2008 R2 - [решено] Запрет на установку ПО пользователям домена

sigmatik · Отправлено: **10:52, 14-01-2013** | #11

Убрал пользователя из группы локальных администраторов, сейчас он вообще ни в каких группах не состоит, но это не помогло, я залогинился снова но ничего не изменилось, я все также могу устанавливать программы и изменять системные настройки, реестр и т.п.

Команда whoami /all

Telepuzik · Отправлено: **10:58, 14-01-2013** | #12

Цитата sigmatik:

Убрал пользователя из группы локальных администраторов, »

А вывод whoami говорит что пользователь входит в группу локальных Администраторов:

Цитата sigmatik:

BUILTIN\Администраторы Псевдоним S-1-5-32 »

Может у Вас политики настроены которые добавляют пользователей в группу локальных Администраторов??

sigmatik · Отправлено: **11:12, 14-01-2013** | #13

Цитата Telepuzik:

А вывод whoami говорит что пользователь входит в группу локальных Администраторов: »

Все , отбой, вроде разобрался.. Я редактировал членство в группах для пользователя через оснастку "локальные пользователи и группы" ( lusrmgr.msc ), сейчас же изменил уровень доступа в Панель управления\Учетные записи пользователя с администратора на пользователя и все заработало ....

Честно говоря мне не совсем понятна логика всего этого, ну да ладно, главное что проблема решена...

Несколько слов о том как пользователь оказался в группе администраторов: раньше раб.станция не была в домене и пользователь был локальным администратором, после ввода в домен я воспользовался программой ProfWiz , если вкратце - для того чтобы при вводе в домен на компьютере не создавался новый профиль доменного юзера эта программа просто конвертирует старый локальный профиль в профиль доменный, не перемещая никуда файлы пользователя.

Один вопрос - Для установки По и изменения системных настроек система требует повышения прав, а вот при запуске regedit этого не происходит. Как бы не порядок, как исправить ?

snark · Конфигурация компьютера

sigmatik, может, настроить политики UAC?

exo · Конфигурация компьютера

Цитата Iska:

Участью прежнего администратора не поинтересовались »

а его даже не было. Им нужен был домен, кто-то им его "настроил". Возможно просто пару раз приехав.
Я пытался узнать кто настраивал, т.к. была только одна идея - но ничего не сказали. Вторая идея - сам директор.
Что забавно, принтер и диски там подключались по логон скрипту. В 2008 R2 ! Дата создания скрипта - 1999 год.
там было много ещё каких "интересностей".

sigmatik · Отправлено: **13:01, 14-01-2013** | #16

Цитата snark:

sigmatik, может, настроить политики UAC? »

что именно вы имели ввиду?

snark · Конфигурация компьютера

Цитата sigmatik:

что именно вы имели ввиду? »

Цитата sigmatik:

Один вопрос - Для установки По и изменения системных настроек система требует повышения прав, а вот при запуске regedit этого не происходит. Как бы не порядок, как исправить ? »

При запуске regedit не выводится окно UAC, а сразу появляется редактор реестра? Это и привело меня к мысли, что либо UAC отключен, либо выставлен на "слабые" настройки.
Почему запуск regedit от имени пользователя это "как бы не порядок"? Ведь при настройках по умолчанию пользователь может открыть редактор и производить запись в ветку HKCU.
Или ваша цель — закрыть доступ к редактированию реестра?

sigmatik · Отправлено: **13:46, 14-01-2013** | #18

Цитата snark:

акрыть доступ к редактированию реестра? »

Да, имхо не правильно что пользователь может вносит изиенения в реестр, вам так не кажется?

Telepuzik · Отправлено: **14:21, 14-01-2013** | #19

Цитата sigmatik:

Да, имхо не правильно что пользователь может вносит изиенения в реестр, вам так не кажется? »

Для запрета доступа к редактору реестра можете воспользоваться групповой политикой:Управление групповой политикой->Конфигурация пользователя->Административные шаблоны->Система->Запретить доступ к средствам редактирования реестра==Включено.

WindowsNT · Отправлено: **14:28, 14-01-2013** | #20

Dear sigmatik,
Судить о правильности/неправильности следует, лишь изучив вопросы безопасности и работоспособности системы. Систему Windows проектировали умные люди, и они лучше нашего с вами знают, кому что менять в реестре можно, а кому — нельзя.

Все ключи реестра имеют свои разрешения (Permissions) аналогично разрешениям NTFS. То, что вы делаете, запрещая редактор реестра — не более, чем фикция. Командой REG /? я могу сделать гораздо больше, чем редактором.

Основополагающее в безопасности реестра — членство в группах безопасности. Если не заниматься самоубийством, выдавая пользователям права Администратора, никто ничего в реестре не сломает.

Отключение UAC эту ситуацию даже улучшает, ибо UAC занимается эмуляцией системного реестра для пользователя, тем самым разрешая пользователю якобы писать в системный реестр. По сути, это может разрешить вирусу "прописаться" в эмулируемом реестре. Не для всех, но для конкретного пользователя.