" эксперту, который помог Вам!

    Отправьте СМС-сообщение с тестом #thank НОМЕР_ОТВЕТА
    на короткий номер 1151 (Россия)
    Номер ответа и конкретный текст СМС указан внизу каждого ответа.

    Полный список номеров »

    * Стоимость одного СМС-сообщения от 7.15 руб. и зависит от оператора сотовой связи. (полный список тарифов)
    ** При ошибочном вводе номера ответа или текста #thank услуга считается оказанной, денежные средства не возвращаются.
    *** Сумма выплаты эксперту-автору ответа расчитывается из суммы перечислений на портал от биллинговой компании.

    © 2001-2010, Портал RFPRO.RU, Россия
    Авторское право: ООО "Мастер-Эксперт Про"
    Автор: Калашников О.А. | Программирование: Гладенюк А.Г.
    Хостинг: Компания "Московский хостер"
    Версия системы: 2010.6.22 от 02.11.2010
    В избранное