Estamos ejecutando una granja de servidores de Terminal Server en un dominio de Windows 2003, y encontré un problema con la configuración de Restricciones de software de GPO que se aplica a nuestros servidores TS. Aquí están los detalles de nuestra configuración y el problema:
Todos nuestros servidores (controladores de dominio y servidores de terminal) ejecutan Windows Server 2003 SP2 y tanto el dominio como el bosque están en el nivel de Windows 2003. Nuestros servidores TS están en una unidad organizativa donde tenemos GPO específicos vinculados y tenemos herencia bloqueada, por lo que solo los GPO específicos de TS se aplican a estos servidores TS. Todos nuestros usuarios son remotos y no tienen estaciones de trabajo unidas a nuestro dominio, por lo que no utilizamos el procesamiento de políticas de bucle invertido. Tomamos un enfoque de "lista blanca" para permitir que los usuarios ejecuten aplicaciones, por lo que solo las aplicaciones que aprobamos y agregamos como ruta o reglas hash pueden ejecutarse. Tenemos el Nivel de seguridad en Restricciones de software establecido en No permitido y Enforcement se establece en "Todos los archivos de software excepto las bibliotecas".
Lo que he encontrado es que si le doy a un usuario un acceso directo a una aplicación, puede iniciar la aplicación incluso si no está en la lista de Reglas Adicionales de aplicaciones "incluidas en la lista blanca". Si le doy a un usuario una copia del ejecutable principal de la aplicación e intenta iniciarlo, recibirá el mensaje esperado "este programa ha sido restringido ...". Parece que las restricciones de software están funcionando, excepto cuando el usuario inicia una aplicación usando un acceso directo en lugar de iniciar la aplicación desde el ejecutable principal, lo que parece contradecir el propósito de usar restricciones de software.
Mis preguntas son: ¿Alguien más ha visto este comportamiento? ¿Alguien más puede reproducir este comportamiento? ¿Me falta algo en mi comprensión de las restricciones de software? ¿Es probable que tenga algo mal configurado en Restricciones de software?
EDITAR
Para aclarar un poco el problema:
No se aplican los GPO de nivel superior. Ejecutar gpresults muestra que, de hecho, solo se están aplicando los GPO de nivel TS y, de hecho, puedo ver cómo se aplican mis restricciones de software. No se utilizan comodines de ruta. Estoy probando con una aplicación que se encuentra en "C: \ Archivos de programa \ Aplicación \ ejecutable.exe" y el ejecutable de la aplicación no está en ninguna ruta o regla hash. Si el usuario inicia el ejecutable de la aplicación principal directamente desde la carpeta de la aplicación, se aplican las restricciones de software. Si le doy al usuario un acceso directo que apunta al ejecutable de la aplicación en "C: \ Archivos de programa \ Aplicación \ ejecutable.exe", entonces puede iniciar el programa.
EDITAR
Además, los archivos LNK se enumeran en los Tipos de archivo designados, por lo que deben tratarse como ejecutables, lo que significa que están sujetos a las mismas configuraciones y reglas de Restricciones de software.