Как настроить хранилище объектов "Путь поиска в Интернете" для установок ActiveX?
Чтобы определить, какие компоненты ActiveX разрешено устанавливать пользователям, я подумывал о настройке компьютера в качестве хранилища объектов, а затем о настройке пути поиска в Интернете для перенаправления запросов на установку ActiveX из Интернета в хранилище объектов под моим контролем.
Мне было интересно, знаете ли вы кого-нибудь, кто успешно это настроил, и есть ли какое-нибудь руководство по настройке машины в качестве хранилища объектов?
Благодарю.
Путь поиска в Интернете описан здесь:
http://msdn.microsoft.com/en-us/library/aa741211(v=vs.85).aspx
1 ответ
Функциональность восходит к 1996 году, но я никогда не видел реализацию части системы "хранилище объектов". Я также не знаю, что Microsoft выпустит эталонную реализацию.
Это не было бы чрезвычайно трудно написать. Он просто должен получать запросы POST и возвращать перенаправление на "лучший" URL объекта (на основе запрошенного типа MIME, CLSID, а также с учетом типов языка и типов MIME, которые клиент ожидает).
Я не уверен, что вижу преимущество в использовании этой функциональности. Что вы ищете?
Дополнительная гарантия целостности? В любом случае, вы должны разрешать установку только подписанных элементов управления, так что это не значит, что наличие собственного хранилища даст вам некоторую дополнительную меру обеспечения целостности.
Снижение использования полосы пропускания клиентами? Загрузка элементов управления осуществляется через HTTP, поэтому кэширующий HTTP-прокси минимизирует пропускную способность, используемую при загрузке кода, а также эффективно перенаправляет клиентов в центральное хранилище объектов.
Использование центрального хранилища объектов на самом деле ничего не делает с правами пользователя клиента, что, как я вижу, является основной проблемой, связанной с установкой элемента управления.
Предположительно, ваши пользователи не имеют прав "Администратор", поэтому они все равно не могут установить произвольный код (для всей машины). Если у вас есть "современные" версии Windows, вы можете использовать службу установщика ActiveX для "установки" белого списка компонента ActiveX для пользователя, не являющегося администратором. Вы можете сделать это без центрального хранилища объектов.
IE 8 допускает установку элементов управления ActiveX без прав администратора (установка в HKEY_CURRENT_USER вместо HKEY_CLASSES_ROOT), но пользователь сможет только испортить свою собственную среду с этими установками (при условии, конечно, что они не имеют прав "Администратор")). Эта функция также может быть отключена групповой политикой.