Консультация № 180516
31.10.2010, 05:49
0.00 руб.
0 7 0
Доброго времени суток, уважаемые эксперты.
Вопрос о групповых политиках в домене Windows Server 2003.
Конкретнее - о политиках ограниченного использования программ.

В домене создана политика ограниченного использования программ в разделе Конфигурация пользователя. Применяется эта политика только для указанных мной учетных записей. В этот список разумеется не входит учетная запись администратора домена.
Политики применяются к различным расширениям исполняемых файлов.
Политики примерно следующие:
1) Везде запуск файлов запрещён.
2) Запуск в папках Windows и Program Files разрешен.
3) Запуск в ещё некоторых папках разрешён.
4) Включено логирование выполнения политики.

Суть проблемы.
При входе пользователя, которому назначена политика, в систему все правила применяются корректно: при запуске неразрешенного приложения выдаётся соответствующее системное сообщение и в лог заносится имя приложения и идентификатор запрещающего правила.
Но если в сеансе этого пользователя запустить приложение из запрещенного каталога от имени учетной записи локального или доменного администратора, то приложение не запускается, выдаётся точно такое же системное сообщение об ограничении доступа и в лог заносится запись, что доступ был запрещён согласно "default rule, GUID={11015445-d282-4f86-96a2-9e485f593302}".
В реестре локального компьютера записи об этой политике я не нашёл, а вот записи обо всех политиках ограничения доступа, созданных мной в домене, в реестре присутствуют.
При этом, если в этом же сеансе пользователя запустить от имени локального или доменного администратора Total Commander и в нём запустить приложение из запрещенной области, то доступ происходит нормально, без ограничений.

Помогите разобраться с этими непонятками.

Сразу постараюсь ответить на несколько возможных вопросов:
1) Политики применяются на уровне пользователя, а не компьютера потому что некоторые пользователи посменно работают на одном компьютере, имеют на нём одинаковые права, но разные права на запуск программ.
2) В настройках политики галочка "не применять для локальных администраторов" включена, хотя я и читал, что она действует только на уровне компьютера.
3) Несмотря на то, что "проблема", как я написал выше, решается запуском нужного приложения из Total Commandera под правами локального администратора, всё же не хотелось бы зависеть в этом деле от каких-то сторонних программ.
4) По поводу политики с GUID={11015445-d282-4f86-96a2-9e485f593302} я много искал в интернете, но так и не нашёл, что это за политика по-умолчанию, и какие ограничения она вносит.

Буду благодарен за любой ответ.

Обсуждение

Неизвестный
31.10.2010, 07:19
общий
Dipauler:
ТУТ наткнулся на следующее:
самое забавное, что щелчок по ярлыку IE на рабочем столе его тоже не запускает (хотя прямой запуск из Проводника в рабочей папке IE сработает). Отменяем действие политики, чтобы посмотреть журнал ее применения (иначе Блокнот тоже не запустится). Наткнувшись на строчку вида explorer.exe (PID = 372) identified C:\Documents and Settings\администратор\Рабочий стол\Запустить обозреватель Internet Explorer.lnk as Disallowed using default rule, Guid = {11015445-d282-4f86-96a2-9e485f593302} вспоминаем, что ярлыки (то есть файлы с расширением .lnk) также расцениваются как исполняемый код. Поскольку у нас разрешен Проводник, нет особой нужды запрещать запуск ярлыков, тем более, что мы разрешаем запускать лишь определенные программы. Поэтому просто удалим тип LNK из списка назначенных типов файлов.

Получается, что правило по умолчанию запрещает запуск всего, что и было установлено в данном руководстве несколькими пунктами ранее:
Для обеспечения действенного запрета на использование нежелательных программ необходимо использовать уровень безопасности Не разрешено. Для изменения уровня необходимо сделать двойной щелчок мышью на нужном параметре и в открывшемся окне нажать кнопку По умолчанию, или, щелкнув правой кнопкой мыши выбрать в контекстном меню команду По умолчанию.

по всей видимости Вы также используете по умолчанию правила полного запрета, а значит в случае попытки запуска запрещенного приложения срабатывает именно оно.

на счет невозможности запуска напрямую от имени администратора - может вариант с ярлыками, описанный в данном руководстве и есть Ваша проблема?
Неизвестный
01.11.2010, 09:26
общий
Vasiliy83:
Здравствуйте.
Спасибо за Ваше замечание. Совсем забыл уточнить, что мои политики ограничения не применяются к ярлыкам. Специально удалил из списка блокируемых расширений .LNK. К тому же данная проблема существует и при запуске непосредственно .EXE-файлов.

Кстати именно этой инструкцией я и пользовался. :)
Да, в политиках выставлен уровень безопасности по-умолчанию - Не разрешено.
Но к доменному администратору эти политики я не применял. И уж тем более непонятно, почему они применяются к встроенной локальной учетной записи администратора.
Неизвестный
01.11.2010, 10:03
общий
Dipauler:
а кроме тотал коммандера что-то еще запускается от имени администратора? или он запускается только из незапрещенной области?
Неизвестный
01.11.2010, 11:38
общий
Vasiliy83:
Тотал Коммандер располагается в незащищенной области (Program Files), поэтому запуск его оттуда разрешен. Все приложения из Program Files запускаются нормально под любой учетной записью.
А вот из каталогов, запрещенных для обычного пользователя, запуск под администратором доступен только через дополнительный файловый менеджер - Фар, Тотал Коммандер, Анреал Коммандер и т.д.
Неизвестный
01.11.2010, 12:12
общий
Dipauler:
мне кажется, что данное поведение системы может быть вполне логичным, если у пользователя ограничен доступ к каким-то разделам реестра или если при запуске от имени администратора выполняются еще какие-то действия в системе (к сожалению нигде не удалось найти механизм запуска приложения от имени администратора, чтобы точно сказать, где может быть проблема)
можно воспользоваться утилитами вроде Procmon.exe, чтобы найти, какое именно действие запрещается системой в момент запуска программы
Неизвестный
01.11.2010, 14:19
общий
Vasiliy83:
У меня, откровенно говоря, были те же опасения. Возможно, при работе механизма олицетворения действительно происходят обращения от имени пользователя к областям, недоступным этому пользователю по правам доступа.
Неизвестный
01.11.2010, 14:34
общий
Dipauler:
информации на данную тему никакой, так что только отслеживая процессы можно найти проблемное место
в Procmon фильтруйте по пользователю и по результату DENIED - тогда проще будет отыскать
Форма ответа