A definição de política de grupo "Encriptar cache de ficheiros offline" não tem efeito quando um utilizador inicia sessão num computador baseado no Windows XP

Depois do administrador de rede aplica-se a encriptar a definição de política de grupo de cache (EncryptCache) de ficheiros offline a um computador baseado no Microsoft Windows XP Professional, a definição de política de grupo não tem efeito sobre o computador cliente. Este sintoma ocorre apenas se o utilizador inicia sessão interactivamente utilizando o teclado.

Além disso, é registado o seguinte evento no registo de eventos de aplicações:

Tipo de evento: erro
Origem do evento: Ficheiros offline
ID do evento: 16
Descrição: Encriptação da cache de ficheiros offline falhou com o erro 5. O acesso é negado. O registo de eventos da aplicação

Este problema poderá ocorrer quando o utilizador que inicia a sessão não tem permissões de administrador.

Quando o administrador se aplica a encriptar política de grupo em cache os ficheiros offline, o valor de registo EncryptCache no computador cliente é actualizado. Dependendo do valor de registo, a extensão cache do cliente (Cscui.dll) no Explorador do Windows tenta encriptar a pasta cache do cliente. No entanto, o estado de encriptação de pasta cache do cliente não pode ser alterado por um utilizador que não tenha permissões de administrador.

Está disponível a partir da Microsoft uma correcção suportada. No entanto, esta correcção destina-se a corrigir o problema descrito neste artigo. Aplique esta correcção apenas em sistemas que tenham este problema específico. Esta correcção poderá submetida a testes adicionais. Por conseguinte, se não estiver a ser gravemente afectado por este problema, recomendamos que aguarde pela próxima actualização de software que contenha esta correcção.

Se a correcção está disponível para transferência, existe uma secção "denominada transferência de correcção disponível" na parte superior deste artigo da base de dados de conhecimento. Se esta secção não for apresentado, contacte o serviço de cliente do Microsoft e suporte para obter a correcção.

Nota Se ocorram problemas adicionais ou se for necessária qualquer resolução de problemas, poderá ter de criar um pedido de assistência separado. Os custos normais do suporte serão aplicados a problemas adicionais e questões de suporte que não se enquadrem esta correcção específica. Para obter uma lista completa dos números de telefone do suporte de cliente do Microsoft ou para criar um pedido serviço separado, visite o seguinte Web site da Microsoft: Nota O formulário "Transferência de correcção disponível" apresenta os idiomas para a qual a correcção está disponível. Se não vir o idioma, é porque uma correcção não está disponível para esse idioma.
A versão inglesa desta correcção tem os atributos de ficheiro (ou atributos de ficheiro posteriores) listados na seguinte tabela. As datas e horas destes ficheiros são indicadas no formato de universal hora (UTC) coordenada Coordinated. Quando visualiza as informações do ficheiro, é convertido para a hora local. Para determinar a diferença entre a UTC e a hora local, utilize o separador fuso horário na ferramenta Data e hora no painel de controlo.

versões de 32 bits do Windows XP

versões de 64 bits do Windows XP

um

Aplicar a correcção

Esta correcção altera a forma que a definição de política de grupo EncryptCache é implementada. Antes de aplicar a correcção, a política EncryptCache é implementada como uma extensão de cache do cliente em Cscui.dll. Depois de aplicar a correcção, a extensão de cliente Cscui.dll é utilizada quando esta definição de política de grupo é aplicada a um computador. A Extensão de cliente Cscui.dll encripta ou desencripta a cache de cache do cliente, consoante a definição. Esta extensão de cache do cliente é utilizada num contexto privilegiado. Por conseguinte, um administrador não tem de iniciar sessão no computador interactivamente para encriptar a cache.

Para aplicar esta correcção, certifique-se que efectue ambos os seguintes procedimentos:

• Actualize a definição de política de grupo do Active Directory para fazer referência a nova extensão cache do cliente.
• Instale esta correcção em todos os computadores baseados no Windows XP.
  
  Nota O ficheiro System.adm de política de grupo local também é actualizado quando aplicar a correcção.

Quando aplicar esta correcção, o ambiente de produção pode conter um ou mais dos seguintes procedimentos:

• Uma definição de Active Directory política de grupo do antiga que não tenha a extensão de cache do cliente.
• Uma definição de política de grupo do Active Directory nova que tenha a extensão de cache do cliente.
• Um computador baseado no Windows XP que não tenha a Correcção aplicada.
• Um computador baseado no Windows XP com a Correcção aplicada.

A tabela seguinte explica o que acontece quando as definições antigas forem misturadas com as novas definições.Com base nesta tabela, utilizar a seguinte estratégia de implementação.

Parte 1: Modificar a definição de política de grupo do Active Directory

Para modificar a definição de política de grupo do Active Directory para a nova extensão de lado a cliente de política de grupo de referência, utilize a nova extensão do lado do cliente de uma definição de política de grupo do Active Directory.

