» Отключение USB через GPO (групповые политики)

Yozhk, кликаешь правой кнопкой мыши на Custom Policy Settings, в контекстном меню "Вид" - снять галки "Показывать только политики" и "Отображать только заданные политики"...

A-A-a..... А я тут моск уже сломал. СПАСИБО ОГРОМНОЕ. Жуть как выручил. Думал я ничё понять не могу.

Цитата:

Ладно, а можно как нить этот шаблон прикрутить к параметрам пользователя? А то одному пользователю нужны ЮСБ, а другому нет.... а параметр применяется во время загрузки компа!

Я думаю это нужно как-то сделать с помощью vbs скрипта, в ветке
http://forum.ru-board.com/topic.cgi?forum=8&topic=13336&start=40#lt
реализован вопрос с подключением сетевых дисков в зависимости от групп пользователей. Если бы по аналогии сделать изменения ключей реестра для групп пользователей? Кто силён в vbs, может попробуют это реализовать?

есть прога desktop authority
очень легко решает эту проблему и не только эту, незаменимая вещь для админа

VladMinin

Вырубает USB значение Start=4, просто в adm-файле, приведенном Whitemaster
policynameusb="Disable USB", т.е. значение Enable запрещает USB

Получается так: Disable USB - Enabled.

Цитата:

VladMinin

Вырубает USB значение Start=4, просто в adm-файле, приведенном Whitemaster
policynameusb="Disable USB", т.е. значение Enable запрещает USB

Получается так: Disable USB - Enabled.

Влад с логикой все впорядке? если в включить значение Enable только тогда она будет активной. Ты вообще работал с АД ?

moffice
Спасибо, все понятно
Whitemaster

Цитата:

Ты вообще работал с АД

Да, совсем немного

импортировал *.adm шаблон http://support.microsoft.com/?kbid=555324, но он не применяется на компьютерах, в логах ошибки:

Цитата:

Type:    Error
Source:    Userenv
Event ID:    1020
Event Time:    10.05.2007 17:22:08
User:    NT AUTHORITY\SYSTEM
Computer:    comp
Description:
Windows cannot create registry key SYSTEMCurrentControlSetServicesCdrom. (The parameter is incorrect. ).
Type:    Error
Source:    Userenv
Event ID:    1096
Event Time:    10.05.2007 17:22:08
User:    NT AUTHORITY\SYSTEM
Computer:    comp
Description:
Windows cannot access the registry policy file, \\olenegor\SysVol\olenegor\Policies\{8C0231AA-BBD7-4D41-B3E6-862C83C2A2E8}\Machine\registry.pol. (The parameter is incorrect. ).

подскажите в чем может быть проблема?
ps домен win2003 EN
Посмотрел в реестре такая ветка SYSTEMCurrentControlSetServicesCdrom есть, и значение параметра start=4, но CD-rom все равно работает , может под локальным админом эти настройки не работают?

все, разобрался, проблема была в кривых руках

Установил шаблон, политики все в Enable.
Подключаю USB флеш карту...зарабтала
В чем может быть проблема?

Вот тестовый скрипт для флоппов
Раздавать планирую через GPO прикрепленный к конкретной OU

ВНИМАНИЕ Только написал, тестил на виртуальной машине. В полевых условиях пока не тестил

'-----------------------------------------------

Const HKEY_LOCAL_MACHINE = &H80000002

strComputer = "."

Set oReg=GetObject("winmgmts:{impersonationLevel=impersonate}!\\" & _
strComputer & "\root\default:StdRegProv")

strKeyPath = "SYSTEM\CurrentControlSet\Services\flpydisk"
'strValueName = "String Value Name"
'strValue = "string value"
'oReg.SetStringValue HKEY_LOCAL_MACHINE,strKeyPath,strValueName,strValue

strValueName = "Start"
dwValue = 4
oReg.SetDWORDValue HKEY_LOCAL_MACHINE,strKeyPath,strValueName,dwValue


Wscript.Echo "Волшебный скрипт выполнен чисто успешно" & vbcrlf & vbcrlf & "Желаю приятно провести время"

'----------------------------------- Конец скрипта

Легко модифицируется под USB и CD
Последнюю строчку можно закомментировать

проблема возникла: отключаем CD-Rom, Floppy и USB. Если с CD-Rom и Floppy проблем не возникает, то USB продолжает быть доступным. Причем, значение Start=4 при назначении политики, но как только вставляешь флэшку оно меняется на 3..
в чем может быть проблема?

