Dotaz, který nepatří do poradny - ! Obsahuje slovo wind*ws !

12.2.2010 10:24 | Moje kecy | poslední úprava: 12.2.2010 10:24

Zdravím
mám dotaz, který nepatří do poradny, tak ho zkusím napsat sem... Mám před sebou úkol zabezpečit pracovní stanice, na kterých je Windows. Nemám přístup k Sambě ani k jiným věcem. Prostě jen admin přístup na ty stanice. Existuje nějaké udělátko, ať už free sosnout, nebo přímo ve woknech, kterým bych mohl upravit možnosti uživatelů? Musí jim zůstat admin práva, kvůly některým aplikacím, ale je potřeba, aby jim nešlo pravé tlačítko na ploše, nebo třeba aby mohly spouštět jen povolené aplikace a tak. Prostě si pohrát s právy. Předem všem moc děkuju za radu.

MaFy        

Komentáře

[pasmen]

Group Policy? To znamená buď spustit přes gpedit.msc, nebo přes MMC konzoli.

[MaFy]

Prima Rekl bych, ze to je presne ono Jen jeste dotaz. Da se nejak toto nastaveni vyexportovat aby se to dalo nakopirovat na dalsi stroje? Protoze koukam, ze tam je dost veci, a to kdybych mel nastavovat na dalsich 10 strojich, tak se zblaznim.. Je to treba nekde v registru? Diky..

[prOm3TheuS]

Blázníš? Operační systém Win*ows je pouze pro cvičený opičky a proto budeš klikat, klikat a klikat!

[Heron]

Často mluvíš o něčem co neznáš?

[prOm3TheuS]

Přesně tak - já si občas rád melu něco pod vousy jen tak, aby byla sranda...
Jinak dle mého názoru bych všem nastavil pouze uživatelská práva a instalaci aplikací jako Administrator bych řešil v konzoli příkazem runas /user:administrator instalator.exe (případně right click na ten instalátor a spustit jako uživatel...)
No a pokud ta daná aplikace potřebuje zápis někam, tak bych tam udělil rozšířený práva.
Přes group policy se dá zakázat spouštět *.exe aplikace.
Bohužel i tak jsou ti chytřejší uživatelé o krok dopředu a brzo příjdou na to, že účetnictví, které má okénko otevřít soubor funguje jako explorer s plnými právy a tak můžou veškeré ty "Skajp" neřády cpát touto cestou.

[Marek Bernát]

Pokiaľ viem, tak ďaleko od pravdy nie je. Na rozdiel od linuxového spôsobu (prakticky všade textová konfigurácia a až nad tým GUI) je vo win kopa veci len v GUI a na ich dávkové spracovanie treba často externé utility. Tak to teda aspoň bolo za dôb 98 a XP, odvtedy som ten systém nevidel, ale silno pochybujem, že sa zmenil k lepšiemu.

[pasmen]

To, že se nastavení ve Windows neuchovávají ve většině případů v plain textu a na snadno hledatelných umístěních, to je snad stará známá věc. Nicméně velká většina věcí nastavit lze, a pokud člověk zná, pak i velice snadno. Důležité je ovšem znát... Lidi často nadávají nad tím, že ve Windows něco nastavit nelze, celý je to na hovno apod. Ovšem ještě častěji je to způsobeno jejich nevědomostí...

[danaketh]

Stejně jako v případě Linuxu :)

[pasmen]

No jasně, ostatně to platí o všem. U Linuxu je výhoda v tom, že informace jsou zpravidla lépe dostupné (je tu dobrá dokumentace, úspěšnost Googlu je skoro stoprocentní, ...). Jinak v tom žádný rozdíl není.

[Marek Bernát]

Lenže prístup k informáciam je na správe počítače to úplne najdôležitejšie (a nielen tam, ale aj všelikde inde). Ak ich máte, tak ste boh. Ak nie, tak môžete experimentovať, ale bude Vám to oproti človeku s informáciami trvať 10x dlhšie a navyše s neistým výsledkom. Presne z toho dôvodu je Linux o toľko lepší než Win (z hľadiska správcu samozrejme, nie používateľa -- toho to nezaujíma).

