[решено] Как правильно разграничивать привилегии пользователей

[deimus]

Привет.

Надо настроит компы лабаратории универа так чтоб НЕ была возможност
1. перенастроить,
2. устанавливать проги,
3. открыть regedit,
4. и надо защищятся от вирусов.
Но чтоб БЫЛА возможность
1. нормально работать в Visual Studio 2005 (написать программы и запускать их) ,
2. нормально работать в MathLab.
3. (...)


Решения проблем

1) Например есть программа GoBack которая после каждой включении компа делает reset, но есть минусы, когда забывают флешку включенной на компе содержимое флешки удаляется, и от вирусом не защещает.

2) Можно создать юзера с очень низкими привелегиями (limited юзер не подойдет так как запускать exe файлы не возможно), но нечего не смог найти про это. Как это можно сдлелать дайте ссылку пожалуста , ... . А от вирусов защищятся постаянно обновлающимся антивирусом.

Кто что посоветует, другие решения ... ?

Прошу отвечать ЗНАЮШИМ людям.

[Viperinecop]

из FAQ по винде с этого сайта... мне помогло в универе решить похожие проблеммы...

Вариант 1:
Зайдите в учетную запись пользователя которому необходимо сделать ограничения и в реестре в ветке

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
параметр DisallowRun
значение 1
создать подраздел с таким же именем, в котором нужно создать строковые параметры, свой для каждой программы разрешенной для запуска, именуя их числами по возрастанию.

Например:

Параметр 1
значение C:\Windows\Regedit.exe
Параметр 2
C:\Program Files\Microsoft Office\Office11\Winword.exe


Не забудьте указать файл Regedit.exe, иначе Вы сами не сможете больше запустить в этом аккаунте редактор реестра.

Вариант 2:
Пуск -> Выполнить -> Secpol.msc -> Политики ограниченного использования программ -> Дополнительные правила -> Правый клик в правом поле -> Создать правило для хэша -> Обзором задаём требуемый экзешник -> Применить -> Затем снова Политики ограниченного использования программ -> в правом поле вызываем свойства объекта "Принудительный" (выделяем правым кликом), верхний чекбокс на ...кроме DLL, нижний на ...кроме локальных администраторов.

[Vadikan]

Надо настроит компы лабаратории универа »В этом случае лучший вариант - откат к заданной конфигурации. Попробуйте Windows SteadyState (http://www.microsoft.com/windows/products/winfamily/sharedaccess/default.mspx).

В противном случае в вашем распоряжении все равно будут групповые политики. Ссылки по теме:
Group Policy Settings Reference (http://www.microsoft.com/downloads/details.aspx?FamilyID=41dc179b-3328-4350-ade1-c0d9289f09ef&DisplayLang=en)
Применение политик ограниченного использования программ для защиты от несанкционированного программного обеспечения (http://oszone.net/3979/Software_Restriction_Policies)