» Групповые политики (Group Policy, GPO): документация, ссылки

кто ни будь знает про редакторы ADMX кроме FullArmor ADMX Editor?

День добрый .
Столкнулся с траблой .
Создана груповая политика по доступу к проге , размещает ярлык на рабочий стол.
так вот у некоторых пользователей ярлык не создаётся а у некоторых всё ок .
DC поднят на 2008core , ось рабочих станций XP .
Запускал rsop на клиенте , говорит что политика применена , никаких ошибок, а ярлыка нет.
Пытался настроить логи на сервере , но они так и не появились (тоже непонятно из за чего ) .
Куда теперь копать , понять не могу.
Хелп други

Плиз, дайте совет! Необходимо запретить изменение системного времени всем пользователям Home Edition XP SP3, поставил gpedit.msc от семерки, XP коряво схавала, что даже нет политики безопасности, там только файлик scripts! Можно ли как-то включить Политику безопасности или есть другие варианты отключение изменения системного времени!?

gpedit.msc это визуальный редактор реестра, поэтому для решения вопроса не "портируй" от других осей эту оснастку, а лучше поискать эти параметры в реестре.

ripev
Как бы да, но... Во-первых, правка во многих случаях (и в отношении запрета на изменение времени, в частности) идёт в ключе [HKLM\Security], в котором из под работающей Винды особенно-то не поредактируешь. Впрочем, в XP это можно обойти. Во-вторых, и главное, там многие параметры имеют формат Reg_Binary, и в их значениях замаешься разбираться.

Добавлено:
Rtutis81
А полишать всех пользователей админских привелегий нельзя?

ripev

Цитата:

gpedit.msc это визуальный редактор реестра

Нет, это не редактор реестра:
запустите gpedit.msc,
измените "политику",
отметьте изменения в %windir%\System32\GroupPolicy\Machine\Registry.pol

Попробуйте сделать тоже самое в Windows NT 4.0

Registry Policy File Format
Registry.Pol Viewer Utility


Цитата:

а лучше поискать эти параметры в реестре.

Ещё лучше попробывать изменить время, параллельно запущенному procmon и увидеть воочию.

Здравствуйте!
Не пингуеться в сети один из компов. Причём стало так после внесения этого компьютера в домен.
Так же комп не доступен через удалённое управление ни по RDP ни через Dameware(до этого всё работало)
Не возможно у нему подключиться удалённо для просмотра реестра через regedit или к примеру через оснастку Результирующая политика в режиме логирования. Пишет нет доступа к хосту.
Но в тоже время сам хост видит всё в сети, Имеет доступ на все сервера и сужбы

Смог посмотреть результирующую политику только с самого хоста. Так вот в Конфигурации компьютера-Административный шаблон есть Шаблон который называется Дополнительные параметры реестра.
Собственно в этом адм шаблоне достаточно много изменений в реестре (все ведут сюда SOFTWARE\Policies\Microsoft\Windows\safer\codeidentifiers\... а далее в разные подразделы )
Написано что применняеться данный шаблон из политики Default Domain Policy.
В я не нашёл такого административного шаблона.
Как такое может быть?
И как теперь мне исправить это?

Работаю в данной компании недавно, так что не знаю кто и что до меня делал.
Помогите пожалуйста

Neverlinger
если на клиентской машине WIN XP, то возможно это из-за включенного по умолчанию "замечательного" брандмауэра

freeman440
Нет он как раз политиками на глухо запрещён.
Меня больше беспокоит тот факт откуда берется Шаблон который называется Дополнительные параметры реестра и почему его нет в Default Domain Policy. Собственно как мне добраться до настроек этого шаблона в домене чтобы поправить его.

BVV63
Админских прав нельзя лишить всех юзеров, так как компьютер находится удаленно, и его администрирование с моей стороны происходит с помощью амми, а не которые проги требуют привелегированных админских прав, переключение профиля влечет отключение амми, тем более пароль я не вправе сообщать багоюзеру!

Подскажите как установить бразуер по умолчанию через GP?
Сервер: win2k8, клиенты: XP SP3, 7 Prof.
Пробовал назначить им ключи реестра:
Цитата:

HKEY_CLASSES_ROOT\http\shell\open\command
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\http\shell\open\command

HKEY_CLASSES_ROOT\https\shell\open\command
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\https\shell\open\command

, а так же аналогичные ветки в разделе HKKU.
Соответственно политики HKKU применил к пользователю, а остальные к компьютеру. Не помогло. Нужно что бы ссылки из документов(презентаций, например) открывались в FX'е а не осле.

