Windows 2003 Etki Alanında bir Terminal Server grubu çalıştırıyoruz ve TS sunucularımıza uygulanan Yazılım Kısıtlamaları GPO ayarlarında bir sorun buldum. Yapılandırmamızın ayrıntıları ve sorun:
Tüm sunucularımızda (Etki Alanı Denetleyicileri ve Terminal Sunucuları) Windows Server 2003 SP2 çalışmaktadır ve hem etki alanı hem de orman Windows 2003 düzeyindedir. TS sunucularımız, belirli GPO'ların bağlı olduğu ve kalıtımın engellendiği bir OU'dadır, bu nedenle bu TS sunucularına yalnızca TS'ye özgü GPO'lar uygulanır. Kullanıcılarımızın tümü uzaktır ve alanımıza eklenmiş iş istasyonları yoktur, bu nedenle geri döngü politikası işlemeyi kullanmayız. Kullanıcıların uygulamaları çalıştırmasına izin vermek için "beyaz liste" yaklaşımını kullanırız, böylece yalnızca onayladığımız ve yol veya karma kuralları olarak eklediğimiz uygulamalar çalışabilir. Yazılım Kısıtlamalarındaki Güvenlik Seviyesine İzin Verilmedi ve Uygulama "kütüphaneler hariç tüm yazılım dosyaları" olarak ayarlandı.
Bulduğum şey, bir kullanıcıya bir uygulamaya kısayol verirsem, uygulamayı "beyaz listeye alınan" uygulamalar Ek Kurallar listesinde olmasa bile başlatabilmeleridir. Bir kullanıcıya uygulama için ana yürütülebilir dosyanın bir kopyasını verir ve başlatmayı denerse, beklenen "bu program kısıtlandı ..." iletisini alırlar. Yazılım Kısıtlamalarını kullanma amacına aykırı görünen, uygulamanın ana yürütülebilir dosyadan başlatılmasının aksine bir kısayol kullanarak bir uygulama başlatması haricinde Yazılım Kısıtlamaları gerçekten işe yarıyor gibi görünüyor.
Sorularım: Başka kimse bu davranışı gördü mü? Başka kimse bu davranışı yeniden üretebilir mi? Yazılım Kısıtlamaları anlayışında bir şey mi eksik? Yazılım Kısıtlamalarında yanlış yapılandırılmış bir şey olması muhtemel mi?
DÜZENLE
Sorunu biraz açıklığa kavuşturmak için:
Hiçbir üst düzey GPO uygulanmamaktadır. Gpresults çalıştırmak aslında sadece TS seviyesi GPO'ların uygulandığını ve gerçekten Yazılım Direnişlerimin uygulandığını görebiliyorum. Hiçbir yol joker karakteri kullanılmıyor. "C: \ Program Files \ Application \ executable.exe" de bulunan bir uygulama ile test ediyorum ve uygulama yürütülebilir herhangi bir yol veya karma kural değil. Kullanıcı, yürütülebilir uygulamayı doğrudan uygulamanın klasöründen başlatırsa, Yazılım Kısıtlamaları uygulanır. Kullanıcıya "C: \ Program Files \ Application \ executable.exe" de yürütülebilir uygulamaya işaret eden bir kısayol verirsem programı başlatabilirler.
DÜZENLE
Ayrıca, LNK dosyaları Atanmış Dosya Türlerinde listelenir, bu nedenle yürütülebilir dosyalar olarak ele alınmalıdır; bu, aynı Yazılım Kısıtlamaları ayarları ve kurallarına bağlı oldukları anlamına gelmelidir.