» Win2000 - ограничение прав пользователей

для того чтобы запретить пользователю изменять свойства рабочего стола и не только, необходимо в папке пользователя найти файл ntuser.dat, и переименовать его в ntuser.man. После этого сохранится только последнее состояние до переименования, все изменения при логофе не сохранятся

to Alan Mon
Спасибе за наводку. В принципе то, что нужно, только одна проблема: когда начинаю публиковать пакет (выложил на расшареный диск, расширение MSI, пакет точно рабочий), система говорит, что невозможно извлечь из пакета необходимую информацию и публиковать не хочет. Что посоветуете ?

А руками переделывать пакеты очень не хочется (через setup /a, как я понимаю). Тем более, что их нужно 4 штуки и каждый месяц новые.

kojev

Цитата:

система говорит, что невозможно извлечь из пакета необходимую информацию

У меня такое было с некоторыми пакетами, когда я пытался их публиковать, находясь на сервере в терминальной сессии. Когда попробовал опубликовать с консоли, все сработало. В чем причина, так и не понял.

Кто-нибудь знает, как защитить свою учетную запись от другого администратора?
Я являюсь администратором и мне надо чтобы другие администраторы (нас несколько) не могли ничего изменить в моей учетной записи. Можно ли это сделать, подскажите, кто знает.
ОS -Win2k Server SP4

Цитата:

для того чтобы запретить пользователю изменять свойства рабочего стола и не только, необходимо в папке пользователя найти файл ntuser.dat

А если поменять права для данного юзера на этот файл?
У меня лично так и сделано. Чтобы он там не менял, всё равно после log off - log on всё возвращается на свои места. А некоторым так вообще ставлю так, чтобы он не смог и свойства рабочего стола открыть.

Olegpop

нет. Только шифрование сторонним продуктом

Люди, у меня тот же вопрос, что уже здесть задавали, но ответа я на него так и не видел. Дело в том, что у нас очень жесткая политика безопасности, и такие высказывания, как я тут вижу: типа дать права локального админа юзерам меня просто приводят в ужас!!! За такое бы меня уволили.... У нас даже права опытного пользователя выдать можно только в САМОМ крайнем случае!!! Мне нужно, чтобы один пользователь в домене мог разшаривать и зашаривать у себя каталоги на диске, при чем оставаясь простым пользователем, и не более того! Вариант поместить эти файлы на сервере отпадает, (объясню сразу: у этого пользователя ОЧЕНЬ конфиденциальная информация даже используется шифрованый диск и E-Token для аутентификкации, и видеть ее могут только еще 3 пользователя, которые сидят с ним в одной комнатке.) Комната даже выделена в отдельный V-LAN и к общей корпоративной сети подключена лишь для того, чтобы у них был интернет и доступ к контроллеру домена, чтобы загрузить свои пользовательские права.

Цитата:

У нас даже права опытного пользователя выдать можно только в САМОМ крайнем случае!!!

Как раз по этому поводу размышления:
наткнулся на статью Марка Русиновича о том, что пользователь с учетной записью, состоящей в группе "Опытные пользователи" может повысить свои привилегии до группы "Администраторы":
_http://blogs.technet.com/markrussinovich/archive/2006/05/01/the-power-in-power-users.aspx

Её перевод на русский есть на небезызвестном "ксакепе":
_http://www.xakep.ru/post/31825/default.asp

Есть и излияния самого Микрософта на эту тему:
_http://support.microsoft.com/default.aspx?scid=kb;en-us;825069

Итак, вопрос:
Есть ли у кого готовые решения (эксплойты, пропатченные ядра, сервисы DLL-ки) для реализации описанного по ссылкам?

Всем доброго времени суток!
Поделитесь мыслями: есть домен на Windows 2003 и есть некоторая папочка с экселевскими файлами, которые представляют собой конфиденциальную информацию. Вот нужно так сделать терминальный сервачок, чтобы эти файлы нельзя было перекинуть ни на ресурс в сети, ни на флэшки, ни с помощью буфера. Пользователь может создать в этой папке новые файлы, редактировать имеющиеся, может удалять и печатать (это единственное что можно, но должен быть аудит) но не должен "вынести" их за пределы терминального сервака. Самое главное - это как запретить возможность передачи файла по сети, чтобы пользователь не мог положить его на другой компьютер? Спасибо!