Udulek
Посмотри интервал интервал рефреша политики и снеси с юзверей локальных админов

если тема актуальна ещё, то есть прога DeviceLock, интегрируется в ГП (добавляется ветка, в политике компьютера)

сервис проги ставится через ГП тоже (MSI пакет есть)

кароче это решило мои проблемы. Гораздо удобнее чем описанные выше методы
разные уровни доспупа для разных групп и т.д.....

качать отсюдова с лекарством вместе
[more]
http://depositfiles.com/files/1480192
пароль forum.ru-board.com
[/more]

Собственно объединил немножко и по русски написал, на GPO все работает без ошибок
CLASS MACHINE
CATEGORY !!category
CATEGORY !!categoryname
POLICY !!policynameusb
KEYNAME "SYSTEM\CurrentControlSet\Services\USBSTOR"
EXPLAIN !!explaintextusb
PART !!labeltextusb DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynamecd
KEYNAME "SYSTEM\CurrentControlSet\Services\Cdrom"
EXPLAIN !!explaintextcd
PART !!labeltextcd DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 1 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynameflpy
KEYNAME "SYSTEM\CurrentControlSet\Services\Flpydisk"
EXPLAIN !!explaintextflpy
PART !!labeltextflpy DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynamels120
KEYNAME "SYSTEM\CurrentControlSet\Services\Sfloppy"
EXPLAIN !!explaintextls120
PART !!labeltextls120 DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynameCD_READ_ONLY
KEYNAME "SYSTEM\CurrentControlSet\Control\StorageDevicePolicies"
EXPLAIN !!explaintextCD_READ_ONLY
PART !!labeltextCD_READ_ONLY DROPDOWNLIST REQUIRED

VALUENAME "WriteProtect"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 0 DEFAULT
NAME !!Enabled VALUE NUMERIC 1
END ITEMLIST
END PART
END POLICY
END CATEGORY
END CATEGORY

[strings]
category="Собственные установки для съемных носителей"
categoryname="Блокировка СД УСБ Флоп"
policynameusb="Закрываем USB"
policynamecd="Закрываем CD-ROM"
policynameflpy="Закрываем Floppy"
policynamels120="Disable High Capacity Floppy"
policynameCD_READ_ONLY="Закрываем для записи CD & USB"
explaintextusb="Закрытие компьютерных USB портов путем отключения usbstor.sys драйвера"
explaintextcd="Закрытие компьютерного CD-ROM привода путем отключения cdrom.sys драйвера"
explaintextflpy="Disables the computers Floppy Drive by disabling the flpydisk.sys driver"
explaintextls120="Disables the computers High Capacity Floppy Drive by disabling the sfloppy.sys driver"
explaintextCD_READ_ONLY="Закр для записи СД и Флеш через ветвь реестра"
labeltextusb="Закрытие USB портов"
labeltextcd="Закрытие CD-ROM привода"
labeltextflpy="Закрытие Floppy дисковода"
labeltextls120="Disable High Capacity Floppy Drive"
labeltextCD_READ_ONLY="Запрет записи дисков и флешек"
Enabled="Закрыть"
Disabled="Открыть"


Добавлено:
..

zx12r
варезная прога, да и ветка в соотв топике живет уже давно тут

Извините может вообще вопрос кажется глупым, но я с начала прочитал этот топик так и не понял как я могу отрубит USB – порты или же Floppy,CD-Rom?
Пожалуйста объясните чайнику. Заранее спасибо!

rkhodjaev

Сам ещё не пробовал, только прочитал, но видимо работает это так:

Есть 2 варианта:

По компьютерам:

1. Создаём GP (читай групповые политики что это и зачем это)
2. В неё добавляем adm файл с описанным выше текстом (читай что такое adm файлы и зачем они)
3. Раздаём права чтения политики компьютерами (где будет она применяться)

По пользователям:

1. Создаём GP (читай групповые политики что это и зачем это)
2. добавляем в автозагрузку vbs файл описанный выше
3. раздаём права на чтение данной политики конкретными пользователями

А вот ещё вопрос, подскажите параметры реестра (если такие есть), изменяя которые можно поставить CD и FDD в режим только для чтения?? Как это сделать с USB я уже понял, не догнал как это-же сделать с CD и FDD

ZhukovM

Перечитай всю ветку, где то было )))

Laki7a
Там было только про отключение, а мне нужно ограничение функциональности , а точнее запрет на запись.

