|
Запрет на установку ПО пользователям домена
Сервер - 2008 R2
Клиент - Win 7 Pro x64 Задача: запретить пользователям домена устанавливать приложения на своих рабочих станциях. Для этого в групповой политике включил " требовать повышение прав при установке программ" в конфигурации программ и в кон-ии пользователя. Политика приминилась, однако результата это не дало: на рабочей станции логинимся под пользователем, запускаем установку из *.msi , она начинается, потом просто выскакивает окошко UAC о том что для установки требуются администраторские права, я нажимаю да - и установка успешно завершается. Мне это не нужно. Мне нужно чтобы пользователь не мог устанавливать ПО , а администратор на этой же рабочей станции мог это делать ( просто залогинившись админом, или из под юзера командой Run As Admin в меню) . Что я делаю не так ? Спасибо |
ну как бы уберите пользователя из группы "локальные Администраторы"
|
Цитата:
|
Пользователи домена и без того не могут устанавливать приложения уже по умолчанию. Тут даже не столько убирать их из группы Администраторов нужно, сколько немедленно провести расследование, как они могли в той группе оказаться вообще. Хуже и придумать нельзя, разве только привилегии Доменного администратора им выдать. И сразу застрелиться.
|
WindowsNT, только паниковать не надо.............
|
exo, полагаю, это никакая не паника. Просто здравый смысл и опыт.
|
|
exo, напоминаю чужой опыт: умные учатся на своих ошибках, а мудрые — и на чужих ;).
|
Цитата:
Цитата:
Ни какого криминала во время владениями правами совершено не было. я по этому и написал - без паники! Это лишняя трата нервов. и п.с. хуже придумать можно ;) права "администратор предприятия". |
Цитата:
|
Убрал пользователя из группы локальных администраторов, сейчас он вообще ни в каких группах не состоит, но это не помогло, я залогинился снова но ничего не изменилось, я все также могу устанавливать программы и изменять системные настройки, реестр и т.п.
Команда whoami /all |
Цитата:
Цитата:
|
Цитата:
Честно говоря мне не совсем понятна логика всего этого, ну да ладно, главное что проблема решена... Несколько слов о том как пользователь оказался в группе администраторов: раньше раб.станция не была в домене и пользователь был локальным администратором, после ввода в домен я воспользовался программой ProfWiz , если вкратце - для того чтобы при вводе в домен на компьютере не создавался новый профиль доменного юзера эта программа просто конвертирует старый локальный профиль в профиль доменный, не перемещая никуда файлы пользователя. Один вопрос - Для установки По и изменения системных настроек система требует повышения прав, а вот при запуске regedit этого не происходит. Как бы не порядок, как исправить ? |
Вложений: 1
sigmatik, может, настроить политики UAC?
|
Цитата:
Я пытался узнать кто настраивал, т.к. была только одна идея - но ничего не сказали. Вторая идея - сам директор. Что забавно, принтер и диски там подключались по логон скрипту. В 2008 R2 ! Дата создания скрипта - 1999 год. там было много ещё каких "интересностей". |
Цитата:
|
Цитата:
Цитата:
Почему запуск regedit от имени пользователя это "как бы не порядок"? Ведь при настройках по умолчанию пользователь может открыть редактор и производить запись в ветку HKCU. Или ваша цель — закрыть доступ к редактированию реестра? |
Цитата:
|
Цитата:
|
Dear sigmatik,
Судить о правильности/неправильности следует, лишь изучив вопросы безопасности и работоспособности системы. Систему Windows проектировали умные люди, и они лучше нашего с вами знают, кому что менять в реестре можно, а кому — нельзя. Все ключи реестра имеют свои разрешения (Permissions) аналогично разрешениям NTFS. То, что вы делаете, запрещая редактор реестра — не более, чем фикция. Командой REG /? я могу сделать гораздо больше, чем редактором. Основополагающее в безопасности реестра — членство в группах безопасности. Если не заниматься самоубийством, выдавая пользователям права Администратора, никто ничего в реестре не сломает. Отключение UAC эту ситуацию даже улучшает, ибо UAC занимается эмуляцией системного реестра для пользователя, тем самым разрешая пользователю якобы писать в системный реестр. По сути, это может разрешить вирусу "прописаться" в эмулируемом реестре. Не для всех, но для конкретного пользователя. |
| Время: 19:29. |
Время: 19:29.
© OSzone.net 2001-