Как включить экранную клавиатуру в Active Directory в этой крайне ограниченной среде?

Question

ЦЕЛЬ

Разрешить пользователям в группе "Студенты" выполнять %WINDIR%/SYSTEM32/osk.exe

---

ОШИБКА

This operation has been cancelled due to restrictions in effect on this computer. Please contact your system administrator.  

---

ФОН

Конфигурация домена сильно ограничена. Домен, хотя и не идеальный, должен работать так, чтобы программы включались только в «белый список».

---

конфигурация

Конфигурация Active Directory (AD)

• Студенческая политика

  • Конфигурация компьютера

  • полисы

    • Настройки Windows
    • ...

    • Настройки безопасности

      • ...
      • Политики ограниченного использования программ
      • ...
      • Дополнительные правила

        | Имя | Тип | Уровень безопасности | Описание | Дата последнего изменения |
        
        | ----------------------------------------+-------- ------+----------------+-------------+------------ ------------- |
        
        | % windir%\SYSTEM32\osk.exe | Путь | Неограниченный | | 21.12.2017 10:11:58 |
        
        | % WINDIR%\SYSTEM32\OskSupport.dll Путь | Неограниченный | | | 21.12.2017 10:13:13 |
        
        

    • ...

    • Политики контроля приложений

      • AppLocker
      • Исполняемые правила

         
        | Действие | Пользователь | Имя | Состояние | Исключения | | Запретить | EDUSRV0\ Студенты | C:\ Program Files\ Windows Photo Viewer | Путь | | | Разрешить | EDUSRV0\ Студенты | % windir%\ System32\osk.exe | Путь | |
        

    • ...

    • Административные шаблоны: определения политики (файлы ADMX), полученные с локального компьютера.

TEXT TOO LONG FOR HERE AND EVEN PASTEBIN!

• Конфигурация пользователя
  • полисы
    • ...
    • Настройки Windows
    • Настройки безопасности
      • Политики ограниченного использования программ
      • Дополнительные правила

https://pastebin.com/raw/C4AciNXA

---

Крышки экрана

Answer 1

У вас настроено много ограничительных политик. Иногда не очевидно, какие из них вызывают нежелательное поведение.

Для решения этой проблемы создайте отдельное подразделение, в котором есть копии задействованных объектов групповой политики, затем начните удаление или изменение политик, пока нежелательное поведение не будет устранено.

В зависимости от того, как были построены ваши объекты групповой политики, вы можете выборочно отключать их по одному, чтобы быстро сузить область поиска проблемных настроек.

Лично мне нравится отключать все ограничительные политики, чтобы доказать себе, что проблема действительно связана с групповой политикой, а затем добавлять их обратно к нескольким объектам групповой политики за раз, пока проблема не вернется.