Ограничить доступ в винде

[Rome]

Господа!

Есть такая необходимость. Стоит вин хр, работает на ней юзер. Надо сделать так, чтобы он мог только ткнуть два ярлыка на раб. столе и больше никаких действий с системой он произвести не мог.

Как можно сделать это наиболее безболезненно?

[LittelBigFace]

djRome Дык создай в xp пользователя с определенными правами.

[Noname]

djRome руками настроить sequrity policy.

[sl]

LittelBigFace прав так проще

[zic]

Приведется повозиться с Групповыми Политиками и Локальными политиками безопасности , может еще и оболочку какую-нибудь другую прикрутить вместо explorer`a .
Все зависит насколько надежно ты хочешь изолировать пользователя от системы , и какого пользователя хочешь изолировать .
В принципе некоторые ограниченные группы уже встроены в системе , можно начинать с них .

[Rome]

Я хочу чтобы он даже кнопку пуск надавить не смог.

Все что ему можно сделать - открыть две-три программы с рабочего стола и закрыть их.

[zic]

djRome
ПРимерная схема работы .
1) Создаешь специального юзера с админскими правами .
2)Логинишся под ним
3)Запускаешь secpol.msc , и начинаешь работу с того что создаешь политики ограниченного использования программ ,
устанавливаешь "Не разрешено" по умолчанию , потом создаешь дополнительные правила лучше хеша для программ которые надо запускать , и выставляешь им Неограниченный .
Не забудь поставить В ключе "ПРинудительный " Политики ограничения использование программ выстави применять политику ограничения ко всем кроме локальных админов .

4)Потом настраиваешь все в Локальных политиках Назначение прав пользователей тут например можно задать запрет на выключение компа этим пользователем если нужно конечно .
Ну и посмотри что интересного в в Параметрах безопастности .

5)Далее запускаещь gpedit.msc , и в административных шаблонах пользователя ( именно пользователя а не машины ) наводишь шмон , ну например отключаешь доступ к Control Panel , убираешь контексные меню , Пункт программы из меню Пуск ( саму кнопку отключить по моему не удастся , но от этого ничего не изменится там все будет пусто )
И далее по списку .Настраиваешь все что найдешь там , и что тебе нужно .
6)Ограниченние работы со сменными носителями делается через оснастку mmc Управление сьемными носителями .
Где данному юзеру надо запретить любой доступ , выставляешь запрещение на конкретного пользователя .
7)
Если диски в NTFS то с ними проблем нет .Выставляешь запрет этому пользователю на диски , и на реестр( кроме личных веток ).

8)Выходишь . Входишь под другим администратором и изменяешь тип пользователя на guests или users /

PS ничего из этого ты не сделаешь если у тебя XP HOME /

[Rome]

О, спасибо. Такого ответа я и ожидал.
Будем пробовать.

[GarrisoN]

^^^up^^^

[Zexes[LT]]

zic а как сделать, что бы эта политика с сервера грузилась? (на сервера настройки, а все остальные грузят)

[zic]

Zexes[LT]
Во первых что ты понимаешь под сервером ?
Серверную версию Windows в сети ?
В рабочей группе этого сделать нельзя .
Придется поднимать домен.

[Zexes[LT]]

zic сервер DNS и т.д., сеть с доменами естественно.

Zexes[LT] добавил [date]1076415398[/date]:
P.S. все пользователи лежат на серваке

[Zexes[LT]]

Ап :roll:

[zic]

Zexes[LT]
Под доменом вообщето имелось ввиду наличие ADS а не DNS
На контроллере домена присутствует Group Policy Management Console , с ее помощью необходимо создать GPO (тобишь обьект групповой политики )Далее необходимо назначить GPO конкретной группе безопасности , сайту, домену или организационной единице.Те к группе пользователей или компьютеров в твоем случае .
Как отредактировать содержание GPO под свои нужды должен догадаться сам .
Ничего в этом трудного нет .

[Zexes[LT]]

zic хм. я пробовал так в консоле (MMC) добавлял GPO (Add snap in), выбирал GPO default for domain, привязывал к нашему домену, настраивал, но нефига Могет и сервак надо было перегрузить (попробую).
А вообще, zic, спасибо за ответы Сорри за ламерные вопросы, но пока молодой надо учиться

[zic]

Zexes[LT]
попробуй secedit /refreshpolicy (для 2k )
или gpupdate для 2k3

[Zexes[LT]]

zic гм, такая хрень - если переустановить систему - то все работает (переустановил на одной машине), а на старых по-прежнему не схватывает

Zexes[LT] добавил [date]1077626525[/date]:
это не случайность - переустановил ещё на одной - тоже схватила )

[zic]

Zexes[LT]
Хех, но и я не телепат.
Попробуй вывести -ввести оставшиеся машины в домен заново.

[Zexes[LT]]

zic так, все разобрался, теперь вот какая задача:
профиль перемещаемый (храниться на сервере), при входя на комп. он создает папку с профилем в Doc & Set, и при выходе папка остается, как сделать, что бы он не создовал папку, или может, что бы при выходе/входе удалял его.

[Zexes[LT]]

Uplink

[zic]

ДА все также.

Computer Configuration\Administrative Templates\System\User Profiles

Delete cached copies of roaming profiles