Neverlinger

Цитата:

Нет он как раз политиками на глухо запрещён.

Тык е надо запрещать службу. Нужно разрешать ей всё пропускать. Иначе возможен гемор.

Столкнулся с траблой .
Создана груповая политика по доступу к проге , размещает ярлык на рабочий стол.
так вот у некоторых пользователей ярлык не создаётся а у некоторых всё ок .
DC поднят на 2008core , ось рабочих станций XP .
Запускал rsop на клиенте , говорит что политика применена , никаких ошибок, а ярлыка нет.
Пытался настроить логи на сервере , но они так и не появились (тоже непонятно из за чего ) .
Куда теперь копать , понять не могу.


Сорри за повтор , но вопрос всё ещё актуален .

server 2008 R2. AD.
в групповых политиках компьютера включил параметр:
"Интерактивный вход: не требовать нажатия сочетания клавиш CTRL+ALT+DEL"
завел в домен машинку с Win7. все равно требует нажатие! перезагружал кучу раз. всегда требует %)

moverast
В системном реестре под ключём [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] создайте Reg_Sz-параметры (если отсутствуют) "AutoAdminLogon", "DefaultUserName", "DefaultPassword" и "DefaultDomainName". Значение первого - 1, значение остальных Вам лучше известно.

Цитата:

BVV63

странное решение. я не хочу, что бы происходил автологин. я просто хочу избавить людей от 3 кнопок.

moverast
В домене 3 кнопки обязательны. Насколько я знаю...

Цитата:

В домене 3 кнопки обязательны. Насколько я знаю...

в политике есть такой параметр. на win XP работает политика. на Win 7 нет

Появилась задачка.
Дано:
Домен 2003.
Требование:
Есть 2 компьютера.
Необходимо чтоб на 1 применялась политика GPO в ветке пользователя, а на другом нет.
Как этого можно добиться.

denis255
можно работать под локальным аккаунтом на второй машине

Цитата:

можно работать под локальным аккаунтом на второй машине

Необходимо чтоб пользователь пользовался 1 учетной записью.

denis255
Добавьте WMI-фильтр и примените его к нужной политике.
Текст фильтра
Код: SELECT * FROM Win32_ComputerSystem WHERE Name!='computername' AND UserName!='DOMAIN\\Username'

denis255

Цитата:

Необходимо чтоб на 1 применялась политика GPO в ветке пользователя, а на другом нет.

Именно для пользователя? Не знаю. Если нужно, чтобы политика вообще не применялась, то достаточно разрегистрировать библиотеку... блин, забыл, как файл называется. Попробую вспомнить, но как альтернатива - сторонняя прога GPDisable.

Добавлено:
Нифига не вспомнил. Возможно gpupdate.dll.

Цитата:

Именно для пользователя? Не знаю. Если нужно, чтобы политика вообще не применялась, то достаточно разрегистрировать библиотеку... блин, забыл, как файл называется. Попробую вспомнить, но как альтернатива - сторонняя прога GPDisable.

В принципе можно и вообще чтоб к компьютеру А не применялась политика домена.
Ситуация следующая.
Есть перенаправление папок применимое к ферме терминальных серверов.
Есть удаленный филиал, где пользователи входят под доменными учетками в систему с последующим доступом к ферме. Так вот в момент входа на локальный комп начинаются тормоза так как комп начинает получать папки, канал на это не расчитан. Вот и хочется заставить не применятся политику к локалным компам филиала.

denis255
В таком случае просто создайте для перенаправления папок отдельную политику и примените её не ко всем прошедшим проверку, а только к определённым машинам или группам машин.

denis255
А вспомнил: WUAPI.DLL. Под админом:

Код: RegSvr32 -U WUAPI.DLL

BVV63
это жестоко, зачем же рубить все политики, когда можно без особых усилий обойти только мешающие работе.

Нет, не она. Ладно, не буду больше мучаться и других мучать. Стырили журнал, в котором это было описано.

Цитата:

В таком случае просто создайте для перенаправления папок отдельную политику и примените её не ко всем прошедшим проверку, а только к определённым машинам или группам машин.

Она и создана.
Только перенаправление папок применяется к пользователям, а не к машинам домена.

denis255
Ай блин, но тогда смотри выше - WMI-фильтр...