Вопрос по правам пользователя : Windows

Mike · █ 30.07.2007 06:28

Как в WinXP настроить права пользователя таким образом чтобы он мог запускать только разрешенные для него программы?

И вообще поделитесь опытом с начинающим, какие права вы даете пользователям например на комп оператора?

Заранее благодарен.

Vovantus · █ 30.07.2007 07:51

Моё ИМХО - нуна однозначно поднимать контроллер домена. Следовательно, для этого необходима серверная ось и навыки администрирования соответствующего уровня.
Локально ограничить в правах пользователя проблематично и геморойно. Я с этим сталкивался как-то.. Но если хочешь попробовать - пробуй! Один момент:

Для начала весь необходимый софт устанавливаешь и настраиваешь под админской учётной записью. Затем уже раздаёшь права на файлы/службы/папки. Но, к примеру, запретить устанавливать ПОСТОРОННИЙ софт стандартными, встроенными в ось средствами, ты не сможешь скорее всего, уж больно бедна в этом плане Windows *140

OlegON · █ 30.07.2007 08:31

Цитата:

Запрещение запуска программ
Windows позволяет ограничить доступ к программам, кроме разрешенных в специальном списке.
Для ограничения запускаемых программ надо открыть раздел HKEY_CURRENT_USER\SOFTWARE\Microsoft\ Windows\CurrentVerson\Policies\Explorer и создать там ключ RestrictRun типа DWORD со значением 0х00000001. Затем тут же надо создать подраздел с аналогичным именем RestrictRun и в нем перечислить список РАЗРЕШЕННЫХ к запуску программ для текущего пользователя. Записи в этом подразделе пронумеровываются, начиная с 1, и содержат строки с путями (необязательно) и именами приложений. Файлы должны быть с расширением. Например, Word.exe, Excel.exe ...
Не забудьте указать файл Regedit.exe, иначе Вы сами не сможете больше запустить редактор реестра! Для сброса ограничения на запуск программ надо установить значение ключа RestrictRun в 0

не надо так критично, контроллер домена поднимать, если компов, скажем, всего три, не стОит. Ставить все проги из под админа тоже не стОит, ибо не все программы рассчитаны на запуск из под того пользователя из под какого они не ставились. Ограничить можно, но я бы к ограничениям добавил бы отключение внешних устройств, аудит и административные санкции, т.е. штрафовал бы игрунов. А с машины бы снял образ после настройки, как рабочей станции и в крайних случаях просто бы перезаписывал диск им.

Mtirt · █ 30.07.2007 08:33

Цитата:

Vovantus ➤ Моё ИМХО - нуна однозначно поднимать контроллер домена.

Ага. Контроллер домена это Win2003. А стоит он немало. Данный метод не самый лучший с финансовой точки зрения.

Vovantus · █ 30.07.2007 09:36

Цитата:

Mtirt ➤ Ага. Контроллер домена это Win2003. А стоит он немало. Данный метод не самый лучший с финансовой точки зрения.

.. ну тогда забить на разграничения прав и дать полный доступ юзеру.. чем заморачиваться с правами! В условиях, когда компов более 10 и они территориально разбросаны по нескольким помещениям/зданиям, заморачиваться такой фигнёй не стоит, т.к. все функции админа сведутся к беготне между компами. Есть более действенные методы:

Цитата:

аудит и административные санкции, т.е. штрафовал бы игрунов

делается так. Пишется какая-нить бамажка, в ней указывается всё что запрещено делать на компе. Далее она согласовывается с начальством и каждый работник после ознакомления подписывает её. Потом всё просто работает: отловил наружителя - бац по по зарплате в установленном порядке. После нескольких показательных ая-я-й ситуация измениться в лучшую сторону.

Mike · █ 30.07.2007 09:38

Спасибо. А как на счет установки новых программ, можно как нибудь запретить все таки это пользователям?

Mike · █ 30.07.2007 09:40

Компом мало всего 5, и опыта поднятия контроллера домена у меня нет, поэтому хотелось бы как нибудь проще.

Vovantus · █ 30.07.2007 09:46

Цитата:

Mike ➤ Спасибо. А как на счет установки новых программ, можно как нибудь запретить все таки это пользователям?

вообще, как я писал выше, стандартными средствами операционки мало что можно запретить. Вариант с отключением приводов и других носителей информации тоже связан с кучей заморочек. Мой тебе совет, НЕ ЗАМОРАЧИВАЙСЯ. Лучше один раз настрой операционку + софт, соххрани образ на серваке и на диске, и пусть юзеры делают что хотят на компе. В случае сбоя вставил диск, восстановил всё из образа и все дела. Но для этого нуна диск на логические разделы разбить. Операционка на C, всё важное на D... Лучше продумай как это всё важное на сервак копировать "на всякий случай".

Mike · █ 30.07.2007 09:51

Ясно, спасибо. Подумаю еще, как чего сделать. Просто сейчас пока один магазин перевели на Супермаг, скоро еще 3 + ЦО и ЦС, хотелось бы услышать мнения людей кто как чего настраивает, чтобы сразу все сделать правильно и потом не париться, а то опыту в администрировании очень мало.

Vovantus · █ 30.07.2007 09:54

Цитата:

Mike ➤ Ясно, спасибо. Подумаю еще, как чего сделать. Просто сейчас пока один магазин перевели на Супермаг, скоро еще 3 + ЦО и ЦС, хотелось бы услышать мнения людей кто как чего настраивает, чтобы сразу все сделать правильно и потом не париться, а то опыту в администрировании очень мало.

.. тем более не заморачивайся пока с разграничением прав. Если такие глобальные планы, то полагаю другой работы у тебя куча будет