Hkey_current_user в параметрах безопасности реестра GPO?

Question

[Dewz]

Добрый день! Можно ли добавить Hkey_current_user в параметры безопасности? Hkey_local_MACHINE (MACHINE) есть а Hkey_current_user нет.

Comments

[Роман Безруков]

А с какой целью вам это надо?
HKEY_CURRENT_USER - это подраздел в HKEY_USERS, уникальный для каждого залогиненного пользователя, и это соответствующие файлы в профиле этого пользователя (%SystemRoot%\Profiles\Username), т.е. доступ уже ограничен. Залогиниться может рядовой пользователь, пользователь с правами локального админа, пользователь с правами администратора домена и т.д. - и у каждого будет свой уникальный HKEY_CURRENT_USER.
Если вам надо что-то добавить/изменить в реестре через GPO - это лучше делать через Group Policy Preferences в Computer Configuration или User Configuration в зависимости от задачи

[Dewz]

Роман Безруков, Задача состоит в том, чтобы удалить ветку Google в \HKEY_CURRENT_USER\SOFTWARE.
При этом в данной ветке есть раздел com.microsoft.browsercore с параметром manifest.json "C:\Program Files\Windows Security\BrowserCore\manifest.json" Ветку просто так не удалить, права на систему не полные.
Через GPO параметры безопасности дополнил правами раздел Hkey_local_MACHINE\SOFTWARE\Google, после перешел как вы отписали в задаче для удаления. Но Такая же ветка есть и в \HKEY_CURRENT_USER\SOFTWARE (возможно у вас его не будет) и там все тоже самое, что и написано выше. Права я не накину - ветку не удалить(

[Роман Безруков]

Dewz, как я уже писал - это делается через GPP и/или скрипты...
Как создать, изменить или удалить параметр реестра...

[Роман Безруков]

Dewz,

раздел com.microsoft.browsercore с параметром manifest.json "C:\Program Files\Windows Security\BrowserCore\manifest.json"

- такая ветка у меня есть
самый простой вариант, на мой взгляд, это логон-скрипт, который назначает нужные права на ветку и удаляет ее

[Dewz]

Роман Безруков, Хорошо, спасибо) Чуть позже отпишусь.

Answer 1

[pindschik]

А вы точно смотрите в разделе "Конфигурация пользователя"?

Comments

[Dewz]

pindschik Доброе утро. Объясню более конкретно. Если вы перейдете \HKEY_CURRENT_USER\SOFTWARE\Google\Chrome\NativeMessagingHosts\com.microsoft.browsercore и посмотрите на разрешения com.microsoft.browsercore, то увидите, что владелец TrustedInstaller. Мне необходимо поменять владельца на СИСТЕМА и добавить полные права на СИСТЕМА. По другому этот куст не удалить, только если вручную. Через GPO как я понял не прокатит.
Бился бился в итоге нашел скрипт, который меняет владельца.

$key = "HKEY_CURRENT_USER\SOFTWARE\Google\Chrome\NativeMessagingHosts\com.microsoft.browsercore"

$reg = [wmiclass]"\\.\root\default:stdregprov"
$olddacl = $reg.GetSecurityDescriptor($hklm,$key).Descriptor.DACL


$user = "СИСТЕМА"
$SD = ([WMIClass] "Win32_SecurityDescriptor").CreateInstance()
$ace = ([WMIClass] "Win32_ace").CreateInstance()
$Trustee = ([WMIClass] "Win32_Trustee").CreateInstance()
$SID = (new-object security.principal.ntaccount $user).translate([security.principal.securityidentifier])
[byte[]] $SIDArray = ,0 * $SID.BinaryLength
$SID.GetBinaryForm($SIDArray,0)
$Trustee.Name = $user
$Trustee.SID = $SIDArray
$ace.AccessMask = [System.Security.AccessControl.RegistryRights]::FullControl
$ace.AceFlags = "0x3"
$ace.AceType = 0
$ace.Trustee = $trustee

$SD.DACL = $olddACL
$SD.DACL += @($ace.psobject.baseobject)
$SD.ControlFlags = "0x4"
$reg.SetSecurityDescriptor($hklm,$key,$sd)

Но не могу на систему назначить полные права : (

[pindschik]

Да владелец TrustedInstaller но у пользователя полные права. Может мы неправильно понимаем задачу? Она ведь не только в том, чтоб сменить владельца, а в чем-то еще?