В апреле 2019 года Microsoft без фанфар реализовала (поначалу в превью) возможность установки OneDrive в папку Program Files (x86)\Microsoft OneDrive. Сегодня я расскажу, почему это важно и как перейти на новую модель установки.

Терминология

Прежде чем перейти к делу, я бы хотел определиться с  терминологией установки приложений. Есть два варианта:

• Per machine. Установщик запускается с правами администратора и помещает файлы программы системную папку (Program Files), а пользовательские данные и настройки находятся в профиле. Я буду называть это системной установкой.
• Per user. Установщик запускается без прав администратора и помещает файлы программы в профиль пользователя. Там же находятся его данные и настройки. Я буду называть это пользовательской установкой.

Почему плохо устанавливать программы в профиль

С точки зрения безопасности, приложения должны устанавливаться в Program Files или Program Files (x86), куда доступ на запись есть только у администратора. Вне этих папок исполняемых файлов быть не должно, потому что в таком случае их можно подменить с ограниченными правами и нанести ущерб.

В жестко контролируемой среде такой подход упрощает применение политик, ограничивающих запуск исполняемого кода.

Например, в AppLocker разрешается запуск только из Program Files. Конечно, только этим правилом не обойтись, но сегодня речь о другом.

В последние годы практика установки программ в профиль набрала огромные обороты. Нередко это является стандартным поведением установщиков.

Даже если возможность системной установки сохраняется, не всегда очевидно, как ее выполнить. Иногда установщик принимает параметр командной строки, иногда достаточно запустить его от имени администратора (привет, Telegram). Также распространен вариант с отдельным установщиком — например Chrome MSI и VS Code ниже.

К сожалению, Microsoft в случае с OneDrive и Windows 10 подхватила тренд установки в профиль и не предлагала альтернативы почти четыре года.

Случай не единичный. Например, VS Code тоже ставится в профиль, а для установки в Program Files к загрузке предлагается отдельная версия (sic!). Но он хотя бы не входит в состав Windows.

Трудно сказать, что является официальной рекомендацией Microsoft. Так, для MSI рекомендуется именно пользовательская установка. Однако вернемся к OneDrive.

Как происходит установка OneDrive

Установщик входит в дистрибутив: C:\Windows\System32\OneDriveSetup.exe. В профиле аккаунта Default запуск установщика прописан в реестре – параметр OneDriveSetup в разделе

\Software\Microsoft\Windows\CurrentVersion\Run

Соответственно, при первом входе в каждую новую учетную запись для нее выполняется установка клиента, при этом исполняемый файл помещается в профиль пользователя %localappdata%\Microsoft\OneDrive.

Как предотвратить установку OneDrive

Этот вопрос не раз всплывал в форуме и чате. Из описания процесса установки следует, что единственный превентивный способ – модификация WIM-образа. В частности нужно:

1. Подключить WIM.
2. Загрузить в regedit куст ntuser.dat из профиля Default и удалить параметр запуска установщика ↑
3. Выгрузить куст реестра и отключить WIM с сохранением изменений.

Я обойдусь без команд, поскольку недавно показывал автоматизацию аналогичного процесса.

Альтернатива – зачистка от OneDrive системы и первого профиля уже после его создания. Скрипт есть в официальном документе по оптимизации систем для VDI.

Как установить OneDrive в Program Files

Начиная с версии клиента 19.043.0304.0006 появился ключ /allusers. Для установки нужны права администратора, однако они не требуются впоследствии для обновления клиента.

1. Скачайте последнюю версию клиента
2. В командной строке перейдите в папку с установщиком и выполните
   OneDriveSetup /allusers

При этом модель установки автоматически конвертируется из пользовательской в системную. Другими словами, все существующие и новые учетные записи переходят на новую модель с клиентом в системной папке.

Обратный переход в пользовательскую модель установки возможен только путем удаления клиента и его повторной установкой без ключа /allusers.

Любопытно, что в документации компания обещает активнее рекомендовать своим клиентам вариант системной установки. Непонятно, что конкретно мешает внедрить ее в новые версии ОС.

Дискуссия и опрос

У меня все приложения установлены в папки, запись в которые возможна только с полными правами. Конечно, у меня есть папка Portable Soft, но и она в Program Files.

А как у вас дела обстоят — много программ храните в профиле или на другом разделе? Почему? Напишите в комментариях!

 Загрузка ...