Desabilitar complementos do IE e barras de ferramentas com a Diretiva de Grupo?

Question

Eu adoraria ter a paz de espírito de saber que nenhum dos meus desktops tem barras de ferramentas, "ajudantes de navegador" ou qualquer outra porcaria como essa em execução.

Alguém fez isso com sucesso com a Diretiva de Grupo?

Eu encontrei este artigo, mas não é assim tão claro:

link

Se eu quiser proibir todos os plug-ins, exceto a Barra de Ferramentas Google, o Flash & Windows Update no XP, não há uma explicação clara sobre como fazê-lo. Parece que eu teria que saber o ClassID de cada barra de ferramentas que eu gostaria de permitir.

O artigo não diz realmente como um administrador encontraria esses ClassIDs. O Flash tem um ClassID diferente para cada versão? Isso varia de acordo com o sistema operacional? E quanto ao Windows Update em caixas XP - ele requer um plug-in que precisa ser expressamente ativado.

É um problema tão comum que deve haver uma solução fácil. Seria ótimo se houvesse apenas uma lista de checkbox de plugins comuns, então você poderia habilitar o Flash para todos, Google Toolbar para desenvolvedores, Windows Update para XP, etc.

    

Answer 1

Desativando a opção "Ativar extensões de navegador de terceiros" em Ferramentas - > Opções da Internet - > Avançado (ou Painel de Controle - > Opções da Internet) desativa com sucesso a maioria das barras do navegador enquanto ainda permite os plugins típicos (Java, Flash, etc).

Se bem me lembro, você pode controlar essa opção no GP. A configuração pode ser encontrada em "Configuração do usuário - > Políticas - > Modelos Administrativos - > Componentes do Windows - > Internet Explorer - > Painel de Controle da Internet - > Página avançada - > Permitir extensões de navegador de terceiros '

    

Answer 2

Para o XP com o IE6, sua origem de KB é uma solução viável.

Eu adicionei o CLSID para flash (encontrado no código HTML do youtube.com) e o bloqueei adicionando-o à Política de segurança local "Configuração do usuário > Modelos administrativos > Componentes do Windows > Internet Explorer > Recursos de segurança > Adicionar -On Management > Lista de complementos "

Coloque o CLSID e um 0 para o valor (desabilitado) e na próxima atualização do IE, o Flash não carrega.

Parece que adicionar uma lista dos ofensores mais comuns a um GPO cuidaria da maioria dos seus problemas.

    

Answer 3

Eu tenho as mesmas perguntas que você faz em relação ao ClassID, possivelmente alterando quando o javascript & flash são atualizados.

De qualquer forma, no processo de tentar encontrar mais informações sobre isso, descobri que no IE9 você pode selecionar um complemento & clique em "Mais informações" no campo & Dá-lhe o ID da Classe. Eu confirmei que o IE6 não tem isso. Eu não tenho nenhum IE7 ou 8 disponível para teste atualmente. No entanto, o artigo da Microsoft mostra como encontrar os IDs de classe que foram bloqueados na seção 'Solução de problemas do recurso Gerenciar Complementos'. Infelizmente não parece um trabalho rápido, vai levar alguma pesquisa

    

Answer 4

Primeiro de tudo, há um problema de javascript solucionável com complementos desativados: link

Existe o ToolbarCop que facilita a tarefa de desativação - não é uma solução de caixa de seleção, mas está perto.

Se você quiser fazer isso manualmente, pode aprender os CLSID aqui .

    

Answer 5

Você menciona XP. Isso é apenas uma solução para o XP?

Para o Windows 7, o Applocker GPO pode ajudar. É um aplicativo de lista branca e lista negra de aplicativos na Diretiva de Grupo (mas funciona somente para clientes Windows 7).

Existem alguns vídeos de boas introduções do TechEd (pesquise no site por mais vídeos do Applocker).

A maneira rápida e suja (mas não abrangente) é permitir tudo e adicionar regras de negação para o que você deseja bloquear. A maneira mais abrangente é criar uma lista branca de todos os aplicativos em todos os seus computadores (não apenas no IE). Se você for rápido e sujo, crie um novo GPO e habilite o rastreamento de exe e dll e encontre os complementos de navegador mais comuns em sua máquina que você não deseja e adicione-os com uma regra de negação.

Você pode tentar todos os tipos de maneiras de bloqueá-los ... como bloquear a instalação por meio do editor cert (ou seja, bloquear todos os aplicativos do yahoo), bloquear caminhos de arquivo de onde eles instalam, etc.

Durante o teste, recomendo usar a Política de segurança local. Assegure-se de que o serviço de identidade do aplicativo esteja em execução (aguarde 5min).

Apenas para ver como isso reagiria, adicionei uma regra de negação para bloquear todas as DLLs em% SYSTEM32% \ Macromed \ Flash *. * e o IE agiu normalmente como se o Flash nunca tivesse sido instalado.

    

Answer 6

Há uma configuração na Polilidade de Grupo que permite negar todos os complementos, a menos que seja especificamente permitido. Pode ser encontrado aqui: 'Configuração do usuário - > Políticas - > Modelos Administrativos - > Componentes do Windows - > Internet Explorer - > Recursos de segurança - > Gestão de Complementos '

Ative a opção "Negar todos os complementos" e, em seguida, adicione os anúncios que deseja manter na opção "Lista de complementos"

    

Answer 7

O problema parece ser assim que você adiciona uma lista branca, TUDO está desabilitado, exceto o que está lá. Java. Instantâneo. Etc. Eu estava esperando encontrar uma lista de extensões comuns, mas até agora é muito trabalho usar uma lista branca.

    

Answer 8

Para obter o ID da classe de um complemento, você deve entrar em Gerenciar 'complementos' no item de menu Ferramentas e, na janela resultante, deve haver uma lista suspensa para você escolher " ALL ADD-ONS "clique com o botão direito do mouse no complemento que você deseja inserir no GPO & selecione MAIS INFORMAÇÕES na janela pop-up resultante, clique no botão copiar, que copiará Tudo para a área de transferência. Cole em seu editor de texto favorito, agora você pode copiar o CLASSID que você precisa & cole-o no campo Value Name do seu GPO. O campo "valor" deve ser 0 negado, 1 permitir que o usuário não possa mudar, 2 permitir que o usuário possa mudar.

    

Answer 9

Há uma boa explicação com fotos e vídeos aqui sobre como configurá-lo:

link