[Marek Bernát]

To je samozrejme všetko pravda, ale nič to nemení na tom, že windows proste nie sú nastavovaniu veľmi naklonené Jedna z vecí, čo si pamätám z minulosti bolo napríklad rozloženie klávesnice. V linuxe si napíšem jeden súbor a je hotovo. Vo windowse sa mi nepodarilo vôbec zistiť jak na to, s výnimkou jednej utility, kde sa to dalo (dosť nepríjemným spôsobom) naklikať. Možno som len zle hľadal, ale pointa je, že ten systém je veľmi nepriateľský používateľom, ktorí sú rozmaznaní linuxom. Na druhej viem, že sa toho dá nastaviť ďaleko viac, než sa bežne tvrdí (keď sa človek orientuje v registroch, vo všetkých tých control panel nastavovačkách a tak)

[Prcek]

Pokud jsou ty počítače v doméně, tak by to mělo jít hromadně, že změníš tu politiku pro doménu na domain controlleru a ty klienti si jí stáhnou a použijí. Ale nejsem expert, s tím ti asi líp poradí někdo fundovanější .

[pasmen]

Z tohohle důvodu existují domény Jak už bylo řečeno níže, pokud máš jednotlivé stanice v doméně, lze nastavit (a vynutit) doménovou politiku, které podléhají počítače v doméně, popř. doménový uživatelé (pokud jde o nastavení uživatele). O exportu nevím, je možné že to jde, ale já právě z tohohle důvodu mám všechny stanice v doméně.

[spectrum]

A na sambě si tu doménovou politiku vynutím jak?

[pasmen]

Pokud do Googlu zadáš Samba Group Policy, pak se to dozvíš

[MaFy]

To jo, to je super, ale jak jsem psal, k Sambe nemam pristup

[pasmen]

Nechápu k jaké Sambě nemáš přístup. Pokud už v síti nějaký Samba server máš, pak OK, můžeš klidně nainstalovat další, který bude zastávat PDC. Popř. rovnou Win server, pokud na to máš peníze.

[MaFy]

No to je prave ono. Server tam je, ale ja k nemu nesmim. A dalsi stroj pridelavat nebudu. Zas to nechci delat komplikovane.... Me staci to zabezpeceni na stanicich

[Ruža Becelin]

Server tam je, ale ja k nemu nesmim.

Sepis, co chces udelat, a predej to administratorovi PDC serveru. Tecka. Vic delat nepotrebujes. Pokud jsou pocitace v domene, politika se zasadne a poze nastavuje pres Group Policy. Resit neco extra na klientech je prasarna.

[MaFy]

Vsak jsem taky psal, ze to tak udelam

[dark]

Osobně nevím, co si slibuješ od zablokování pravého tlačítka na ploše. Toto zabezpečení jsem už viděl (bylo zablokované snad kompletně), a měl jsem sto chutí takového admina zabit.

Ale chápu, že kvůli některým aplikacím musí zůstat admin účet, je to ale smutné:(

[MaFy]

TO byl jen priklad. Jde o to, ze kdyz neosetrim vsechny veci, tak tam budu jezdit kazdy mesic na preinstalaci

[CET]

No a nebylo by lepsi prave kvuli temhle vecem sebrat admina?

Pripadne zrovna plocha by se dala resit pripravou vychozi plochy, zabaleni a pri kazdym startu pocitace smazanim stare a rozbalenim te default.

[phr]

A co takhle nainstalit linux a Winy dát do virtualu. Reinstalaci pak provede kdokoli kliknutím na ikonku, která obnoví funkční obraz Winů.

[Saljack]

Tohle mi připomíná retardaci u nás na střední, kde bylo zakázané měnit rozlišení. Byly tam 17 LCD monitory s rozlišením 1280x1024 ale né mi jsme jak kreténi museli mít 1024x768. Ještě k tomu tam bylo napsáno, že je to kvůli očím, no nevím co je na tom pravdy, ale když se koukáte rozmlženou obrazovku tak z toho oči bolí.

