Администрирование доменных компьютеров
 

Привет! Осваиваю Active Directory, в процессе изучения возник вопрос. Смоделируем ситуацию.

Есть некоторый пользователь testuser01, находящийся в OU Test-env, к которому привязана политика "User configuration - Policies - Administrative templates - Control panel - Prohibit access to control Panel and PC settings". Соответственно, запрещает открывать контрольную панель или любую ее составляющую.

Мой вопрос идеологический. Предположим в техподдержку звонит пользователь и сообщает, что у него "Все стало большим и на экран не помещается."
Специалист быстро смекает что у пользователя слетело разрешение экрана, подключается к компютеру удаленно, пытается открыть контрольную панель и... не может.
Если технической поддержке будет необходимо изменить что-либо в контрольной панели для одного пользователя сию минуту, нужно будет писать ему индивидуальное GPO?
Или есть способ открыть контрольную панель, обойдя политику?
Можно ли сделать так, чтобы компьютер спрашивал логин-пароль привелегированной учетной записи в ответ на все запрещенные политикой действия, вместо сухого "Доступ запрещен"?
Первой мыслью было что-то вроде "Runas /user:domain\administrator control", политика учетную запись администратора, конечно же, не затрагивает.
Но сообщение о том что доступ запрещен настигло меня и тут.
Пожалуйста, разьясните правильную модель поведения в таких ситуациях, или ткните носом что прочитать, поиск успехом не увенчался.

Спасибо!

Вообще-то это называется UAC.

UAC включен. При вызове control из win+r или другими способами, сразу вываливает окно. Сделал скриншот, прикрепил.

UAC — технология, призванная скорее бить по рукам нерадивым администраторам, чем решать проблемы доменных пользователей. В нормальном домене у пользователей нет и никогда не будет административных привилегий, в связи с чем UAC в данной ситуации не только не поможет, но даже будет мешать.

Единственное, что может вам помочь в данной ситуации — не создавать себе заранее проблем. Запрет Control Panel не решает проблем безопасности, Control Panel — это только косметика, интерфейс, к правам доступа отношения не имеет. Если же вы всё же желаете держать Control Panel заблокированной, придётся писать отдельное GPO.

WindowsNT, спасибо, теперь концепция более-менее ясна.