» Групповые политики (Group Policy, GPO): документация, ссылки

Подскажите пожалуйста, как с помощью групповой политики блокировать определенные URL-адреса как это делается файлом hosts, но без его использования.

andmail

Цитата:

Подскажите пожалуйста, как с помощью групповой политики блокировать определенные URL-адреса

Вариант первый, в автозапуск добавить задание для одного компа, установить прокси сервер.
Вариант два, с помощию все той же групповой политики запретить использование любых программ проме разрешенных.

Вариант с правкой Hosts той же ГП не предлагаю ибо грешно наверно.

1. как скрыть пункт меню "Администрирование"?
2. где включить отображать языковую панель на панели задач?
3. есть ли возможность искать по дереву ГП?

2008 R2

emfs

Цитата:

1. как скрыть пункт меню "Администрирование"?

Цитата:

In your group policy there is a setting under User config, Administrative Templates, Control Panel, called Hide specified Control panel items.

If you enable it and type in Administrative Tools
It will not only remove it from the start menu but also hide it in control panel.

Remember to run gpupdate /force to apply the policy immediately after setting it.

Подскажите пожалуйста такой нюанс, правильно я понимаю:
"политика ограниченного использования программ" не влияет на запуск программ производимых с правами "SYSTEM"


интересует в связи с последним вирусом (и еще ссылка), который распространяется на флешках и не использует autorun.inf.. а использует новую уязвимость *.lnk в windows.
как я понимаю вредоносные ~WTR41хх.tmp с флешки запускаются с правами системы..
а значит политика ограниченного использования программ (даже после добавления типа файла - tmp) не подействует?

Yulia
описание vulnerability

код из lnk запускается в контексте эксплорера и под его пользователем, так что если стоит политика по умолчанию Disallow, .tmp не запустится

[delete]

Подскажите.
Есть сервер Win2003 в домене. При загрузке сервер привязывается к одному из доменконтроллеров DC1(Win2003). Как на лету (без перезагрузки) сделать привязку к другому доменконтроллеру DC2? При этом не важно в работоспособном состоянии DC1 или нет.

Цитата:

При загрузке сервер привязывается к одному из доменконтроллеров DC1(Win2003)

как это он привязывается к "одному"?
компьютер включается в домен, а не не к контроллеру домена.

Цитата:

как это он привязывается к "одному"?
компьютер включается в домен, а не не к контроллеру домена.

Я говорю не про ввод компьютера в домен, а при обычной загрузке ПК, которая находится в домене. При этом есть понятие "Сервер входа в сеть" - как я понимаю - конкретный доменконтроллер, который выдает тикеты. Наверное при нормальном ходе событий от загрузки до выключения он не меняется и всякая авторизация пользователей на сервере будет проходить именно на нем. Понятное дело, что при следующей загрузке он может поменяться как и при недоступности данного доменконтроллера.
Может я не понимаю чего-то. Пусть все доменконтроллеры нормально работают.
Как указать на сервере после его загрузки - конкретно на каком доменконтроллере проводить авторизацию пользователей.

violant


Цитата:

ПК, которая находится в домене

, получает dhcp? Какая очерёдность указана в выдаваемых параметрах?
ipconfig /all с этого компа, и, думаю, это не в этот топик.

Цитата:

Я говорю не про ввод компьютера в домен, а при обычной загрузке ПК, которая находится в домене.

Я писал про процесс (Процесс ввода ПК в домен и процесс загрузки ПК, которая введена в домен), а не про принадлежность.

Цитата:

получает dhcp? Какая очерёдность указана в выдаваемых параметрах?

Айп- адресация не важна (статика или динамически).
Есть ПК, введенная в домен. Когда она загружается у нее согласно неким правилам выбирается самый крутой Logon DC, который обслуживает все запросы авторизации. При его недоступности Logon DC меняется на второй по крутости DC.
Вопрос: Как поменять Logon DC на ходу. Что-то писали по поводу комманды
set /p logonserver=\\Name_of_DC
Но что-то не помогает

Всем доброго времени суток!
Возникла такая травиальная задача, тока вот решение не приходит в голову.
Требуется, чтобы в домене на компах локально заведенные пользователи с правами админа не теряли своих прав, при условии, что политикой на весь домен задается,что членами группы админы являются определенные группы пользователей.

коллеги, как в политиках домена win2008r2 сделать чтобы у всех юзеров переключение раскладки RU/EN были только через ctrl+shift

мне это нужно для того что бы эта комбинация у всех совпадало с TS, который работает в режиме публикации приложений, а когда приложение достовляется на машину с winXP, то индикатор раскладки висит в любом месте раб стола, я его выключаю, тогда не понятно какой язык. а так юзер интуитивно переключает язык и на серваке то же переключается...иначе получается что локально одна кобинация а на серваке другая

Привет всем, прдскжате пожалуйста как изменить у всех пользователей логон скрипт?Просто, если заходить в каждый и менять это пипец.....Логон скрипт у всех один!

terence
Настрой на 1 машине правильно раскладку, экспортни рег файл (HKCU-Keyboards Layout\) и потом через логон скрипт загружай при входе в систему.

olview
В груп полиси : User Configuration -> Windows Settings -> Scripts (Logon/Logoff)

daishirus
Спасибо, то есть прямых настроек нет. только такой метод?))

terence

Цитата:

Спасибо, то есть прямых настроек нет. только такой метод?))

Скажем так - если и есть, я об этом способе незнаю. Вообще, можно и без рег файла, на vbs накатать скрипт который будет править реестр, тут уж кому как прощще. Главное из логон скрипта не убирай, тогда любая машина, попавшая в домен, будет получать правильное переключение.

я так понимаю нужна даже не вся ветка а строка Toggle ??

форумчане,помогите.
два контроллера домена. всё работало. в журналах ни каких ошибок. политики применялись.
сейчас политики тоже применяются, но при попытке посмотреть результирующую политику какого либо доменного пользователя выскакивает сообщение : Оснастке RSoP не удалось перечислить пользователей на выбранном компьютере из-за указанной ниже ошибки - пользователь с таким именем не существует
если же посмотреть результирующую политику какого либо компа в домене вместе с юзером, то всё показывает. хотя юзеров по отдельности не посмотреть, выдаёт ошибку, которую выше написал.
ни на контроллерах, ни на клиентах ошибок нет.
где копать?

Reactor77

ошибок 1053 1054 вообще не было?

попробуй этого юзера вывести из домена и снова внести

ошибок не было. rsop не отображается даже на вновь созданных и введённых в домен клиентах

Не бейте сильно чайника!

Как средствами GPO заменить файл host на всех машинах user`s в домене
домен Win 2008 r2 x64
рабочки Win XP sp2-3

кто подскажет как настроить Создание объекта групповой политики система server 2008 R2, хотя бы на примере, с 2003 не совпадают, заранее спасибо

Цитата:

Как средствами GPO заменить файл host на всех машинах user`s в домене

Писать скрипт, потом его повесить на "Конфигурацию компьюьтера" на OU, где присутствуют все компы домена. Ну или на Default Domain Policy

проблема с флеш-плеером
он вроде бы устанавливается, во всяком случае новые файлы в каталоге присутствуют

?=O====== M/10.1.53.64 2010-07-15+06-28-19.000 ========
0000 [I] 00000010 "C:\WINDOWS\TEMP\InstallAX.exe" -install activex -msi
0001 [I] 00000013 C:\WINDOWS\system32\Macromed\Flash\Flash10h.ocx
0002 [I] 00000015 C:\WINDOWS\system32\Macromed\Flash\FlashUtil10h_ActiveX.exe
0003 [I] 00000016 C:\WINDOWS\system32\Macromed\Flash\FlashUtil10h_ActiveX.dll
=X====== M/10.1.53.64 2010-07-15+06-28-21.000 ========


но почти ежедневно при загрузке у пользователей создается лог с с парой строк типа
You must have administrative privileges to install Flash Player 10. Please log on with administrative privileges and try again.
=== Logging stopped: 29.07.2010 7:49:06 ===


похоже он недоустанавливается и не интегрируется.. и в ИЕ флеш не отображается

ГП применяется на компьютеры.
конфигурация компьютеров - установка программ, назначенные

всегда производить установку с повышенными правами - включено

в чем может быть проблема?

Yulia
Проблема в том, что для установки обновлений, ему надо писать в system32, а ограниченные учетки этого не умеют. Решение, запускать под админом, например используя autoit.

Цитата:

ему надо писать в system32

а как же хватило прав чтобы запихнуть свои файлы сюда:

Цитата:

?=O====== M/10.1.53.64 2010-07-15+06-28-19.000 ========
0000 [I] 00000010 "C:\WINDOWS\TEMP\InstallAX.exe" -install activex -msi
0001 [I] 00000013 C:\WINDOWS\system32\Macromed\Flash\Flash10h.ocx
0002 [I] 00000015 C:\WINDOWS\system32\Macromed\Flash\FlashUtil10h_ActiveX.exe
0003 [I] 00000016 C:\WINDOWS\system32\Macromed\Flash\FlashUtil10h_ActiveX.dll
=X====== M/10.1.53.64 2010-07-15+06-28-21.000 ========

и как тогда понять "производить установку с повышенными правами" если прав все же оказывается недостаточно?

не пойму логики

Yulia
Установка с повышенными правами касается только обновлений через системный сервис Windows Update, установка удаление программ и прочее, где используется Windows Installer. В Вашем случае он не используется. Да и задать такое право, это все равно что дать права админа, читай системы всем локальным пользователям.

Цитата:

Требует от установщика Windows, чтобы он использовал системные разрешения при установке любой программы на этой системе

Эта политика распространяет повышенные привилегии на все программы. Эти привилегии обычно зарезервированы для программ, которые были назначены этому пользователю (предложены на рабочем столе), назначены этому компьютеру (установлены автоматически), или были сделаны доступными в окне "Установка и удаление программ" панели управления. Эта политика позволяет пользователям устанавливать программы, которые требуют доступа к папкам, которые пользователь не может просматривать или изменять, включая папки на компьютерах с высоким уровнем ограничений.

Если эта политика отключена или не задана, система применяет разрешения текущего пользователя при установке программ, не распространяемых или назначаемых системным администратором.

Замечание: эта политика появляется как в папке "Конфигурация компьютера", так и папке "Конфигурация пользователя". Чтобы эта политика вступила в силу, следует включить ее в обеих папках.

Осторожно: умелые пользователи могут воспользоваться разрешениями, предоставляемыми этой политикой, для изменения своих привилегий и получить постоянный доступ к защищенным файлам и папкам с ограниченным доступом. Учтите, что версия этой политики для конфигурации пользователя не может гарантировать безопасности.

Цитата:

как же хватило прав чтобы запихнуть свои файлы сюда:

Пользователь находился в группе "Опытные пользователи", они могут создавать новые папки и файлы в системных директориях и некоторых системный ватках реестра.

Цитата:

Пользователь находился в группе "Опытные пользователи", они могут создавать новые папки и файлы в системных директориях и некоторых системный ватках реестра.

после вашего поста засомневалась и перепроверила - у меня у всех права урезаны до (простого) пользователя


Цитата:

где используется Windows Installer. В Вашем случае он не используется

распространяемый юзерам файлик - install_flash_player_10_active_x.msi
взят тут