» Групповые политики (Group Policy, GPO): документация, ссылки

В чем может быть дело? Ставлю занчение не определено в политике паролей в пункте "Пароль должен отвечать требованиям сложности" и делаю принудительный апдейт, а политика не применяется, в журнале ошибок нет, перезагрузка не помогает.

dimonte
ГДе ставишь параметр (в какой политике), где проверяешь?

Скажите что надо сделать чтобы после смены пароля администратора домена перестало пускать на некоторые компы со старым паролем??? Очистить какой-то кэш?

FreemanRU

в груповых политиках домена---политика паролей
проверяю при создании учетной записи

Добавлено:
Rasa
Вообще то если у тебя виден в сети домен и он правельно работает, то под старым не пустит.
Пускает только под старым в том случае если ты хоть раз на машине логинился под старым и в тот момент когда домена нет в сети

dimonte
Как это пофиксить?

Rasa
Рой в сторону "Интерактивный вход в систему: количество предыдущих подключений к кэшу (в случае отсутствия доступа к контроллеру домена) 10входы в систему" (Это так в локальной, я сейчас дома, точно проверить не могу, но в групповой стопудово есть аналогичная фишка).
А еще пробей "Переименование учетной записи локального администратора" - вполне может быть, что локальному и доменному админу задавались одинаковые пароли, и со старым паролем будет пускать пол локальным админом.

Никто не знает как на компах создать новую User Group?

Добрый день!
подскажите плз как через GPO установить на компы шрифт....???
может скриптом каким???

У юзера урезаны права по самое небалуйся, т.е. редактирование реестра невозможно стандартными средствами под его правами. Как сделать так, чтобы через политики домена можно было запустить скрипт редактирования реестра с правами Администратора домена? И насколько безопасно это будет?

В наследство досталась сетка с 2003 русским контроллером домена и 2003 английским r2. Есть групповые политики(2 штуки). Поднят wsus. Обе групповые политики правились мною на предмет разрешения обновлений и их включений. После этого поднял с нуля 2 машины с winxp+sp2 rus.
Итог: в цыгы имеем 4 зарегистрированные машины(2 сервака и 2 новые). получается, что почему-то не сработали политики для старых машин.
Вопрос: как искать корень зла?

народ, подскажите где в ГП запретить доступ к кнопке Завершение работы по Alt+Ctrl+Del

Baloven1
Пользователь -- шаблоны -- Панель задач и меню пуск -- Удалить и запретить доступ к команде завершение работы .

Да именно там я и отключил, тем самым исчезла кнопка в меню пуск, но после выхода пользователя он модет нажать Alt+Ctrl+Del и в окне логирования нажать кнопку "завершить работу" где и сможет выбрать пункт "выключить компьютер" т.е. это где-то в политиках компьютера должна быть опция запрета так как в этот момент никакой юзер не залогинен....
PS с праздником вас мужики

Тогда вот здесь
HKHEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
параметр ShutdownWithoutLogon .

Вопрос теоретический:
допустим есть порядка 100 пользователей и у каждого в папке "Мои документы" по 1-2Gb информации. Что будет, если включить перенаправление папки "Мои документы" на сервер ? По окончании рабочего дня все станции ломануться переносить свои папки на сервер ?

Помогите пожалуйста. Есть АД, в ней несколько групп пользователей, для каждой группы есть своя политика. Но когда я добавил сценарий входа (не в свойствах групп, а конкретно в свойствах каждого пользователя), то у одних групп срабатывает, у других нет.
Сам сценарий вида
net use t: \\server\temp /persistent:no (простое подключение сетевого диска)
Подскажите, где в политиках что нужно изменить, чтобы сценарий выполнялся?