Nota Actualizar o ficheiro System.adm e o objecto de política de grupo no Active Directory. Actualize o ficheiro de System.adm pela primeira vez. Para o fazer, siga estes passos:

1. Actualizar o ficheiro System.adm para incluir a linha CLIENTEXT, da seguinte forma:

   POLICY!!Pol_EncryptOfflineFiles
      #if version >= 4
         SUPPORTED !!SUPPORTED_WindowsXP
      #endif
      VALUENAME "EncryptCache"
      EXPLAIN !!Pol_EncryptOfflineFiles_Help
         VALUEON  NUMERIC 1
         VALUEOFF NUMERIC 0
         CLIENTEXT {C631DF4C-088F-4156-B058-4375F0853CD8}
   END POLICY
   

   para localizar o caminho de localização de ficheiro System.adm para a definição de política de grupo, siga estes passos:
   1. Utilize a ferramenta computadores e utilizadores do Active Directory para seleccionar um contentor em que a definição de política de grupo é aplicada.
   2. Altere o contentor para apresentar a definição GUID da política de grupo. Um exemplo deste GUID é {9F16DD40-9777 4AD9 870 C-9B9F1E73203E}.
   3. Utilize a ferramenta de edição de interfaces de serviço do Active Directory (ADSI) ou a ferramenta EnumProp para apresentar o atributo gPCFileSysPath , tal como no exampe seguinte:

      enumprop "LDAP://mydc/CN={3D6FF2C0-1DFC-41A9-AE72-D4502BDA81E8},CN=Po
      licies,CN=System,DC=mycompany,DC=com"

      O exemplo seguinte mostra o atributo gPCFileSysPath :

      LDAP://machinedc/CN={3D6FF2C0-1DFC-41A9-AE72-D4502BDA81E8},CN=Policies,CN=Syst
      em,DC= mycompany,DC=com: 19 set properties.
       gPCFileSysPath: \\Test.net\SysVol\mycompany.com\Policies\{3D6FF2C0-1DFC-41A9-AE72
      -D4502BDA81E8}

      Nota A ferramenta EnumProp está incluída no Windows XP Resource Kit.
2. Actualize o objecto política de grupo do Active Directory para incluir a extensão do lado do cliente no atributo gPCMachineExtensionNames . Para efectuar este procedimento automaticamente no snap-in Editor de política de grupo, siga estes passos:
   1. Utilize o snap-in Editor de política de grupo para modificar a definição de política de grupo.
   2. Modificar a definição de política de grupo "Encriptar cache de ficheiros offline".
      
      Nota Uma vez que a definição de política de grupo "Encriptar cache de ficheiros offline" está agora ligada a nova linha CLIENTEXT no ficheiro System.adm, o Editor de política de grupo irá actualizar automaticamente o atributo de Active Directory gPCMachineExtensionNames para incluir a extensão do lado do cliente nova GUID.

Parte 2: A correcção de implementação aos computadores baseados no Windows XP

Depois de aplicar esta correcção, poderá receber a seguinte mensagem de erro no registo de aplicações:Se receber esta mensagem de erro depois de reiniciar o Windows XP, pode ignorá-la com segurança. Sempre que o Windows for reiniciado, a definição de política de grupo "Encriptar cache de ficheiros offline" Determina se a cache de pasta offline está encriptada. Se a base de dados cache do cliente não está totalmente inicializado, a política regista esta mensagem de erro. Uma vez que a política é actualizada em intervalos definidos, pode ignorar esta mensagem de erro com segurança.

A Microsoft confirmou que este é um problema nos produtos da Microsoft listados na secção "Aplica-se a".

A definição de política de grupo "Encriptar cache de ficheiros offline" Determina se os ficheiros offline estão encriptados. Ficheiros offline residem numa unidade local do utilizador, não na rede. Ficheiros offline são armazenados na cache local no computador. Esta cache de encriptação ajuda a melhorar a segurança num computador local. Se a cache no computador local não está encriptada, não são encriptados os ficheiros encriptados que são colocados em cache a partir da rede no computador local. Esta situação pode constituir um risco de segurança em alguns ambientes.

notas

• Se activar a definição de política de grupo "Encriptar cache de ficheiros offline", todos os ficheiros na cache de ficheiros offline estão encriptados. Isto inclui ficheiros existentes e ficheiros que são adicionados mais tarde. A cópia em cache no computador local é afectada, mas a cópia de rede associada não é afectada. O utilizador não consegue desencriptar ficheiros offline através da interface do utilizador.
• Se desactivar a definição de política de grupo "Encriptar cache de ficheiros offline", todos os ficheiros na cache de ficheiros offline são encriptados. Isto inclui ficheiros existentes e ficheiros que são adicionados mais tarde. A cópia em cache no computador local é afectada, mas a cópia de rede associada não é afectada. O utilizador não é possível encriptar ficheiros offline através da interface do utilizador.
• Se não configurar a definição de política de grupo "Encriptar cache de ficheiros offline", encriptação da cache de ficheiros offline é controlada pelo utilizador através da interface do utilizador. O estado actual da cache é mantido e se a cache apenas parcialmente é encriptada, a operação concluída para que a cache é totalmente encriptada. A cache não voltar ao estado não encriptado. O utilizador tem de ter permissões de administrador no computador local para encriptar ou desencriptar a cache de ficheiros offline.
• Por predefinição, a lista de controlo de acesso (ACL) ajuda a proteger a cache de ficheiros offline numa partição do sistema de ficheiros NTFS.

Para obter mais informações sobre a terminologia utilizada neste artigo, clique no número de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base: