» Групповые политики (Group Policy, GPO): документация, ссылки

Товарищи, подскажите как сделать следующие при помощи гпо.

Нужно запустить скрипт по расписанию у всех клиентов.

Юзерам, работающим в терминальном режиме хочу скрыть диски сервера из "Мой компьютер".
У меня не домен, а просто рабочая группа, можно ли как-то разным группам назначить разные групповые политики?

Добрый вечер коллеги!
Такой вопрос : Поднял домен на Win2008 Standart, есть DNS,AD, без DHCP. Не могу найти в Active Directory - пользователи и компьютеры , в свойствах - применение групповой политики для отдельно взятого подразделения.

Есть 2 OU
1. Сервера
2. Пользователи

для п.2 настроены политики перемещаемых профилей, принтеры, редирект папок.

Аккаунты админов находятся в OU и когда подключаются к серверам, то эти политики применяются, как запретить применение политик (Пользователи) в OU Сервера?

Подскажите.
Создали политику по управлению службами. В ней определили службы и права на них. Конкретно на службу RPC поставили запуск Авто + права "Все - Чтение" и больше ничего(System тоже нет). Приблизительно такое же на BITS. Когда поняли что это в корне не правильно (никого не осталось на управление)- поменяли по умолчанию, но теперь в логе накатывания политики пишет, что отказано в доступе к службам RPC и BITS (код 5).
Конфиг.:домен Windows 2003, раб станции Windows XP
Вопрос:
Как обратно получить доступ к службам с использованием групповых политик или как-нибудь по другому (реестр?) ?

klimusu
2 варианта:

1) создать в OU Пользователи еще один OU, наложить на него запрет применения вышестоящих GPO и поместить в данный каталог нужные учетки

2) создать группу для админов, настроить зепрет для данной группы в безопасности существующего GPO

raizo
но хочется чтобы на обычных машинах у админов тоже был перемещаемый профиль.

Рыть эту тему смысла не вижу, поэтому задаю свой вопрос.
Некий отдел на сервере создает еженедельно файлик с уникальным названием (что-то типа название+дата(которую тоже могут написать как попало)). Нужно создавать ярлык на рабочих столах начальства на этот файлик. Если бы он имел одно и то же название, понятно, что без проблем. А как быть в этом случае?

loder71
файлик создавать в отдельной папке, а ярлык ставить на папку

Я думал над этим. Но надо сразу ярлык на файл.

loder71
или можно им поставить ярлык, ссылающийся на ярлык (который каждый раз придется править тем кто файлик создаёт, что не есть удобно)

loder71
Если есть определённые критерии, по которым можно найти файл (например, этот файл один единственный в папке), то можно написать скрипт. Скрипт будет создавать ярлык на этот изменяющийся файл.

zavodmebel
Это очевидное решение, но неудобное.

niichavo
Если бы он был единственным, не было бы особого смысла делать ему изменяющееся имя.

Как я понял, это весьма нетривиальная задача, для которой нет готового решения? Я искал по инету, но не нашел подобной задачи и ее решения.

loder71

Цитата:

Если бы он был единственным, не было бы особого смысла делать ему изменяющееся имя

Дело даже не в этом. Если есть критерии, по которым можно найти этот файл среди других, то задача решаема. Например, у файла есть неизменяемая часть имени (всегда одинаковая) и изменяемая - дата. А если его имя может быть ну абсолютно любым, тогда это из серии русских народных коанов "найди то, не знаю что".

ЗЫ. И вообще это уже не имеет прямого отношения к групповым политикам

Цитата:

ЗЫ. И вообще это уже не имеет прямого отношения к групповым политикам

Согласен, но вроде может подойти критерий - самый новый файл в папке. И с помощью логон-скрипта создавать ярлык...
Типа такого:

Код: Dim fNewest
set oFolder=createobject("scripting.filesystemobject").getfolder("d:\test")
For Each aFile In oFolder.Files
If fNewest = "" Then
Set fNewest = aFile
Else
If fNewest.DateCreated < aFile.DateCreated Then
Set fNewest = aFile
End If
End If
Next

Msgbox fNewest.Name

PhoenixUA
Пока сделаю папку с ярлыком на нее, а с критерием NEWEST попробуем повозиться... Всем спасибо!

klimusu
ну тогда можно попробовать создать политику на сервера, в которой указать путь терминального профиля
насколько я помню данная политика выше по рейтингу применения

ХП Про СП2
Прочитал всё честно. правильно ли понял:
1. Если есть админ и 5 пользователей - с ограничнной учётной записью.
Программы и игры, установленные администратором (NOD32, RivaTuner, CorelDr итд почти все)
при входе администратора запускаются автоматически.
2. Эти проги, даже помещённые в Автозагрузку каждого пользователя - не всегда запускаются при Запуске ХП
3. При входе обычного пользователя эти проги автоматически не запускаются и появляется сообщение :
Цитата:

Вы должны иметь права администратора. Приложение ... закрывается

Приходится запускать вручную по "Запуск от имени".
4. Даже если приложение (или игра) запускаются, то все свои записи и сохранения она пытаются внести в Local\Admin, т.е не в свои профильные папки - поэтому у них ничего не сохраняется - Ни настройки, ни профили итд..
- - -
- Возможно ли решить эту проблему средствами "Импорт и экспорт реестра" ХП, без сторнних прог?

- Если использ RegMon и FileMon - надо тщательно прописывать и тестировать для каждой ?

- Есть ли возможность при установке каждой новой проги указывать или копироваь ветки реестра соотв в Профили пользователей? Будут ли проги, со скопированными ветками своих реестро - работать?