[Senior Database Programmer]

Zrejme slušná škola, dávať na LCD panel iné ako natívne rozlíšenie a ešte to nútiť študentom Asi má miestny očný doktor málo pacientov tak má dohodu so školou.

[Saljack]

Já na to vždycky čuměl, že snad někdo nemůže být tak blbý aby tuhle kravinu plácnul. Pak už jsem měnil rozlišení jenom z principu.

[spectrum]

TAk tam dej tuhle prasárnu http://www.microsoft.com/windows/products/winfamily/sharedaccess/default.mspx

[MaFy]

To neresi vse, co potrebuji...

[Jary]

zabezpečit pracovní stanice, na kterých je Windows.

Neřešitelné.

To byl smz takový rýp. Určitě to jde, ale určitě to nepůjde přes nějaké gpedit. Tedy pokud slovo zabezpečit chápeme stejně.

[MaFy]

TO jsem taky rikal JInak ten GPEDIT jsem si prosel, a rekl bych, ze resi vse co jsem chtel... Nepotrebuju to zas uplne orezat, a udelat z toho informacni kiosek, ale jde jen o to, ze k tem pocitacum ma pristup kazdy, tak jim jen trochu ohranicit pole fungovani a nedovolit jim z toho udelalt "svuj" pocitac plny her a ICQ nesmyslu

[Grunt]

tak jim jen trochu ohranicit pole fungovani a nedovolit jim z toho udelalt "svuj" pocitac plny her a ICQ nesmyslu

Ach jo. A co ty chudáci děcka tam tak asi budou jiného dělat? Kdyby tam byl Pidigin a Quake 3 Arena(nebo co dneska letí…asi nějaké CoDčka) už od začátku, tak to nikdo nebude zasírat svými ICQ a svými hrami, ne?

[Prokop Mikule]

Kdyz jim zustanou admin prava, nebudou si moci group policy deaktivovat? :)

[MaFy]

Nebudou, kdyz nebudou vedet jak

[Prokop Mikule]

Na to bych moc nespolehal.

[Heron]

To je takové velké security by obscurity. Proč potřebují toho admina? Nebude jednodušší vyřešit spíše toto?

[gtz]

Některé aplikace se prostě nenainstalují když není uživatel adminem. To se tam dává proto, aby admin nemusel běhat ke každé instalaci čehokoliv. Na Vistách je to celkem pěkný humus s tímto. I některé MS aplikace, když chtějí svůj update tak řvou, že namají plná práva na tyto věci ... Je fakt, že zase tím se tam dostává spousta bordelu co by tam něml být, ale je to vždy otázkou ktermu uživateli to povolit a kterému ne. Třeba někde u bab na účetnictví bych to nedával, někde třeba na obchodním jistě.

[KKL]

Jakmile má uživatel právo něco instalovat, nedejbože lokálního admina, je to průser. Když už ne proto že to rozdrbou ( gpedit.msc ) to nezachrání, tak proto, že při webování ( nejhůře ještě s IE )si do počítače natahají různý spyware, wormy apd. , které se mají šanci s admin právy lépe zažrat. Uživatel ve firmě nemá mít admin práva ( obecně, samozřejmně výjimky jsou ) - jinak se z toho zblázníš.

[pasmen]

No tak kvalitní antivir je snad samozřejmost ne?

[KKL]

Používáme NOD32 a Kaspersky AV a stejně si ty počítače dokážou lidi zavirovat :)

[Grunt]

si do počítače natahají různý spyware, wormy apd. , které se mají šanci s admin právy lépe zažrat.

Na MIT se to v dávných dobách řešilo tak, že na školní počítače bylo zakázáno instalovat jakýkoliv soft, ke kterému nebyl dostupný zdrojový kód.

