Windows Installer temporäre Dateien auf System-Laufwerk erzwingen statt auf größtem Laufwerk

Question

Hallo;

Ich habe für die Sicherheit des Systems eine Richtlinie erstellt, die das Ausführen von Software nur auf dem Systemlaufwerk C erlaubt. Alle Benutzerdaten der eingeschränkten Standardnutzer liegen auf Laufwerk D.

Nun habe ich ein Problem mit manchen Sicherheitsupdates, vor allem mit .net framework usw., da der Windows Installer nutzt standardmäßig ja das Laufwerk mit dem meisten freien Speicher im System für die Ablage von temporären Dateien, vgl. auch [http://msdn.microsoft.com/en-us/library/aa371372%28VS.85%29.aspx]

Wie kann ich erzwingen, dass jedes Update auf dem Systemlaufwerk C die temp-Dateien anlegt, so wie es die meisten anderen Updates auch machen:

also entweder unter C:/windows/temp

oder unter Systemvariable temp/tmp

Folgender Eintrag in den Ereignissen:

Der Zugriff auf "d:\c1985e135b26048a03f8\HotFixInstaller.exe" wurde vom Administrator durch die Standardrichtlinienstufe für Softwareeinschränkungen eingeschränkt.

Danke für die Antworten

Answer 1

Am 08.04.2013 schrieb Jonas Kisi:

Frage: Wie kann ich mit pcwWinPolice oder einem anderen Tool deine beschreibenen Ordner als Variable angeben (%programfiles%, %programfiles(x86)% oder in %windir% liegen).

Sieh dir SAFER.INI von Stefan Kanthak an:
http://home.arcor.de/skanthak/safer.html#safer

Allerdings verstehe ich den Ansatz nicht ganz, denn die Variablen stehen ja auch nur für die Ordner auf dem Systemlaufwerk. Wie kann mit dieser Einschränkung dann eine ausführbare Datei "d:\c1985e135b26048a03f8\HotFixInstaller.exe" gestartet werden? Oder meinst Du ein anderes Verfahren zur Einschränkung von Exetutebles?

Du kannst zusätzlich die NTFS-Berechtigungen für die Partition
einschränken, dann sollte ein Installer dort auch nicht mehr Ordner
anlegen können.

Servus
Winfried

---

Connect2WSUS: http://www.grurili.de/tools/Connect2WSUS.exe
GPO's: http://www.gruppenrichtlinien.de
Community Forums NNTP Bridge: http://communitybridge.codeplex.com/

Answer 2

@Winfried: Danke für die schnelle Antwort

Ich erstelle die Richtlinie mit pcwWinPolice. Ursprünglich hatte ich nur die Ordner wichtigen Ordner ausgewählt. Bei diesem Zustand hatte Laufwerk C:/ noch den größten freien Speicher. Ich musste dann komplett C: freigeben damit die am Anfang beschriebenen Updates funktionierten. Danach änderte ich die Partitionsgröße von D:. .-)

Frage: Wie kann ich mit pcwWinPolice oder einem anderen Tool deine beschreibenen Ordner als Variable angeben (%programfiles%, %programfiles(x86)% oder in %windir% liegen).

Allerdings verstehe ich den Ansatz nicht ganz, denn die Variablen stehen ja auch nur für die Ordner auf dem Systemlaufwerk. Wie kann mit dieser Einschränkung dann eine ausführbare Datei "d:\c1985e135b26048a03f8\HotFixInstaller.exe" gestartet werden? Oder meinst Du ein anderes Verfahren zur Einschränkung von Exetutebles?

Gruß

Jonas

Answer 3

Am 07.04.2013 schrieb Jonas Kisi:

Ich habe für die Sicherheit des Systems eine Richtlinie erstellt, die das Ausführen von Software nur auf dem Systemlaufwerk C erlaubt. Alle Benutzerdaten der eingeschränkten Standardnutzer liegen auf Laufwerk D.

Guter Ansatz, nicht ganz fertig gedacht. Ausführbare Dateien dürfen
nur in %programfiles%, %programfiles(x86)% oder in %windir% liegen
bzw. ausgeführt werden. Damit hast Du das erreicht was Du eigentlich
erreichen willst, trotzdem schränkst Du das nicht auf
Laufwerksbuchstaben ein. Überleg dir das nochmal. ;)

Nun habe ich ein Problem mit manchen Sicherheitsupdates, vor allem mit .net framework usw., da der Windows Installer nutzt standardmäßig ja das Laufwerk mit dem meisten freien Speicher im System für die Ablage von temporären Dateien, vgl. auchhttp://msdn.microsoft.com/en-us/library/aa371372%28VS.85%29.aspx

Wie kann ich erzwingen, dass jedes Update auf dem Systemlaufwerk C die temp-Dateien anlegt, so wie es die meisten anderen Updates auch machen:
also entweder unter C:/windows/temp
oder unter Systemvariable temp/tmp

Das kannst Du nicht einschränken, ist IMHO im Windows Update Agent so
hart einprogrammiert.

Folgender Eintrag in den Ereignissen: Der Zugriff auf "d:\c1985e135b26048a03f8\HotFixInstaller.exe" wurde vom Administrator durch die Standardrichtlinienstufe für Softwareeinschränkungen eingeschränkt.

Jepp, siehe oben, ändere das, und das Problem ist Vergangenheit.

Servus
Winfried

---

Connect2WSUS: http://www.grurili.de/tools/Connect2WSUS.exe
GPO's: http://www.gruppenrichtlinien.de
Community Forums NNTP Bridge: http://communitybridge.codeplex.com/