Laki7a
CLASS MACHINE
CATEGORY !!category
CATEGORY !!categoryname
POLICY !!policynameusb
KEYNAME "SYSTEM\CurrentControlSet\Services\USBSTOR"
EXPLAIN !!explaintextusb
PART !!labeltextusb DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynamecd
KEYNAME "SYSTEM\CurrentControlSet\Services\Cdrom"
EXPLAIN !!explaintextcd
PART !!labeltextcd DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 1 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynameflpy
KEYNAME "SYSTEM\CurrentControlSet\Services\Flpydisk"
EXPLAIN !!explaintextflpy
PART !!labeltextflpy DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynamels120
KEYNAME "SYSTEM\CurrentControlSet\Services\Sfloppy"
EXPLAIN !!explaintextls120
PART !!labeltextls120 DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynameCD_READ_ONLY
KEYNAME "SYSTEM\CurrentControlSet\Control\StorageDevicePolicies"
EXPLAIN !!explaintextCD_READ_ONLY
PART !!labeltextCD_READ_ONLY DROPDOWNLIST REQUIRED

VALUENAME "WriteProtect"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 0 DEFAULT
NAME !!Enabled VALUE NUMERIC 1
END ITEMLIST
END PART
END POLICY
END CATEGORY
END CATEGORY

[strings]
category="Собственные установки для съемных носителей"
categoryname="Блокировка СД УСБ Флоп"
policynameusb="Закрываем USB"
policynamecd="Закрываем CD-ROM"
policynameflpy="Закрываем Floppy"
policynamels120="Disable High Capacity Floppy"
policynameCD_READ_ONLY="Закрываем для записи CD & USB"
explaintextusb="Закрытие компьютерных USB портов путем отключения usbstor.sys драйвера"
explaintextcd="Закрытие компьютерного CD-ROM привода путем отключения cdrom.sys драйвера"
explaintextflpy="Disables the computers Floppy Drive by disabling the flpydisk.sys driver"
explaintextls120="Disables the computers High Capacity Floppy Drive by disabling the sfloppy.sys driver"
explaintextCD_READ_ONLY="Закр для записи СД и Флеш через ветвь реестра"
labeltextusb="Закрытие USB портов"
labeltextcd="Закрытие CD-ROM привода"
labeltextflpy="Закрытие Floppy дисковода"
labeltextls120="Disable High Capacity Floppy Drive"
labeltextCD_READ_ONLY="Запрет записи дисков и флешек"
Enabled="Закрыть"
Disabled="Открыть"

Добавлено:
Laki7a

Создал test.adm и положил туда

CLASS MACHINE
CATEGORY !!category
CATEGORY !!categoryname
POLICY !!policynameusb
KEYNAME "SYSTEM\CurrentControlSet\Services\USBSTOR"
EXPLAIN !!explaintextusb
PART !!labeltextusb DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynamecd
KEYNAME "SYSTEM\CurrentControlSet\Services\Cdrom"
EXPLAIN !!explaintextcd
PART !!labeltextcd DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 1 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynameflpy
KEYNAME "SYSTEM\CurrentControlSet\Services\Flpydisk"
EXPLAIN !!explaintextflpy
PART !!labeltextflpy DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynamels120
KEYNAME "SYSTEM\CurrentControlSet\Services\Sfloppy"
EXPLAIN !!explaintextls120
PART !!labeltextls120 DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynameCD_READ_ONLY
KEYNAME "SYSTEM\CurrentControlSet\Control\StorageDevicePolicies"
EXPLAIN !!explaintextCD_READ_ONLY
PART !!labeltextCD_READ_ONLY DROPDOWNLIST REQUIRED

