Имя пользователя:
Пароль:  
Помощь | Регистрация | Забыли пароль?  | Правила  

Компьютерный форум OSzone.net » Серверные продукты Microsoft » Windows Server 2008/2008 R2 » 2008 R2 - Ошибка установки msi пакета на сервере от имени доменого пользователя.

Ответить
Настройки темы
2008 R2 - Ошибка установки msi пакета на сервере от имени доменого пользователя.

Аватара для Anton04

Ветеран


Сообщения: 2161
Благодарности: 407


Конфигурация

Профиль | Отправить PM | Цитировать


Изменения
Автор: Anton04
Дата: 16-07-2018
Здравствуйте.

Предлагаю очередную задачку для профессионалов и любителей пошевелить мозгами.

При запуске msi пакета из под пользователя домена (т.е. не обладающего административными правами) возникает ошибка "Данная установка запрещена политикой, заданной системным администратором" (эта тема чем то пересекается с Доступ - Данная установка запрещена политикой, заданной системным администратором), запуск происходит на сервере терминалов в среде Windows 2008/2008R2. В домене нету политики ограничения программ, т.е. она не определена. На всякий случай перерыл все политики домена и ничего запрещающего не нашёл.

Ради эксперимента вывел один из серверов в отдельную OU и выставил настройку блокировать наследование, обновил групповую политику на этот сервере, перезагрузил, а вот результат тот же...

Этот же msi пакет прекрасно ставится и отрабатывает в этот же домене на пользовательских ПК и на виртуальной машине из под не доменного пользователя ПК.

Логи от msi и Process Monitor прилагаю для анализа.

У самого уже идеи кончились.

-------
Слабый всю жизнь идёт лёгкой дорогой, черта сильного выбрать трудный путь.
Будь осторожен в своих желаниях, ибо они иногда сбываются.


Отправлено: 13:08, 26-06-2012

 

Аватара для cameron

Ветеран


Сообщения: 4677
Благодарности: 1092

Профиль | Отправить PM | Цитировать


Цитата Anton04:
Именно им родным. »
4.5.1.7068?
Цитата Anton04:
P.P.S. Странно, но у меня EMCO не падает на дебаге... »
у меня он падает на Decompile MSI =(
ну а InstallShield на Direct Edit

в общем я ковырнула что увидела через InstallShield.
у вас стоит опция
"require administrative privileges=yes"
что при выключеном UAC даёт однозначный мимо кассы.
AFAIK в 2008 R2 выключить UAC нельзя, можно лишь подавить окна.
одно из окон таково:
"Контроль учетных записей: поведение запроса на повышение прав для обычных пользователей
Этот параметр политики определяет поведение запроса на повышение прав для обычных пользователей.
", у вас явно стоит "автоматически отклонять", поэтому результат очевиден.

проверить с выключеным UAC мне реально негде, но! если в MSI поставить
"require administrative privileges=no" то установка пакета происходит с правами пользователя и включеным UAC.

Цитата Anton04:
P.S. Проект прикрепил. »
читаю хелп от EMCO, как открыть пакет, которого нет в спике созданных мной.
позор

-------
в личке я не консультирую и не отвечаю на профессиональные вопросы. для этого есть форум.

Это сообщение посчитали полезным следующие участники:

Отправлено: 16:41, 26-06-2012 | #11



Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.

Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.


Аватара для Anton04

Ветеран


Сообщения: 2161
Благодарности: 407

Профиль | Отправить PM | Цитировать


Цитата cameron:
4.5.1.7068? »
да.

Цитата cameron:
AFAIK в 2008 R2 выключить UAC нельзя, можно лишь подавить окна. »
Не понял... Вы хотите сказать, что UAC нельзя отключить так же как это делается в Windows 7!?

Цитата cameron:
проверить с выключеным UAC мне реально негде, но! если в MSI поставить
"require administrative privileges=no" то установка пакета происходит с правами пользователя и включеным UAC. »
Ну есть там такая опция при генерации msi пакета (в хелпе раздел "Creating MSI Package" рис. 4, если я правильно понял), я как то на неё не обращал внимание, т.к. UAC всё ровно выключен.

