[Win2000/XP] Limitare utenti

[pinOut]

Superata l'indecisione su quale fosse il forum più adatto tra questo e "Sicurezza" passo ad esporre il problema.

Vorrei provare a impostare delle forti limitazioni su un utente, tipo impedire l'installazione di programmi o modificare le impostazioni di internet.

Ho visto che posso farlo da una console di MMC ma, e qui rischio di fare la classica figura di m..., non riesco a capire come applicarle ad un utente specifico.

Io accedo al PC con diritti di administrator, ma come faccio a impostare le restrizioni all'utente Pippo (che fantasia...) e non ad Administrator?

Sono i primi esperimenti di questo tipo e non vorrei fare pasticci...

Spero di essermi spiegato decentemente, ciao e grazie.

[mfil]

basta impostarlo come user e stai a posto

[pinOut]

Si, ma vorrei fare qualche esperimento; tipo impedire di aprire il pannello di controllo, non far apparire voci dei menù e tante altre cose che ho visto in MMC.

[seclimar]

esegui MMC

file ..aggiungi snap/in

aggiungi CRITERIO GROUPPO
da li divertiti!

(oppure ESEGUI GPEDIT.MSC)

ti ricordo che queste policy vanno su titti gli utenti(anche quello che usi normalmente).. potresti non risucire a tornare indietro semplicemente
per evitare che vadano su tutti...
disabilita l'accesso alla cartella "group policy" (dentro windows)
agli utenti a cui non vuoi che vengano dati questi divieti


oppure semplicemente come ti hanno detto restringi i diritti a un utente mettendolo come user o come guest

[pinOut]

[supersaibal]Originariamente inviato da seclimar
esegui MMC

file ..aggiungi snap/in

aggiungi CRITERIO GROUPPO
da li divertiti!

(oppure ESEGUI GPEDIT.MSC)[/supersaibal]

OK, fino a qui ero arrivato, il dubbio è se, per mantenere le impostazioni che metto, devo salvare la nuova console. Penso di si...

[supersaibal]ti ricordo che queste policy vanno su titti gli utenti(anche quello che usi normalmente).. potresti non risucire a tornare indietro semplicemente
per evitare che vadano su tutti...
disabilita l'accesso alla cartella "group policy" (dentro windows)
agli utenti a cui non vuoi che vengano dati questi divieti[/supersaibal]

Questo è il punto focale.

Dimmi, per favore, se così è corretto:
Tasto destro sulla cartella, scheda protezione, aggiungo l'utente da escludere dalle limitazioni e tolgo tutti i flag?

Però se volessi impostare limitazioni differenziate per utenti diversi in questo modo non riuscirei. Che casino...

[supersaibal]oppure semplicemente come ti hanno detto restringi i diritti a un utente mettendolo come user o come guest [/supersaibal]

Vero, ma così è più divertente...

Bella raffica di dubbi, che ne dici?
Se ti va di rispondere, puoi farlo anche a rate...

Ciao e grazie

[seclimar]

la consolle puoi non salvarla!

per togliere i diritti ad una persona...
devi togliere I DIRITTI A TUTTI .. nessun accesso.... e dare i diritti di lettura solo a quelli a cui vuoi dare le policy restrittive!
fai un gruppo esempio:
GRUPPO_CON_POLICY
questo e' l'unico gruppo che puo' leggere e scrivere le policy
dopodiche..gli utenti da limitare li metti in questo gruppo!

occhio che se le dai agli amministratori sono cavoli per rientrare!

[pinOut]

Ricapitolando:

1-lavoro su un gruppo, non sui singoli utenti.
2-l'amministratore NON lo aggiungo al gruppo (pariamoci il cu..).
3-accesso NEGATO alla cartella GroupPolicy per l'amministratore; consentito al gruppo con policy

[supersaibal]Originariamente inviato da seclimar
fai un gruppo esempio:
GRUPPO_CON_POLICY
questo e' l'unico gruppo che puo' leggere e scrivere le policy
[/supersaibal]

Cosa intendi per "scrivere le policy", impostare le limitazioni? Dovrebbe rimanere una prerogativa dell'amministratore, o sono fuori strada?

Secondo te è possibile fare in modo che due gruppi siano soggetti a limitazioni differenti (es. gruppo A apre il pannello di controllo, il gruppo B invece no)?

Resisti ancora un po'...

[seclimar]

se tu togli la lettura di quella cartella all'amministratore, ..
questo non si vedra' applicate le policy

ma non potra' neanche cambiare piu' le policy agli altri...
se vuoi cambiar ele policy con la consolle devi ridare i permessi dilettura e scrittura all'amministratore..
cambi le policy con la consolle
e poi togli di nuovo il permesso di lettura su quella cartella...



non ti so dire se si possono dare policy differenti a seconda dell'utente o del gruppo..
non ci sono riuscito...
in un pc locale
in un dominio si dovrebbe potere

[pinOut]

Finalmente la nebbia si è diradata!

Per il momento grazie mille, ora si comincia...

Ciao

PS: non escludo di rifarmi vivo su questo stesso thread a causa di qualche imprevisto.