ALT Linux Bugzilla – #56019

Стенды (Обновленные до Sisyphus):
p11 workstation X86_64
p11 education Xfce X86_64

Версия пакетов:
gpupdate-0.13.4-alt1.noarch
admx-basealt-0.6.0-alt1.noarch

Шаги воспроизведения:
1) Развернуть Samba сервер и подключить к нему клиента и управляющую машину
2)  На управляющей машине зайти от имени администратора домена
3) Запустить admc(от имени доменного пользователя):
   $ admc
4) Раскрыть список "Объекты групповой политик"
5) Нажать ПКМ на "Default domain policy"и в выпадающем списке выбрать "Изменить"
6) Включить поддержку экспериментальных групповых политик и дополнительные политики:
   - Компьютер → Административные шаблоны → Система ALT -> Групповые политики → Экспериментальные групповые политики -> Включено
 
- Компьютер → Административные шаблоны → Система ALT -> Групповые политики → Механизмы GPUpdate:
  
   Управление ярлыками -> Включено
  Управление ярлыками для пользователей -> Включено

Важно! Условие работы этой политики - это вход нового пользователя. То есть отсутствие домашней папки. Соответственно нужно либо создать нового доменного пользователя  и проверять для него, либо удалить домашнюю папку текущего пользователя.
7) Настроить ярлык:
    Пользователь → Настройки → Настройки системы → Значки:

- Действие: Создать
- Название: chromium
- Тип цели: Объект файловой системы
- Место нахождения: Рабочий стол
- Целевой путь: /usr/bin/chromium
- Аргументы: ya.ru
- Путь к файлу значка: /usr/share/icons/hicolor/48x48/apps/chromium.png
- Быстрая клавиша: можно не указывать
- Запуск: оставить по умолчанию
- Комментарий: можно оставить пустым

На вкладке Общие включить параметр Выполнять в контексте безопасности текущего пользователя

нажать OK

8) Перезагрузить клиентскую систему, авторизоваться доменным пользователем.
9) Попробовать запустить только что созданный ярлык


=========================================
Ожидаемый результат:  приложение запускается без предупреждений

Реальный результат:  Появляется предупреждение вида
"не вызывающий доверия ярлык"

Примечание: Не воспроизводится на системах с KDE. Воспроизводится в P11

Created attachment 19697 [details]
Пример ошибки в XFCE

gpupdate-0.14.0-alt1 -> sisyphus:

Thu Nov 27 2025 Valery Sinelnikov <greh@altlinux> 0.14.0-alt1
- Added:
  Comprehensive plugin development documentation in English and Russian
  GDM backup and restore functionality
  FreeIPA backend configuration and authentication
  libcng-dpapi dependency for LAPS support
  systemd-logind dependency to gpupdate service
  DMApplier plugin for display manager configuration
- Changed:
  Refactored plugin system infrastructure
  Optimized FreeIPA backend and configuration
- Fixed:
  GPO downloading and error handling
  Firewall reset command path safety check
  LAPS applier encryption mechanism
  Drive letters from GPO application instead of labels
  GPO processing with trusted domain support
  Shortcuts created via GPO are now marked as trusted (closes:56019)

Ошибка воспроизводится. 
Версии пакетов:

gpupdate-0.16.3-alt1.noarch
admx-basealt-0.8.0-alt1.noarch

Стенды, обновленные до Sisyphus:

alt-education-11.2-x86-64-xfce
alt-server-11.1-x86-64

Created attachment 22257 [details]
xfce

gpupdate-0.16.4-alt1 -> sisyphus:

Thu Oct 15 2026 Valery Sinelnikov <greh@altlinux> 0.16.4-alt1
- Added:
  gpupdate-machine-run for commands with isolated machine Kerberos credentials
  (closes: 60548)
  GPO-configurable user policy refresh on SSH login (closes: 53161)
  Chromium 153 integer-valued policy exceptions
  Optional strict exit status for policy scripts
- Fixed:
  User file policies creating root-owned home directories (closes: 48946)
  KDE policy application without a graphical environment (closes: 60718)
  Missing icon and comment in merged machine shortcuts (closes: 60563)
  GNOME and XFCE shortcut trust metadata (closes: 56019)
  Absolute local script paths (closes: 47135)
  Structured Chromium and Yandex JSON preservation through dconf
  (closes: 46281)
  Yandex numeric policy types for delays, limits and import settings
  ADMX numeric-value extraction for decimal elements and enums
  Packaged display manager plugin discovery and safe GDM background updates
  LightDM greeter detection and native INI configuration
  User polkit rule isolation, plugin execution and privilege-worker IPC
  GPO cache identity, FreeIPA refresh handling and loopback precedence
  Policy-scoped and per-user apply-once state, managed-file and hidden cleanup
  Cached policy application
  File-operation safety, bounded worker IPC and command-group cleanup
  Kerberos credential isolation and LAPS retry post-actions
  Native DWORD handling in Firewall and NTP, standalone GSettings lock updates
  Script preparation failures and active timer shutdown when disabling gpupdate
  Browser policy publication and GDM restoration across theme upgrades
  Configuration preservation on upgrade and policy execution error reporting
- Packaging:
  Ship shared applier templates with gpoa-lib
- Documentation:
  Clarified plugin translation paths and documented regression test scenarios