Цитата cameron:
читаю хелп от EMCO, как открыть пакет, которого нет в спике созданных мной. »
Всё просто, создаёте новый пакет с названием consultant, далее закрываете прогу и идёте по пути C:\MSIPBRoot\consultant, удаляете там всё и разархивируете туда мой проект.

-------
Слабый всю жизнь идёт лёгкой дорогой, черта сильного выбрать трудный путь.
Будь осторожен в своих желаниях, ибо они иногда сбываются.


Последний раз редактировалось Anton04, 26-06-2012 в 17:03.


Отправлено: 16:50, 26-06-2012 | #12


Аватара для cameron

Ветеран


Сообщения: 4677
Благодарности: 1092

Профиль | Отправить PM | Цитировать


Цитата Anton04:
Вы хотите сказать, что UAC нельзя отключить так же как это делается в Windows 7!? »
если вы о самом нижнем положении регулятора - то прочитайте внимательней что он пишет. В Vista это положение означало "отключено", в вин7 - нет.
Цитата Anton04:
Ну есть там такая опция при генерации msi пакета (в хелпе раздел "Creating MSI Package" рис. 4, если я правильно понял), я как то на неё не обращал внимание »
обратите, я изменила через InstallShield на "NO" и установка пошла.
Цитата Anton04:
т.к. UAC всё ровно выключен. »
вообще это крайне не верно.
Цитата:
Всё просто, создаёте новый пакет с названием consultant, далее закрываете прогу и идёте по пути C:\MSIPBRoot\consultant, удаляете там всё и разархивируете туда мой проект.
как всё просто, спасибо.

-------
в личке я не консультирую и не отвечаю на профессиональные вопросы. для этого есть форум.

Это сообщение посчитали полезным следующие участники:

Отправлено: 22:44, 26-06-2012 | #13


Аватара для Anton04

Ветеран


Сообщения: 2161
Благодарности: 407

Профиль | Отправить PM | Цитировать


Цитата cameron:
если вы о самом нижнем положении регулятора - то прочитайте внимательней что он пишет. »
Цитата:
Никогда не уведомлять о следующих случаях:

.....

Не рекомендуется. Выбирайте этот вариант, только если нужно использовать программы не сертифицированные для Windows 7, т.к. они не поддерживают управление учётными записями пользователей.
Это как раз мой случай, есть программы не сертифицированные для использования в Windows 7. К тому же можно ещё и поправить соответствующие параметры в реестре HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System отвечающие за UAC и отключить его совсем.

Кстати я ради интереса проверил эту msi и на Windows 2008 и тоже с отключённым UAC и там тоже не устанавливается от имени пользователя... вот такая вот байда...

Цитата cameron:
обратите, я изменила через InstallShield на "NO" и установка пошла. »
Ну, у меня нету InstallShield, а в EMCO MSI builder именно такого нет, только то что я указал в предыдущем сообщении, если это не оно (я попробовал и создал msi с этим выбранным параметром "administrator" и всё ровно не пошло), то я даже теряюсь в догадках...

Цитата cameron:
вообще это крайне не верно. »
Это тема отдельного обсуждения, но в кратце не вижу смысла этой технологии в сервере терминалов, всё ровно пользователь ничего там установить не сможет.

Цитата cameron:
как всё просто, спасибо. »
Пожалуйста.

-------
Слабый всю жизнь идёт лёгкой дорогой, черта сильного выбрать трудный путь.
Будь осторожен в своих желаниях, ибо они иногда сбываются.