Spaila

Цитата:

правильно ли понял:

Цитата:

Программы и игры, установленные администратором (NOD32, RivaTuner, CorelDr итд почти все)
при входе администратора запускаются автоматически

Это чё это они должны все автоматически запускаться если их админ установил? Это какой-то неуместный подхалимаж со стороны программ . Всё зависит от программы.

Цитата:

Эти проги, даже помещённые в Автозагрузку каждого пользователя - не всегда запускаются при Запуске ХП

Это опять-таки зависит от программ. Если им недостаточно прав простого пользователя для работы, то могут и не запуститься. Нужно смотреть чего им не хватает, например с помощью filemon, regmon. Если лень заморачиваться, то как правило достаточно дать права обычным юзерам на запись в папку, где прога установлена.

Цитата:

Даже если приложение (или игра) запускаются, то все свои записи и сохранения она пытаются внести в Local\Admin

Под кем запустил, туда и пытается сохранить..

Столкнулся с такой проблемой.
Есть пользователь, есть сетевой диск К. пользователь состоит в группе 1, у это группы есть права на диск К. С одного компа он заходит спокойно на сетевой диск, а с соседнего в фиг... задолбался уже рыть в чм грабли, подскажите в чем может быть косяк?

trolk

Цитата:

у это группы есть права на диск К

Через скрипт подключается диск К?
Какую ошибку выдает?

Подскажите следующий момент: ставлю конкретную домашнюю страницу в политике, однако у юзера она поменялась только один раз при самом первом применении политики.
Далее юзер сменил сам хоумпейдж, однако при следующих логинах она не меняется на ту, что задана политикой. Необходимо, чтобы при каждом логине хоумпейдж у юзера менялся.
Почему так происходит, кто-нибудь подскажет? Заранее спасибо.

lamemaster

Цитата:

Необходимо, чтобы при каждом логине хоумпейдж у юзера менялся.

Если имеете виду, на ту страницу которая задана через ГПО, то задавайте здесь URL:
GPO->Properties->User config->Windows Settings->Internet Explorer Maintenance->URLs->Important URLs->HomePage URL

Цитата:

Далее юзер сменил сам хоумпейдж,

Что он не обычный пользователь домена, а имеет админовские права что ли?

rkhodjaev

Цитата:

Что он не обычный пользователь домена, а имеет админовские права что ли?

Чтобы сменить домашнюю страничку не нужно быть локальным админом.

rkhodjaev, страница задана там. Однако она применилась только один раз - при первом входе юзера в домен.
Далее никакие (ни прокси, ничего) настройки браузера (группа Internet Explorer Maintenance) не применяются, ни при логине, ни при загрузке компьютера.
Хотя другие настройки политики (например, запуск скрипта при логине) применяются каждый раз, т.е. политика работает.
По логике, нстройки ИЕ тоже должны каждый раз применяться.. Однако не применяются.
Политика действует только одна (+дефолтная).

rkhodjaev

Цитата:

Если имеете виду, на ту страницу которая задана через ГПО, то задавайте здесь URL:
GPO->Properties->User config->Windows Settings->Internet Explorer Maintenance->URLs->Important URLs->HomePage URL

Дык других настроек для хоум пэйджа вроде и нет в групповых политиках (в 2003 сёрвере по крайней мере).

lamemaster
Поставь логон скрипт в GPO:

Код: Const HKEY_CURRENT_USER = &H80000001

strComputer = "."
Set objReg = GetObject("winmgmts:\\" & strComputer & "\root\default:StdRegProv")

strKeyPath = "SOFTWARE\Microsoft\Internet Explorer\Main"
ValueName = "Start Page"
strValue = "http://forum.ru-board.com"
objReg.SetStringValue HKEY_CURRENT_USER, strKeyPath, ValueName, strValue

niichavo, скриптом проблема решается.
Однако это лишь один из вариантов..
Как все-таки заставить работать политику правильно?
Включаю опцию: Windows Settings->Internet Explorer Maintenance->Browser User Interface->Browser Title, прописываю что-то.
Однако ни при перезагрузке, ни при логоне в тайтл браузера не добавляется ничего. gpupdate делал.
В чем же дело?

проверил скрипт - не меняет страничку. IE 8 стоит. Хм, странно...

Добавлено:
Поторопилсо с ответом. Отрабатывает скрипт нормально.
У меня стандартными средствами (через эту самую ЖэПэОшную настройку) тоже не меняется дом. страничка. Фишка такая от МС что-ль?

Ответ нашел тут: http://209.85.129.132/search?q=cache:9wPun5VUbFcJ:technet.microsoft.com/en-us/library/cc728150.aspx+active+directory+internet+explorer+maintenance+apply+once&hl=ru&client=firefox-a&gl=ru&strip=0

Цитата:

Internet Explorer Maintenance Extension can also be used to configure default settings for users the first time the GPO is applied to their computers. This provides users with the same starting configuration for their browsers, but enables them to personalize the configuration. To configure default settings, the settings are created while Internet Explorer Maintenance Extension is in Preference mode. Once a GPO containing Preference mode settings is applied to a user configuration, the settings are not reapplied unless there are changes to the GPO settings, even when Group Policy is forcefully reapplied to the target computer.

Добрый день, всем.

Ситуация следующая, есть OU в котором сидят все лэптопы, все пользователи этих лэптопов сейчас локальные администраторы. Вопрос, можно ли с помощью групповых политик перевести всех этих пользователей из локальной группы администраторы в локальныю же группу повер юзер?