помощь по групповым политикам

[Surayu]

Приветствую коллеги
А вот кого можно позадалбывать вопросами по ГП? а то мугл-гугл как-то плохо помогает

[Borland]

Surayu, если именно "позадалбывать" - то это к support@microsoft.com...
Групповые политики - весьма обширная тема. Полноценное изучение ГП в рамках форума - это нонсенс...
Многое можно почерпнуть на M$ Technet - но исключительно по конкретным политикам. При этом нужно иметь чёткое представление о том, что такое ГП и как они работают, т.е. предварительно иметь немаленький багаж знаний...
Если есть конкретный вопрос по конкретной ГП - задавайте, попробуем ответить.

[Surayu]

окей попробуем))
есть крч политика по ограничению запуска программ. В рамках её пользователям запрещено запускать неопознанные ярлыки с рабочего стола. Я добавил в исключения новый ярлык, но чот не работает. Ярлык на рабочем столе не создается, а если сделать его руками, то и не запускается и говорит, что это из-за групповых политик.

[Borland]

Surayu
Не очень понял...
Там множество различных способов ограничения и внесения в список исключений.
При задании исключения (по какому критерию?) ярлык, знамое дело, не создаётся. Сначала нужен сам объект, а потом уже он вносится в исключения...
Подробно и по-русски на WindowsFAQ: Ограничение списка запускаемых программ при помощи групповых политик

[Surayu]

В общем решил начать с простого. Политика по созданию ярлыка на рабочем столе. Но почему-то не отрабатывает. Что я сделал не так?
Скриншот i63.tinypic.com/35db32c.jpg

[Borland]

Сообщение от Surayu

Что я сделал не так?

Скриншот. Он практически нечитаем...
Из того, что сумел разобрать: откуда взялось "%DesktopDir%" и что имеется ввиду?..
Вангую: имеется ввиду "папка рабочего стола".
Обычно в винде заданы 2 рабочих стола: "личный" и "колхозный". И путь к ним, если надо именно через переменные, корректно задаётся, соответственно, как "%USERPROFILE%\Desktop" и "%ALLUSERSPROFILE%\Desktop".

Уточняю:

Речь идёт об ос NT6.x (Vista и новее). У более древних NT (4.0, 5.1, 5.2) путь к папке рабочего стола зависел от языка локализации ОС.

А для того, чтобы сработала предполагаемая вами конструкция - в каждой системе, на которую распространяется её действие обязана быть задана переменная окружения "DesktopDir", к содержимому которой (а отнюдь не рабочего стола, хотя в частном случае они могут и совпадать) и будет применяться данная политика/исключение.
Как вы, наверное, понимаете - собственно политики безопасности здесь не при делах: они работают, но работают неправильно из-за неправильной настройки...

P.S. Я даже не исключаю, что ярлык-таки где-то создаётся. Где-нибудь в корне папки %WINDIR%, например.

[Surayu]

получается чтобы создать ярлык, нужно прописать путь не так как он выдается в настройках политики, а в виде переменных? типа %systemdrive%/Users/%userprofile%/Desktop

[Borland]

Сообщение от Borland

откуда взялось "%DesktopDir%"

Ok, понял, это действительно GPMC так изображает.
Специально домен поднял чтобы посмотреть.
Тем не менее - УМВР, ЧЯДНТ?..


P.S. Надеюсь, вы в курсе, что для того, чтобы групповая политика отработала - необходимо, чтобы комп получил её от домена?.. Т.е. требуется либо перезагрузка, либо "gpupdate /force"...
И если вы создаёте новый GPO (а не используете, например, стандартный Default Domain Policy) - не забудьте задать ему область действия...

[Surayu]

Вот как так-то! Создать ярлык оно не создало, а удалить целевой файл - удалось!

[Borland]

Сообщение от Surayu

Вот как так-то! Создать ярлык оно не создало, а удалить целевой файл - удалось!

Если что-то работает не так, как вы хотите - значит вы что-то делаете не так...
При создании ярлыка штатными средствами целевой файл не удаляется, инфа 100500%.

[Surayu]

а вот новая беда! не уверен что имеет отношение к групповым политикам, но всё равно. Есть подсеть из которой нет доступа к некоторым серверам по имени, остался доступ по ip
гугол предлагает вывести их контроллер из домена и вернуть обратно, но это какой-то сомнительный способ. Какие ещё есть варианты?

[Borland]

Сообщение от Surayu

не уверен что имеет отношение к групповым политикам

Абсолютно не имеет. Проблема явственно именно с неправильно настроенным DNS. Либо на клиентах, либо на сервере.
В рамках обсуждения групповых политик - явный оффтоп.

[Surayu]

а вот например если в аутлуке или документах экселя есть ссылка. Но переход по ней запрещен некими политиками. Где это может настраиваться?

[Borland]

Сообщение от Surayu

если в аутлуке или документах экселя есть ссылка. Но переход по ней запрещен некими политиками. Где это может настраиваться?

В реестре.
Собственно, создаётся групповая политика, которая вносит (практически произвольные) настройки в реестр компьютера.
Либо импортируются готовые административные шаблоны под соответствующую версию офиса и в консоли управления политиками появляются соответствующие политики.
Например, Disable Macros in Microsoft Office using Group Policy