Привет
как сделать чтобы при входе в домен, политики постоянно перечитывались с сервера
просто проблема вот в чем,
когда работаешь часто на компе, политики настройки IE (прокси, впн)
не применяются, хотя при этом другие настройки работают
после команды gpudate /force настройки применяются
проблема наблюдается на Win2000Pro SP4 и WinXP SP2

ant_firefly
скорее в начале следующего, когда политику перечитают

Как пользователю запретить править реестр через GPO

vharlamov
в административных шаблонах где то есть запретить ползователям доступ к реестру

а поконкретнее я все перерыл

Asker80

Цитата:

скорее в начале следующего, когда политику перечитают

По сути неважно, в начале дня или в конце, но сам факт того, что они все, практически в одно время ломанутся переносить свои файлы, наводит на мысли, что нужно быть с этой функцией осторожным и вводить такую политику постепенно (по группам или орг. единицам)

Кстати, по поводу перенаправления "Моих документов" на север. По умолчанию винда включает для них "Offline files" т.е. делает их доступными локально, что в общем-то хорошо (если вдруг чего случится с серваком), но вот с другой стороны постоянно светится синхронизация. Даже если связь между клиентом и сервером ни на секунду не прерывалась, все равно при логофе\логоне вспылвает окно синхронизации. Притом даже если в настройках стоят "простая" (или как-то так) синхронизация.

Можно как ни будь скрыть все эту чепуху связанную с синхронизацией, дабы юзер вообще не подозревал, что там происходит с его файлами?

Кстати, если вдруг у юзера с компом случится неприятность и все файлы в "Моих документах" кончатся, то при очередной синхронизации они так же кончатся и на сервере или будут восстановлены?

возник такой вопрос:

есть сервер терминалов. на нем же контроллер домена.
есть OU "группа1" в которую входят пользователи работающие как локально на своих машинах, так и на сервере терминалов.

через политики для группы1 задана экранная заставка + время + пароль на заставку (политика на пользователя)

данная политика понятно дело применяется как на локальных машинах, так и на сервере терминалов. это собственно и раздражает сотрудников - при разблокровании компьютера надо 2 раза вводить пароль (чтобы работать в терминальной сессии)

собственно надо сделать так, чтобы в терминальной сессии экранная заставка была отключена, а на локальных - нет.

т.е. стоит задача - перекрыть отдельное значение политики пользователя на конкретном компьютере.

как голову не ломал - ничего пидумать не могу

weerkostya
необходимо создать отделбную OU для сервера терминалов. Почитай тут http://oszone.net/172/

DmitriySDM прочитал. ничего нового для себя я там не обнаружил.


ща пытаюсь WMI -фильтр сделать... так скорее всего получится.

Поможыте разобраться люди добрые.....Идея не новая, поэтому думаю кто-то уже сталкивался с этой проблемой: нужно разграничить доступ пользователей в домене на Win2k3 на любые устройства ввода-вывода информации, т.е. группе CDROM например будет разрешено пользоваться сидюком, остальным разумеется нет, USB - соответственно устройствами USBStor, ну и т.д.
Пробовал использовать утилиту devcon: в групповых политиках запихнул старт скрипт, который отрубает скажем cdrom, далее логон скриптом пользователя из группы cdrom (т.е. той, которой пользоваться сидюком можно) пытаюсь включить устройство cdrom (devcon enable *cdrom) скрипт отрабатывает без ошибок, но сидирома как не было так и нет, запуск в ручную из командной строки этим же devcon результат дает такой же, пишет устройство включено, но его нет((( В чем может быть проблема, или может есть другие идеи как реализовать разграничение доступа пользователей к устройствам
ЗЫ. девайслок и прочие шаровары не предлагать

может пригодится кому.


Код: Root\cimv2; SELECT * from Win32_OperatingSystem WHERE CSName = "CENTER"

Цитата:

вот такой вот запрос (WMI фильтр) позволяет применять конкретную политику только на компьютере именем CENTER

Вдогонку, есть замечательный инструмент от микрософта WMI Administrative Tools, минимальных знаний составления sql запросов и названия классов, кот. можно посмотреть в wmi cim studio из этого пакета достаточно чтоб составить любой запрос....А с помощью опции WQL Queries проверить его работоспособность

У меня вот такая проблемка возникла

1. Поднят домен с двумя контроллерами
2. Включена парольная политика и политика блокировки учетной записи
3. Параметры блокировки учетной записи следующие:
а) блокировка учетной записи на 30 минут
б) пороговое значение блокировки учетной записи - 5 ошибок ввода пароля
в) Сброс счетчика блокировки - через 30 минут

Блокировка учетной записи срабатывает, но ни через 30 минут ни поже пользователь не разблокируется.