Отправлено: 10:10, 27-06-2012 | #14


Аватара для cameron

Ветеран


Сообщения: 4677
Благодарности: 1092

Профиль | Отправить PM | Цитировать


Вложения
Тип файла: zip consultant_2.zip
(74.3 Kb, 1 просмотров)

Цитата Anton04:
Это как раз мой случай, есть программы не сертифицированные для использования в Windows 7. К тому же можно ещё и поправить соответствующие параметры в реестре HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System отвечающие за UAC и отключить его совсем. »
вообще через ГП проще, на мой взгляд, но не суть, пусть так.
показывайте ваши настройки, по "отключению" UAC.
Цитата Anton04:
Кстати я ради интереса проверил эту msi и на Windows 2008 и тоже с отключённым UAC и там тоже не устанавливается от имени пользователя... вот такая вот байда... »
повторюсь, у вас стоит опция "требовать прав админа"!
Цитата Anton04:
Ну, у меня нету InstallShield, а в EMCO MSI builder именно такого нет, только то что я указал в предыдущем сообщении, если это не оно (я попробовал и создал msi с этим выбранным параметром "administrator" и всё ровно не пошло), то я даже теряюсь в догадках... »
да, я тоже не нашла в EMCO этой опции.
Цитата Anton04:
Это тема отдельного обсуждения, но в кратце не вижу смысла этой технологии в сервере терминалов, всё ровно пользователь ничего там установить не сможет. »
- всё равно ничего установить не может.
- ой блин, у меня пользователи ничего установить не могут.
- но я не вижу смысла.

вам самому не смешно?

да, закидывать один reg_sz через MSI пакет..
у меня нет слов, честно. особо вспомния ваш эпичный топик про "универсального солдата".

в аттаче переделанный пакет, проверьте его с вашими настройками.

-------
в личке я не консультирую и не отвечаю на профессиональные вопросы. для этого есть форум.


Отправлено: 11:49, 27-06-2012 | #15


Аватара для Anton04

Ветеран


Сообщения: 2161
Благодарности: 407

Профиль | Отправить PM | Цитировать


Цитата cameron:
в аттаче переделанный пакет, проверьте его с вашими настройками. »
Аналогично... установка не происходит.

Цитата cameron:
вообще через ГП проще, на мой взгляд, но не суть, пусть так. »
Да не спорю, но я рассматриваю ещё вариант и как отдельный ПК без домена, а там или mmc или файл реестра.

Цитата cameron:
показывайте ваши настройки, по "отключению" UAC. »
читать дальше »

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"EnableInstallerDetection"=dword:00000000
"EnableLUA"=dword:00000000
"PromptOnSecureDesktop"=dword:00000000
"ConsentPromptBehaviorAdmin"=dword:00000000
"EnableSecureUIAPaths"=dword:00000000
"EnableUIADesktopToggle"=dword:00000000
"EnableVirtualization"=dword:00000000
"FilterAdministratorToken"=dword:00000000
"ValidateAdminCodeSignatures"=dword:00000000


Цитата cameron:
повторюсь, у вас стоит опция "требовать прав админа"! »
Мне эта опция в EMCO недоступна, впрочем я её не нашёл и просматривая msi пакет с помощью Orca (и вообще на уровне таблиц, в Orca, я не обнаружил никаких отличий, ведать где-то это зашито глубже.

Цитата cameron:
вам самому не смешно? »
Нет, ни капельки... под "не установить никакие программы" я имею в виду именно установки программ в Program Files и доступ к ветке реестра HKLM, а не запуск msi пакета который вносит правку в пользовательскую ветку реестра

Цитата cameron:
да, закидывать один reg_sz через MSI пакет.. »
Каждый извращается как он хочет В msi меня привлекает контроль версий.

Цитата cameron:
у меня нет слов, честно. особо вспомния ваш эпичный топик про "универсального солдата". »
Пути создателя неисповедимы...

-------
Слабый всю жизнь идёт лёгкой дорогой, черта сильного выбрать трудный путь.
Будь осторожен в своих желаниях, ибо они иногда сбываются.