[Jakub Lucký]

No, na milw0rm-u je pár věcí, které otevřené zdrojáky mají ;)

[pasmen]

Protože je to celé řešené špatně... Pokud mají mít všichni všechno, řeší se to terminálovým serverem. Pokud chceš, aby měl každý svou stanici, ať uz z jakéhokoliv důvodu (vypalování, přístup na flash disky -- ale i to jde přes terminál), pak se na stanice dávají aplikace podle pracovní pozice, to znamená každý má jen aplikace, které potřebuje k plnění své pracovní povinnosti. Ideálně pomocí předinstalovaných obrazů včetně potřebného software. Jinak je to, samozřejmě, k zbláznění. Ale to je problém admina, který si to zvolí.

[Václav "Darm" Novák]

Ale jo, stačí nějaké dodatečné utility pro instalaci programů. Třeba System Management Server umí mimo jiné instalovat definovaným skupinám uživatelů „balíčky“ SW (většinou .msi s přibaleným skriptem zajišťujícím bezobslužnou instalaci). A vzhledem k tomu že běží jako démon, instaluje všechno co je potřeba jako admin.

[FF]

No ja myslim ze se to udelat tak aby aplikace fungovaly a neprebovaly admin ucet. Obvykle je problem ze chteji zapisovat nekde do sveho adresare v program files, tam neni problem nastavit pristup pro zapis jen do te jedne slozky. Druhy problem je s registry, ty klice maji taky sve prava. Hodne pomuze balik utilit sysinternal suite, jsou tam ulity ktere ti treba vypisou kam chce aplikace v registru zapisova/cist, zda ji byl povolen/odepren pristup k tomu registru a podobne vychytavky. Ale je fakt ze nekdy je to na hodne dlouho nez se tim clovek prohrabe. Jinak jestli jsou ty PC v active directory, tak staci zmenit nastaveni na radici domeny a melo by se to rozkopirovat samo na ty ostatni stroje.

[MaFy]

Taky si myslim, ale chtel jsem dnes nabrat inspiraci, protoze v nedeli tam jdu a budu mit volne pole pusobnosti. Takze si tam budu hrat, a kdyz bude zajem, mohu napsat nejaky kratky blog, aby i Linux admin meli nejake info, kdys se dostanou do stejne situace jako ja

[Max]

V takový situaci jsem. A jelikož jsem nechtěl používat doménu a ještě více se vázat na win platformu, tak jsem si napsal skript, který to všem uživatelům nastavuje. Resp. jim nastavuje to, co chci :).
Zdar Max

[gtz]

Takže pokud jsou mašiny v doméně a máte práva "DOMAIN ADMINA" asi bych to řešil pomocí "group policy". Jaký tam máte server ? 2003 nebo 2008 ? Local Admin s tím je někdy problém, většinou ,ale musíte mašinky oběhnout a nastavit local admina ve Vistách apod.

[MaFy]

Server je Linux Ale nemam k nemu pristup...

[Jary]

Tady snad chce někdo těm chudákům uživatelům zatopit:
A: "Héj... mě přestalo fungovat pravý myšítko!"
B: "Héj, kde mám panel?"
C: "Héj nevimco..."
D: "No, to jsou ty wokna. Asi nějakej vir. Já řikal ať tam dáte tučňáky. Teď to máte!"

[Jan Grmela]

To mi připomíná situaci u nás ve škole. Nelze změnit spořič obrazovky ale podařilo se mi vyhodit koš do koše čímž se koš rozbil a nelze do něj teď nic dalšího vyhodit A nejde ani otevřít, vysypat či odstranit ikonku. Prostě mrtvola. Schválně to někdy na počítači s XP v doméně, kde máte jen práva uživatele, zkuste...

[Prcek]

Vyhodit koš do koše, to jde? To zavání rekurzí .

[Jan Grmela]

Jde. Jen je třeba povolit zobrazení systémových a skrytých adresářů a pak chvíli přehazovat ikonky myší V určité chvíli to systém nerozchodí, provede kopírování a po restartu už koš nefunguje

[Jakub Lucký]

Pokud si dobře vzpomínám, tak v nějakých historických verzích Windows (tip: Win95) šlo vyhodit i Tento počítač do koše, což systém už nerozdýchal...