Погода: 23 °C
18.0511...22пасмурно, без осадков
19.0512...16пасмурно, дождь
НГС.Форум /Компьютеры Интернет Связь / Операционные системы и системное ПО /

Ограничение прав терминального пользователя

  • Есть Windows 2003 Server, который является контроллером домена и терминальным сервером. Знаю, что это нехорошо, но пока вот так - в будущем перенесем.
    Есть удаленная сеть, в которой все компы состоят в домене (через VPN).
    Задача, общем-то, похоже типовая и гуглится хорошо. Но туплю в одном моменте. Требуется настроить доступ к серверу терминалов так, чтобы пользователи запускали только одно приложение, были максимально ограничены в правах и не могли более делать ничего.
    Что я сделал: создал в домене OU, в который запихнул группу "Удаленный офис", которая, в свою очередь, является членом группы "Пользователи удаленного рабочего стола".
    Начинаю через GPO настраивать права для данной группы и сталкиваюсь с тем, что в рамках данной GPO все настройки применяются не только к удаленному рабочему столу, но локально к компьютеру или к профилю пользователя, входящего в домен. То есть включая свой комп, он не видит значков на рабочем столе и т.д. и т.п.
    Где я не прав и как это можно разрулить?

    Исправлено пользователем Washburn (29.10.10 12:05)

  • Попробуй не через групповые политики а через локальные на самом контроллере, в локальных политиках тоже есть ограничение использования прогграм.

  • Если нужно, чтобы при входе на терминальный сервер пользователь выполнял одну программу, то для этого в свойствах пользователя существует вкладка "Среда", где прописывается, какую программу запускать при логоне на терминальном сервере. При закрытии данной программы, пользователь автоматически отлогиневается от сервера.

  • В принципе, в другом месте уже подсказали - через WMI-фильтры в политике пожно сделать вот так:
    SELECT * FROM Win32_OperatingSystem WHERE ProductType>1 - по этому фильтру политика будет выполняться только на серверной ОС, если =1 - на клиентской.
    Соответственно, можно прописать 2 политики - одну для локальной машины, вторую для RDP.

  • Там беда в том, что основное меню этой программы в трее находится, и при завершении работы "выход" нужно выбрать из него (иначе нехорошо получается). А если сделать так, то трей грузиться не будет.
    В принципе, у MS есть хорошая статья под названием KB278295 "Блокировка сеанса службы терминалов в Windows Server 2003 или Windows 2000", там все расписано очень хорошо.
    Единственное, чего добиться не удалось - убрать подменю "Программы" из меню "Пуск".
    Можно ли при помощи GPO как-то обрезать его?

    И еще вопрос по терминальным службам - лицензии у меня "на устройство". Поигрался я с парой машин, когда настраивал, а лицензии сервер им выдал, хотя не надо бы (ну просто во время настройки разное пробовал, не для работы, для интереса).
    Можно ли как-то обнулить выданные сервером лицензии?

  • Сам не пробовал, но: Конфигурация пользователя-административные шаблоны-панель задач и меню "Пуск"-удалить список всех программ в меню "Пуск" - не оно?

  • Попробовал. Не оно. Этот параметр скрывает пунк "Все программы" в меню пуск в виде ХР. В классическом виде (2000) - не скрывает.

  • Как вариант: включить "Скрывать общие группы программ в меню "Пуск"", "Удалить контекстные меню перетаскивания для элементов меню меню "Пуск"", "Запретить доступ к контекстному меню для панели задач" и "Форсировать классическое меню "Пуск"". Далее в пользовательском меню "Программы" оставить ярлыки только на те программы, которые пользователь должен запускать, находясь в терминальной сессии.

  • Разрешить пользователю запускать только одну конуретную программу, через политики.
    и пусть себе смотрит на "все программы" сколько угодно.

  • Более-менее удалось, в общем-то. Всем спасибо.
    Щас вот с принтером в терминале воюю. :безум:

  • п.9
    Screwdriver поможет...

    Системный администратор

    Исправлено пользователем Barlog (09.11.10 14:02)

  • В ответ на: Щас вот с принтером в терминале воюю. :безум:
    лучше всего использовать сразу сетевые принтеры... или на крайняк поставить принт-серверы (правда не ко всем принтерам это подходит)

    сервероводим помаленьку

Записей на странице:

Перейти в форум

Модераторы: