» Права пользователей на локальном ПК (WorkGroup)

Доброго всем времени суток.
Есть необходимость разграничить права пользователей на ПК который не в сети, и ПК который не входит в домен, т.е. обычный WorkGroup.

Пусть имеются два пользователя: Admin, User
Нужно User-у запретить менять разрешение экрана, запретить установку/удаление программ и т.п., а Admin-у это все оставить.

Я пытался решить это дело используя GPEdit.msc, но в таком случае эти настройки действуют на всех пользователей.
Подскажите, как можно решить эту задачку с разграничением доступа не вводя компы в домен?

Установкой прав на папки/ветки реестра. У рядовых пользователей по умолчанию и так нет/не должно быть прав на запись в системные каталоги.

Тогда, вероятно, нужно будет не только устанавливать права на ветки реестра, но, скорее всего, еще и записывать нужные значения в ключах реестра.

Мне остается только найти каким образом можно автоматизировать это дело, чтобы на каждом компе не пришлось лазать по реестру и устанавливать разрешения. И отыскать инфу какой ключ/раздел за что отвечает

Большое спасибо за подсказку

Вот интересная статейка. Взята с сайта samouchka.net

Исходный адрес статьи:
http://samouchka.net/articles/windows/12378-vvod-ogranichenijj-na-lokalnojj-sisteme.html


Консоль «Групповая политика»

Для ввода ограничений используется консоль «Групповая политика». Перед тем, как начать ущемлять пользователей вашей сети в правах, учтите, что все созданные изменения немедленно отразятся на локальных учётных записях администраторов каждого компьютера. Поэтому не вводите такие ограничения, которые не позволят в дальнейшем отменять ограничения для профилей администраторов. Создайте временную запись с принадлежностью к группе «Администраторы» на тот случай, если потом придётся отменить назначение полномочий.

Чтобы обмануть Windows XP Professional и ввести различные ограничения для отдельных пользователей:

1. Войдите в систему как Администратор.
2. Зайдите в Пуск | Выполнить (Start | Run) и введите Gpedit.msc в строке Открыть (Open), чтобы запустить консоль «Групповая политика» (Group Policy), как показано на изображении A.
3. Раскройте вкладку Конфигурация пользователя/Административные шаблоны (User Configuration/Administrative Templates) и измените значения, чтобы ввести ограничения, если необходимо. Значения для каждого ограничения различны.
4. Закройте консоль и завершите сеанс, затем снова войдите в систему в качестве Администратора, чтобы ввести изменения в силу.
5. Опять выйдите и войдите в систему как другой пользователь и убедитесь, что изменения вступили в силу. Выходите и входите в систему в качестве каждого пользователя, для которых вы ввели ограничения.
6. Войдите в систему как Администратор и скопируйте файл %systemroot%\System32\GroupPolicy\User\registry.pol в резервный каталог и назовите его UserReg.pol. Скопируйте файл %systemroot%\System32\GroupPolicy\Machine\registry.pol в ту же резервную папку и назовите его MachineReg.pol.
7. Откройте консоль «Групповая политика» и удалите ограничения, введённые в пункте 4. В некоторых случаях, понадобится использовать противоположны заданным в пункте 3 значения. Например, если вы выбрали «Включить» (Enable), чтобы изменения вступили в силу, выберите «Отключить» (Disable), чтобы отменить введённые ограничения, вместо значения «Не настроено» (Not Configured), которое не вносит изменений в реестр.
8. закройте консоль и скопируйте резервный файл UserReg.pol, созданный в пункте 6, обратно в %systemroot%\System32\GroupPolicy\User\registry.pol, и убедитесь, что вернули файлу прежнее имя Registry.pol. Скопируйте резервный файл файл MachineReg.pol, созданный в пункте 6, обратно в %systemroot%\System32\GroupPolicy\Machine\registry.pol, и убедитесь, что вернули файлу прежнее имя Registry.pol.
9. Завершите сеанс Администратора, войдите в систему под профилем одного из ограниченного в правах пользователя и удостоверьтесь в том, что ограничения вернулись на место. Завершите сеанс пользователя, снова зайдите как Администратор и удостоверьтесь в том, что ограничения не коснулись профиля администратора. Если вы не использовали свой неадминистративный профиль в пункте 5, ограничения не должны распространиться на эту учётную запись.