VALUENAME "WriteProtect"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 0 DEFAULT
NAME !!Enabled VALUE NUMERIC 1
END ITEMLIST
END PART
END POLICY
END CATEGORY
END CATEGORY

[strings]
category="Собственные установки для съемных носителей"
categoryname="Блокировка СД УСБ Флоп"
policynameusb="Закрываем USB"
policynamecd="Закрываем CD-ROM"
policynameflpy="Закрываем Floppy"
policynamels120="Disable High Capacity Floppy"
policynameCD_READ_ONLY="Закрываем для записи CD & USB"
explaintextusb="Закрытие компьютерных USB портов путем отключения usbstor.sys драйвера"
explaintextcd="Закрытие компьютерного CD-ROM привода путем отключения cdrom.sys драйвера"
explaintextflpy="Disables the computers Floppy Drive by disabling the flpydisk.sys driver"
explaintextls120="Disables the computers High Capacity Floppy Drive by disabling the sfloppy.sys driver"
explaintextCD_READ_ONLY="Закр для записи СД и Флеш через ветвь реестра"
labeltextusb="Закрытие USB портов"
labeltextcd="Закрытие CD-ROM привода"
labeltextflpy="Закрытие Floppy дисковода"
labeltextls120="Disable High Capacity Floppy Drive"
labeltextCD_READ_ONLY="Запрет записи дисков и флешек"
Enabled="Закрыть"
Disabled="Открыть"


Создал OU потом в Comp. Configuration > Administrative Templates> добавил test.adm и после закрытие окошки выдает ошибку:

The following error occurred in \\domainname\sysvol\...\test.adm on line 2.
Error 62 The corresponding string wasn’t found in the [string] section.
Found: !!category
The file cant be loaded.

Не подскажите в чем проблема?

Чувак у тебя Сервак RUS или ENG у меня такая же проблема если вставляю с adm с русским то плохо, а с ENG все робит.

MysteryTM
У меня сервак анг а вот пользовательские PC на рус, может быть из-за этого что ли?

Что не так?
Полностью скопировал русский скрипт, добавил его в GP.
Открываю конфигурацию компьютера - конфигурация компьютера - (там появилась папочка) Custom Policy Settings - Restrict Drives
И там ничего нет
И с русским переводом пробовал и с английским, и даже копировал с http://support.microsoft.com/?kbid=555324
всё равно фиг.

Ну ладно, если никто помочь не может, дайте хотя бы ссылку, если такая есть, на то, как должны писаться эти "скрипты".

Vsevolod
У меня тоже проблема с отключением USB,CD-ROM,Floppy с данным скрыптом. Понимаешь если не ошибаюсь то попробуй так:

1)Создай *.adm
2)Скин файл в директорию Windows\inf\
3)Открой GP и редактировать
4)New GPO>Computer Configuration>Administrative Templates
5)Кликни правой копкой мыши на Administrative Templates >> add/remove Tepmlates
6)Туда добавляешь свой *.адм файл
7)После чего появится контейнер “Custom Policy Settings”, + там появится подпапка “Restrict Drives”
8)В “Restrict Drives” нажимаешь прав. Кноп мыши и выбираешь View > Filtering.
9)В Filtering’ге есть пункты : 1) “Only show configured policy settings” 2)“Only show policy settings that can be fully managed”. На этих пунктах тебе надо убрать галочки.
10)После чего в “Restrict Drives” появятся параметры : “Disable USB”, “Disable CD-ROM”, “Disable Floppy” и т.п.


З.Ы. Честно говоря скрипт с майкрас-го сайта у меня не получилось, то есть у пользователя все пашет не знаю почему. Может найдешь и подскажешь что нибудь  .

Так сктипт с майкрасофовского сайта вроде как аналогичен, чего здесь выше писали.
А так спасибо, но смогу попробывать только завтра, сегодня рядом с сервером не буду, тогда и отпишу.

Vsevolod
Окей, удачи тогда и напишу что и как было!

Мда. Показались настройки, но вот применяться никак не хотят.ОБновление групповой политики даже на 1 выставил, думал что может это подвисает, не помогло.
Ставил и для машины, выставлял и для юзера (миняя в скрипте на USER, и опять ничего.