Nous exécutons une batterie de serveurs Terminal Server dans un domaine Windows 2003, et j'ai trouvé un problème avec les paramètres GPO des restrictions logicielles qui sont appliqués à nos serveurs TS. Voici les détails de notre configuration et le problème:
Tous nos serveurs (contrôleurs de domaine et serveurs Terminal Server) exécutent Windows Server 2003 SP2 et le domaine et la forêt sont au niveau de Windows 2003. Nos serveurs TS sont dans une unité d'organisation où nous avons des GPO spécifiques liés et dont l'héritage est bloqué, donc seuls les GPO spécifiques TS sont appliqués à ces serveurs TS. Nos utilisateurs sont tous distants et n'ont pas de postes de travail joints à notre domaine, nous n'utilisons donc pas de traitement de politique de bouclage. Nous adoptons une approche de "liste blanche" pour permettre aux utilisateurs d'exécuter des applications, de sorte que seules les applications que nous approuvons et ajoutons en tant que chemin d'accès ou règles de hachage peuvent s'exécuter. Le niveau de sécurité dans les restrictions logicielles est défini sur Non autorisé et l'application est définie sur "Tous les fichiers logiciels sauf les bibliothèques".
Ce que j'ai trouvé, c'est que si je donne à un utilisateur un raccourci vers une application, il est capable de lancer l'application même s'il ne figure pas dans la liste des règles supplémentaires des applications "en liste blanche". Si je donne à un utilisateur une copie de l'exécutable principal de l'application et qu'il tente de le lancer, il obtient le message "ce programme a été restreint ..." attendu. Il semble que les restrictions logicielles fonctionnent effectivement, sauf lorsque l'utilisateur lance une application à l'aide d'un raccourci au lieu de lancer l'application à partir de l'exécutable principal lui-même, ce qui semble contredire l'objectif de l'utilisation des restrictions logicielles.
Mes questions sont les suivantes: quelqu'un d'autre a-t-il vu ce comportement? Quelqu'un d'autre peut-il reproduire ce comportement? Suis-je en train de manquer quelque chose dans ma compréhension des restrictions logicielles? Est-il probable que j'ai quelque chose de mal configuré dans les restrictions logicielles?
ÉDITER
Pour clarifier un peu le problème:
Aucun GPO de niveau supérieur n'est appliqué. L'exécution de gpresults montre qu'en fait, seuls les GPO de niveau TS sont appliqués et je peux en effet voir mes restrictions logicielles appliquées. Aucun caractère générique de chemin n'est utilisé. Je teste avec une application qui se trouve dans "C: \ Program Files \ Application \ executable.exe" et l'exécutable de l'application ne se trouve dans aucun chemin ni règle de hachage. Si l'utilisateur lance l'exécutable de l'application principale directement à partir du dossier de l'application, les restrictions logicielles sont appliquées. Si je donne à l'utilisateur un raccourci qui pointe vers l'exécutable de l'application dans "C: \ Program Files \ Application \ executable.exe", il pourra alors lancer le programme.
ÉDITER
En outre, les fichiers LNK sont répertoriés dans les types de fichiers désignés, ils doivent donc être traités comme exécutables, ce qui signifie qu'ils sont liés par les mêmes paramètres et règles de restrictions logicielles.