Отправлено: 12:21, 27-06-2012 | #16


Аватара для cameron

Ветеран


Сообщения: 4677
Благодарности: 1092

Профиль | Отправить PM | Цитировать


Цитата Anton04:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"EnableInstallerDetection"=dword:00000000
"EnableLUA"=dword:00000000
"PromptOnSecureDesktop"=dword:00000000
"ConsentPromptBehaviorAdmin"=dword:00000000
"EnableSecureUIAPaths"=dword:00000000
"EnableUIADesktopToggle"=dword:00000000
"EnableVirtualization"=dword:00000000
"FilterAdministratorToken"=dword:00000000
"ValidateAdminCodeSignatures"=dword:00000000 »
сделала так же, мой MSI ставится и прописывает нужный параметр.
что бы и у вас работало - обратитесь к первому моему посту в этой теме и сделайте требуемую настройку.


кстати у вас MSI кривой, при удалении пакета запись в реестре остаётся

-------
в личке я не консультирую и не отвечаю на профессиональные вопросы. для этого есть форум.


Отправлено: 13:03, 27-06-2012 | #17


Аватара для Anton04

Ветеран


Сообщения: 2161
Благодарности: 407

Профиль | Отправить PM | Цитировать


Цитата cameron:
что бы и у вас работало - обратитесь к первому моему посту в этой теме и сделайте требуемую настройку. »
Не понял, мне нужно добавить этот параметр или убрать!? Что-то я совсем запутался...

Цитата cameron:
кстати у вас MSI кривой, при удалении пакета запись в реестре остаётся »
Не кривой... всё там и задумано...

-------
Слабый всю жизнь идёт лёгкой дорогой, черта сильного выбрать трудный путь.
Будь осторожен в своих желаниях, ибо они иногда сбываются.


Отправлено: 13:11, 27-06-2012 | #18


Аватара для cameron

Ветеран


Сообщения: 4677
Благодарности: 1092

Профиль | Отправить PM | Цитировать


Цитата Anton04:
Не понял, мне нужно добавить этот параметр или убрать!? Что-то я совсем запутался... »
Цитата:
0 Windows Installer is enabled for all applications. All install operations are allowed.
Цитата Anton04:
всё там и задумано... »

-------
в личке я не консультирую и не отвечаю на профессиональные вопросы. для этого есть форум.


Отправлено: 13:15, 27-06-2012 | #19


Ветеран


Сообщения: 27449
Благодарности: 8087

Профиль | Отправить PM | Цитировать


Цитата cameron:
да, закидывать один reg_sz через MSI пакет.. »
Цитата cameron:
кстати у вас MSI кривой, при удалении пакета запись в реестре остаётся »
Цитата Anton04:
Не кривой... всё там и задумано... »
Anton04, теперь и я не вижу никакого смысла в использовании msi-пакета.

Отправлено: 13:21, 27-06-2012 | #20



Компьютерный форум OSzone.net » Серверные продукты Microsoft » Windows Server 2008/2008 R2 » 2008 R2 - Ошибка установки msi пакета на сервере от имени доменого пользователя.

Участник сейчас на форуме Участник сейчас на форуме Участник вне форума Участник вне форума Автор темы Автор темы Шапка темы Сообщение прикреплено

Похожие темы
Название темы Автор Информация о форуме Ответов Последнее сообщение
Установка - [решено] проблема установки пакета msi на windows 2000 aka_daemon Microsoft Windows 2000/XP 4 21-03-2012 16:17
Разное - Ошибка инициализации пакета безопасности Kerberos BoTar Microsoft Windows Vista 19 18-03-2012 23:57
Разное - Ошибка установки языквого пакета на Windows 7 Ultimate SP1 x64 Dezmen Microsoft Windows 7 1 10-08-2011 01:01
Интерфейс - [решено] Ошибка установки языкового пакета. kanapfelka Microsoft Windows 7 2 18-01-2010 19:51
[решено] Переименовать пользователя в домене без изменения настроек старого пользователя bodil Microsoft Windows NT/2000/2003 18 07-02-2009 18:38




 
Переход