как запретить возможность передачи файла по сети, чтобы пользователь не мог положить его на другой компьютер?



Шаринг на серваке отрубить совсем...
Ну и в настройках терминального сервера поставить ограничения на буфер, на подцепку дисков и т.д.

Всем доброй ночи!
Знаю что не в тему очень каюсь!
Подскажите пожалуйста как организовать следующее:
отключение меню start
отключение run
скрытие диска c:
запрет alt+ctrl+del
запрет изменять свойства экрана
разрешить юзеру запуск на компе только определенных программ
сделать не видимыми для пользователя Панель Управления
юзер не мог установить никакие левые программы кроме списка заранее определенных.
Все это нужно проделоть в WINDOWS XP HOME EDITION.
В принципе как вариант сторонняя прога типа Shadow user (заморозка системы)Тоесть настроил систему поставил все что нужно и после активации Shadoy user что бы ни делал user после перезагрузки происходит откат системы в первоначальные настройки.Но нужно обойтись без нее.Заранее спасибо!

HitcHiker
HitcHiker

Цитата:

Шаринг на серваке отрубить совсем...

как это сделать?

HitcHiker

Цитата:

Ну и в настройках терминального сервера поставить ограничения на буфер, на подцепку дисков и т.д.

А как запретить просмотр сети на сервере терминалов? Чтобы с сервака нельзя было никуда заходить.

Добавлено:
Xramoy1987
Это все делается с помощью групповых политик. Открываем шаблон ГП и читаем пункты, которые там есть. Соответственно настраиваем то, что нужно. Сам недавно заморачивался.

Цитата:

Всем доброй ночи!
Знаю что не в тему очень каюсь!
Подскажите пожалуйста как организовать следующее:
отключение меню start
отключение run
скрытие диска c:
запрет alt+ctrl+del
запрет изменять свойства экрана
разрешить юзеру запуск на компе только определенных программ
сделать не видимыми для пользователя Панель Управления
юзер не мог установить никакие левые программы кроме списка заранее определенных.
Все это нужно проделоть в WINDOWS XP HOME EDITION.
В принципе как вариант сторонняя прога типа Shadow user (заморозка системы)Тоесть настроил систему поставил все что нужно и после активации Shadoy user что бы ни делал user после перезагрузки происходит откат системы в первоначальные настройки.Но нужно обойтись без нее.Заранее спасибо!

RunPad Shell http://forum.ru-board.com/topic.cgi?forum=35&topic=0020&start=860

Сам долго мучался с такими проблемами, пока не наткнулся на енту прогу. Уже 3 года юзаю, балдю до опупения.,)))))))))

Добавлено:
если нада могу дать файл со своими настройками под енту прогу.,))))))

Доброго времени суток !
проблема такая же как описал уважаемый Canonier.
Ответ я не нашел здесь. Если можно, хотелось бы получить развернутый совет. Добавлю от себя уточнения. Пользователи сервера терминалов, которым нельзя работать с сетью используют в качестве шела 1С и частично это решает проблему (нельзя запустить эксплорер и работать с локальными файлами и с сетевыми шарами), но можно в 1С нажать "сохранить файл", и выгрузить, что необходимо, на сетевую шару. Запретить работу с самбой -- выход частичный -- часть принтеров установлена на машинах пользователей. Пока я решение нашел следующее (наверняка не оптимальное): использование сетевых принтеров, работающих по протоколу, отличному от SAMBA (IPP, HTTP, CUPS), и запрет работы SAMBA, но, наверняка, можно решить подобную задачу с помощью каких-нибудь групповых политик. Сервер на 2003, домен не поднят, роль сервера только терминал (и сервер лицензий терминала).
Заранее спасибо за ответы.

всем привет

извиняюсь заранее может этот вопрос нужно задавать не в этой теме.
у меня есть поднятый домен есть клиенты на которых используются учетки из домена, эти учетки на локальных компьютера входят только в группы "пользователи", подскажите как им дать возможность писать с помощью программы scdwriter?
заранее благодарен
пс если из включить в локальные "администраторы" то запись с помощью программы становиться возможным