[SBS2003] Site wordt niet toegevoegd aan trusted zone GPO

[Dark Wanderer]

Heb bij een klant van ons de volgende situatie:

- SBS2003 server als domain controller.
- Server 2003 met Citrix Essentials als terminal server.
Beiden gebruiken IE7.

De klant heeft een aantal sites welke gebruik maken van een activex control, wat zij telkens moeten goedkeuren bij het openen van de site. Hier willen zij vanaf.

Ik heb een policy aangemaakt die activex componenten automatisch runt als deze zich in een "trusted zone" bevind. Ik wil met een group policy de betreffende sites toevoegen aan de trusted zone (IE > settings > security > trusted sites).

Ik doe dit via een user policy; admin. templates > windows components > internet explorer > internet control panel > security page > site to zone assignment list. Ik heb hier de site in het volgende formaat toegevoegd: "https://www.domein.nl/*" en "https://www.domein.nl" met value 2 zodat deze in de trusted zones terecht komt.

Toch werkt dit niet. Het meest vreemde is dat ik in de citrix sessie onder in de statusbalk van IE7 niet de zone "internet" zie met het wereldbolletje ernaast, maar een icoon van een "huisje", welke buiten het venster valt, met daarnaast de tekst internet.

Heeft iemand enig idee wat ik fout doe, of wat ik nog kan proberen. De policy is ingesteld in een aparte GPO object, dus niet in combinatie met andere settings.

Graag jullie reactie.

[elevator]

Het sterrretje achter de domainname kan ik niet plaatsen, misschien moet je die proberen weg te halen?

[pasta]

Is dat niet een wildcard?

Overigens, staat de ActiveX component ook gewoon op www.domeinnaam.nl?

[Dark Wanderer]

Hmmm

* Dat is inderdaad een wildcard. Ik heb van alles geprobeerd, met www. ervoor, zonder dat ervoor, met http(s) er voor, enzovoort. ALs je het lokaal op een pc instelt voor https://www.domein.nl werkt het gelijk. Op een of andere manier wordt de polic niet doorgevoerd.

Kan het te maken hebben met een andere policy of zo die het wijzigen van de zones verhinderd ?

[sanfranjake]

Dat * erachter hoeft niet, en zal vast een probleem zijn voor de gpo parser. Haal dat eens helemaal weg zodat er alleen nog maar http://vertrouwde.site.nl staat? Je vertrouwt namelijk of een hostname, of een hostname via een bepaald protocol, maar niet alleen bepaalde (of met * alle) submappen op een host!

[Dark Wanderer]

Ok, heb het wat verder getest.

- Het domein is voor twee bedrijven. 1 bedrijf heeft al een lijst met trusted sites, en de andere wil ik het voor aanmaken.
- Bij de policy voor bedrijf 1 staan sites in de policy als "nu.nl" of bijvoorbeeld "domein.nl". Als je dan inlogt als een gebruiker, kun je bij IE > opties > beveiliging dan *.nu.nl en dergelijke zien staan, en dan wordt de site ook als trusted site gezien.
- Bij bedrijf 2 kun je de lijst met trusted sites helemaal niet bekijken omdat dit wordt tegengehouden door een policy. Tevens ziet hij elke site als "internet" in de statusbalk, met een "huisje" ernaast in plaats van een wereldbolletje. Heel vreemd.

Ik heb alle policies vergeleken met RSOP tussen bedrijf 1 en 2, maar deze zijn allemaal hetzelfde. Kan iemand mij vertellen of er mogelijk een user policy is die voorkomt dat de "site to zone assignment" list niet ingevoerd wordt bij het inloggen ?

[Dark Wanderer]

Iemand nog enig idee? Ik heb het over het volgende icoontje dat me niet normaal lijkt. Kan iemand me vertellen waar dit vandaan kan komen?

Het is IE7 in een citrix sessie.
http://www.marcobrouwer.net/public/screenshot.jpg

[alt-92]

Heb je dit met of zonder Enhanced Security Configuration ingesteld via GPMC via de Server?

[Dark Wanderer]

Zou je dit iets verder willen toelichten.

Op beide servers, (SBS2003 server, en de citrix server), is IE ESC niet geinstalleerd volgens add/remove windows components.

Kan het iets te maken hebben met de policy "Security zones: do not allow user to add/remove sites" ??
Deze is NIET actief over het gehele domein. Lijkt me er niets mee te maken te hebben, gezien dan alle gebruikers er dan wel last van zouden hebben.

[Dark Wanderer]

Iemand ?

[alt-92]

Er staat me iets bij van een wat rare bug icm IE7 en dergelijke policies, maar dat zou ik even moeten opzoeken.

The "Intranet Sites: Include all local (intranet) sites not listed in other zones" policy setting does not function as expected in Internet Explorer 7

[Dark Wanderer]

Ik ben weer een stukje verder.
Op een of andere manier stond IE ESC nog wel aan voor allerlei users.

Ik heb inetesc.adm toegevoegd aan de group policy's, en nu zijn de meldingen weg, en werken de toekeningen aan trusted sites wel.

Het vreemde is echter wel dat sommige users de lijst met trusted sites kan bekijken, en sommigen niet.

Enig idee?