права на управление цветовыми профилями

[V0van3]

система Win2kSp4en либо WinXPsp2en
Необходимо чтобы пользователь c правами users мог средствами GUI добавить/удалить, изменить назначенный по умолчанию цветовой профиль (*.icc)
включать пользователя в локальную группу administrators - не предлагать по причинам безопасности.
Нужно для дизайнеров и цветокорректоров т.к. им необходимо работать с разными цветовыми профилями и калиброваться.
проблема в том что под пользователем (входит в группу users) кнопки desk.cpl->Settings->Advanced->Color Managment->Add,Remove,Set as default не доступны
на данный момент пользователям (users) предоставлены права modify на
%systemroot%\system32\spool\drivers\color\
для того чтобы поменять профиль по умолчанию пользователь вынужден переименовать нужный профиль в Monitor.icc
(этот профиль заранее задан по умолчанию под админом) и перегрузить компьютер, что очень неудобно.
Вопрос в том НА КАКОЙ ОБЪЕКТ нужно предоставить пользователю права (например с помощь subinacl.exe) чтобы кнопки были доступны.
ради эксперимента пробовал дать пользователю full control на весь диск ntfs и на весь реестр со сбросом дочерних прав - кнопки не доступны.

[monkkey]

А если включить их в группу Power Users?
Используйте regmon.exe, filemon.exe от sysinternals для выявления нужных файлов и веток реестра.

[V0van3]

Power Users не помогает - прав как небыло так и нет (уже проверял)

дело не в правах на реестр и не на NTFS - см последнюю строку предыдущего поста

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ICM\mntr]
"Monitor.icc"=hex(03):03,00,00,00,00,00,00,00,00,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E96E-E325-11CE-BFC1-08002BE10318}\0000]
"ICMProfile"=hex(03):4d,00,6f,00,6e,00,69,00,74,00,6f,00,72,00,2e,00,69,00,\
63,00,63,00,00,00,00,00

;меняется при выборе другого icm файла в качестве текущего default профиля
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ICM\mntr]
"sRGB Color Space Profile.icm"=hex:00,00,00,00,49,45,43,20,73,52,47,42
"Monitor_13.08.2007_1.icc"=hex:01,00,00,00,00,00,00,00,00,00,00,00

@rem права на папки и реестр
%path_cmdutils%\xcacls "%systemroot%\system32\spool\drivers\color" /t /c /g administrators:f system:f "power users":c users:c /y
%path_cmdutils%\xcacls "%programfiles%\GretagMacbeth\i1\Eye-One Match 3" /t /c /g administrators:f system:f "power users":c users:c /y
%path_cmdutils%\subinacl /keyreg HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ICM\mntr\ /grant="everyone"=F

Как могут помочь regmon.exe, filemon.exe если кнопку под пользователем нажать нельзя?
под админом - нарыл то что выше, но AccessDenied естессно не увидел.

выбрать профиль по умолчанию средствами bat файлов + reg файлов я могу(сейчас так и сделано), но для вступления изменений в силу требуется перезагрузка компьютера (возможно достаточно рестартануть какой-то сервис, но я не знаю какой) - что неудобно.
Интересует работа GUI.
В реестре и диске давно всё найдено, дело не в правах на реестр или NTFS а в правах на какие-то другие объекты.
p.s. вечером попробую дать юзеру полные права на все сервисы и посмотрю что выйдет.

[monkkey]

Посмотрел у своих юзеров - права на добавление и сохранение профиля есть. Так что нужно искать, что у Вас в правах пользователя зарезано. Смотрите групповые политики.

[V0van3]

monkkey, на какой системе и с какими правами вы тестили?
специально поставил с нуля winxpsp2 и win2k3sp1r2 без домена и твиков - проверил, прав на кнопку у группы users нету.

[monkkey]

ХP SP2 Prof Corporate в 2003 домене.

[amel27]

хм... и тем не менее: http://www.microsoft.com/windowsxp/using/digitalphotography/prophoto/colorcontrol.mspx
Note that you must be logged on as an administrator or a member of the Administrators group in order to use this software to install or uninstall color profiles and to associate color profiles with devices.
матрица необходимых прав для работы с профилями: http://msdn2.microsoft.com/en-us/library/ms536826(d=printer).aspx