права на compmgmt.msc
 

DC 2008R2 внутри vsphere 5.1, клиенты win 7. Выявили проблему - у пользователей есть права на compmgmt.msc, то есть они не просто могут вызвать гуевину, но и управлять ей, например добавлять/удалять пользователей из группы локальных администраторов. В этой группе есть 3 итема: встроенный админ, админ созданный при развороте пулов view (с мегопаролем), и группа доменных администраторов, в которую рядовые пользователи никак не входят. При установке/удалении программ например запрашивается пароль администратора. Буду благодарен за любую идею.

Должен быть запрос UAC, но его нет. Если отключить UAC, что-нибудь изменится?

и при включенном UAC и при выключенном уведомлений нет, ничего не изменилось

Добавить то они добавляют, а изменения то остаются?

хм, Вы правы, изменения не сохраняются, я не обратил на это внимание, но все же почему оснастка вообще вызывается, раньше (по крайней мере до sp1) она точно не вызывалась. не есть хорошо что пользователь может посмотреть кто в какой группе есть, да и другие данные о системе его касаться не должны.

Честно незнаю.
То что они могут вызывать сам давно обнаружил.. но в принципе не мешается...
если раздражает то.. посмотри вот здесь
gpedit.msc ->конфигурация пользователя->Административные шаблоны->Компоненты Windows->Консоль управления(MMC)

Molchune, спасибо, накатил gpo по запрету вызова compmgmt.msc, полезное сообщение.