Política de Grupo para Zonas de Segurança do IE

Question

No momento, estamos usando a seguinte Política de Grupo para controlar as zonas de segurança do Internet Explorer:

User Configuration\Administrative Templates\Windows Components\Internet Explorer\Internet Control Panel\Security Page

Em seguida, defina a Lista de atribuições de sites para zonas com os vários valores usando o seguinte gráfico:

   Value    Setting
   ------------------------------
   0        My Computer
   1        Local Intranet Zone
   2        Trusted sites Zone
   3        Internet Zone
   4        Restricted Sites Zone

Isso funciona bem; no entanto , os usuários não podem editar (ou adicionar especialmente) as configurações de zona. Existe uma maneira de bloquear nossas configurações de zona personalizadas enquanto ainda dá aos usuários a capacidade de adicionar seus próprios sites às zonas de segurança?

Sim, percebo o pequeno risco de segurança ao abrir isso.

    

Answer 1

Não há uma maneira nativa de fazer isso com a Diretiva de Grupo.

Outros aparecerão e sugerirão que você escreva um script de login para os usuários definirem as atribuições de site para zona localmente na máquina, o que ainda permitirá que eles adicionem / alterem sites. Eu acho que é uma péssima ideia pessoalmente.

Nós lidamos com isso obtendo suporte do site / Deskside para verificar o problema e, em seguida, enviar um ticket para nós para adicionar o site. Nós ainda mantemos o controle, porque, como profissionais, sabemos o que é melhor. Não os usuários.

Isso cria um pouco de sobrecarga administrativa? Sim. É menos sobrecarga do que todo o trabalho extra necessário para resolver infecções e surtos no ambiente? Sim.

Editar o seguinte comentário:

A maneira como lidamos com esse cenário é mover os PCs de teste para uma UO do Laboratório de Testes, criar e vincular um GPO (que define apenas o site à lista de atribuições de zona) especificamente para essa UO e delegate a edição do objeto de diretiva de grupo para esse GPO a um membro da equipe de desenvolvimento / controle de qualidade.

Eles podem editar esse único GPO para o conteúdo de seus corações.

    

Answer 2

Não com políticas de grupo, mas há uma maneira com Preferências da Política de Grupo . Esse é um novo recurso que eles introduziram no Windows 2008 e é "o novo jeito" de fazer Diretivas de Grupo. Ele permite que você preencha seus clientes com as configurações desejadas, mas ainda lhes dê a liberdade de adicionar e remover. Ele também pode substituir a maioria dos seus requisitos de script de login, acelerando o tempo de login.

Você não precisa realmente de um domínio de 2008 para usá-los, ele funcionará com um domínio de 2003 ou 2000. Você só precisa ter uma máquina 2008, Vista ou Win 7 para criar as Preferências da Política de Grupo. Você também precisa que o cliente de Preferência de Diretiva de Grupo seja instalado em seus clientes.

    

Answer 3

Eu encontrei o programa ZonedOut para ser bastante útil. Talvez isso ajude você a conseguir o que precisa. Você pode definir e bloquear a interface do usuário comum e usar o ZonedOut para adicionar URLs adicionais.