Как правильно задать Software Restriction Policies?

Question

[Вася Пупкин]

При схеме ниже, консультант все равно не работает и выдается ошибка что запрещено политиками.


Но в политиках я сделал исключение (см. выше), а значит запрет в приоритете. Вопрос: "Как разрешить запуск?"

Comments

[Akina]

Смотрим в журнале Windows, в разделе Application, события Event ID 866, с источником SoftwareRestrictionPolicies. В описании смотрим, какое именно правило (GUID и путь) блокирует приложение.

[Вася Пупкин]

Akina, Блокирует первое правило на скрине. Но у меня добавлено исключение 3-4 строка.

[Роман Безруков]

Вася Пупкин, вот тут мы обсуждали две отдельные политики для SRP - не взлетело или не пробовали?

[Вася Пупкин]

Роман Безруков, не взлетело. Очередность политик тоже не прокатила.
Судя по коментам в статье исключения пишутся через путь реестра, но пока не удалось подобрать точный вариант написания.

[Роман Безруков]

Вася Пупкин, SRP у вас в каком режиме работают - черный или белый список? в политике какой режим по умолчанию задан в Security Levels (Уровни безопасности)?

[Вася Пупкин]

Роман Безруков, Делал точь-в-точь по этому https://winitpro.ru/index.php/2016/10/21/blokirovk...
По-умолчанию стоит "Не ограниченный".

Пробовал на основе коментариев в статье сделать разрешение по пути:

%HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\AppData%ConsultantPlus

- но не сработало, все равно запрет.

[Keffer]

Вася Пупкин, И не сработает. Потому что запреты имеют приоритет над разрешениями. По умолчанию, правильно, когда разрешен запуск всего что в Windows и ProgramFiles. Все остальное запрещено. И доступа на запись в эти каталоги у юзверя нет. Инсталь в ProgramFiles и будет все работать.

[Вася Пупкин]

Keffer, Я знаю что запрет в приоритете, отсюда и вопрос, как настроить корректно?
В Programm не поставить, это сетевая версия, все ходят через шару, и временные файлы размещаются в AppData.

[Keffer]

Вася Пупкин, SRP политика распространяется только на исполняемые файлы. Временные файлы в большинстве случаев не могут быть исполняемые. Независимо от сетевой или не сетевой версии софта. Если это сетевая программа, если она таковой разработана, то логично что сама база данных должна лежать на расшаренном сетевом ресурсе\диске, а на клиентах всего лишь запускаться бинарник-оболочка, где можно указать полный сетевой путь к базе. И никакие ограничения в таком случае не нужны, если бинарник запускается из ProgramFiles. Поэтому начните с правильной организации работы и с понимания, как оно запускается и работает. Если оно все при инстале у одного юзера прописывается в его appdata, а вы оттуда хотите всем офисом запускать, то тут уже ни о какой сетевой и тем более многопользовательской системе не может и речи быть

[Вася Пупкин]

Keffer,
1) При запуске EXE по сети через SMB


2) Блокируется 1-ой строчкой


3) Явно блокировки RES расширения нет, но почему то блокируется, хотя в списке его нет.

Answer 1

[Вася Пупкин]

Проблема в режиме запрета. Если по-умолчанию стоит "Не ограничено", то там работает только запрет. Чтобы были исключения, нужно по умолчанию ставить "Запрещено все", тогда исключения сработают, но нужно будет долго вылавливать кто и что использует.

Comments

[Роман Безруков]

хых...

какой режим по умолчанию задан в Security Levels (Уровни безопасности)?

а я задавал такой вопрос...