Как правильно разграничивать привилегии пользователей
 

Привет.

Надо настроит компы лабаратории универа так чтоб НЕ была возможност
1. перенастроить,
2. устанавливать проги,
3. открыть regedit,
4. и надо защищятся от вирусов.
Но чтоб БЫЛА возможность
1. нормально работать в Visual Studio 2005 (написать программы и запускать их) ,
2. нормально работать в MathLab.
3. (...)


Решения проблем

1) Например есть программа GoBack которая после каждой включении компа делает reset, но есть минусы, когда забывают флешку включенной на компе содержимое флешки удаляется, и от вирусом не защещает.

2) Можно создать юзера с очень низкими привелегиями (limited юзер не подойдет так как запускать exe файлы не возможно), но нечего не смог найти про это. Как это можно сдлелать дайте ссылку пожалуста , ... . А от вирусов защищятся постаянно обновлающимся антивирусом.

Кто что посоветует, другие решения ... ?

Прошу отвечать ЗНАЮШИМ людям.

из FAQ по винде с этого сайта... мне помогло в универе решить похожие проблеммы...

Вариант 1:
Зайдите в учетную запись пользователя которому необходимо сделать ограничения и в реестре в ветке

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
параметр DisallowRun
значение 1
создать подраздел с таким же именем, в котором нужно создать строковые параметры, свой для каждой программы разрешенной для запуска, именуя их числами по возрастанию.

Например:

Параметр 1
значение C:\Windows\Regedit.exe
Параметр 2
C:\Program Files\Microsoft Office\Office11\Winword.exe


Не забудьте указать файл Regedit.exe, иначе Вы сами не сможете больше запустить в этом аккаунте редактор реестра.

Вариант 2:
Пуск -> Выполнить -> Secpol.msc -> Политики ограниченного использования программ -> Дополнительные правила -> Правый клик в правом поле -> Создать правило для хэша -> Обзором задаём требуемый экзешник -> Применить -> Затем снова Политики ограниченного использования программ -> в правом поле вызываем свойства объекта "Принудительный" (выделяем правым кликом), верхний чекбокс на ...кроме DLL, нижний на ...кроме локальных администраторов.

В этом случае лучший вариант - откат к заданной конфигурации. Попробуйте Windows SteadyState.

В противном случае в вашем распоряжении все равно будут групповые политики. Ссылки по теме:
Group Policy Settings Reference
Применение политик ограниченного использования программ для защиты от несанкционированного программного обеспечения