Removendo negar permissões de todos do GPO

Question

Como parte da solução alternativa para o CVE-2014-1776, criei um objeto de política de grupo que aplicou as permissões Negar a todos no VGX.DLL. Agora estou tentando desfazer essa política de grupo e ter muitos problemas. Primeiro, tentei desvincular a política de grupo e, em seguida, forçar uma atualização de política de grupo. Quando isso não funcionou, também tentei adicionar explicitamente permissões de leitura para Todos, isso também não funcionou.

Se você adicionou as permissões Negar todos a um arquivo por meio da política de grupo, como você as remove para retornar as coisas ao status quo?

    

Answer 1

Descobrimos que o problema tinha a ver com a propriedade do arquivo. Por padrão, o arquivo é de propriedade de TrustedInstaller. Como eu tinha definido todas as permissões para Negar para todos, a única pessoa que poderia alterar as permissões no arquivo era TrustedInstaller.

A solução no final foi modificar o objeto de Diretiva de Grupo para também alterar o proprietário do arquivo para Administradores de Domínio E também remover a permissão Negar do GPO. Não é necessário adicionar explicitamente uma permissão de permissão ao GPO.