Come configurare (credo) le policy in win2000

[Kai Hansen]

Ciao,

sono un pivellino riguardo la configurazione di Windows2000. La mia necessità è quella di allestire un PC con w2000 che permetta all'utente (normale, non Admin) la sola navigazione web (IE), e NON permetta:

- l'installazione di software aggiuntivi
- la modifica del desktop (sfondo, icone ecc...)
- lanciare applicazioni (eccetto IE, WinZip, mediaplayer)
- modifica cartelle tipo c:\windows
- accedere a cartelle riservate tipo Admin\Domumenti

da quello che ho letto nel forum sembra si debba usare le group policy, ma non ho trovato nessuna discussione che illusti passo-passo quali configurazioni effettuare.

Neanche nel web ho trovato nulla (magari non so bene cosa cercare)

Le mie richieste a voi:

1) è giusto usare le group policy?
2) se si come fare?
3) se no, cosa usare e come?

grazie.

Kai

[dOLByrIDe]

Si, devi utilizzare le policy..

Dunque io ti consiglio di procedere nel seguente modo:

Apri la Management Console andando su start -> esegui e digitando "mmc". A questo punto hai aperto la console.

Ora devi aprire un "template", ovvero un file .inf nel quale configuri tutto ciò che vuoi e poi lo applichi al sistema.

Ma andiamo con ordine...

Allora nella console vai su file -> Add/remove snap-in.
Ti si apre una finestra con un pulsante Add (non so in italiano, io ho win in inglese..) e li puoi scegliere un pò di cose. Selezioni "Security Template" e fai Add.

Ora che ce l'hai aperto, scompattando l'albero ti accorgi che ce ne sono diversi di template. Ne devi creare uno nuovo, andando col tasto destro sulla voce che ti indica il percorso nel quale sono contenuti i vari template.

A questo punto hai un template vuoto personalizzabile come vuoi.

Ad esempio per bloccare l'accesso ai programmi puopi utilizzare i permessi sul file system. Stessa cosa per la modifica delle cartelle tipo c:\windows, e per le cartelle riservate.

Per quanto riguarda la modifica del desktop io agirei direttamente sul registro modificando alcune chiavi in modo tale da non fare neanche apparire la possibilità di modifica del desktop.

Per chiarimenti chiedi pure, so benissimo che il processo non è così intuitivo...

ciao ciao

[Kai Hansen]

allora ho visto che la cosa è tutt'altro che facile...
vediamo ho seguito il tuo discorso fino alla creazione di un nuovo "Security Template"

ora sul nuovo template ho:

- Criteri account
- Criteri locali
- File eventi
- Gruppi con restrizioni
- Servizi di sistema
- Registro di sistema
- File System

e adesso?
Per esempio tu dici di lavorare sul File System per impedire l'esecuzione di programmi... come? Se clicco su File System mi accorgo che è una "cartella vuota", e come opzioni del menu contestuale (tasto destro) ho

- aggiungi file
- copia
- visualizza
....

aggiungo file? mi si apre Risorse di sistema (i disci)... insomma devo selezionare l'applicazione che voglio possa essere avviata? O quella che non voglio avviare? Il file eseguibile? Insomma non mi è chiaro....

Aiutami!!!

[dOLByrIDe]

certo che ti aiuto!!
per tutto quello che vuoi fare non bastava un post, quindi direi che è meglio fare passo a passo...

sul file system devi selezionare le applicazioni che NOJN vuoi far aprire. Il kio consiglio è quello di selezionare l'intera directory del programma che non vuoi fare aprire. Quando la selezioni e dai l'OK, ti appare una nuova finestra con le utenze. (Administrators, users, system, etc...)

Se quelle che servono a te mancano le puoi aggiungere andando a cercarle con il tasto "find".

Ad ogni utenza (o gruppo di utenti) ci sono dei permessi assegnati (Full control, read, write, etc..) e puoi quindi configurarli come ti pare. (ovviamente administrator deve sempre avere pieno controllo)

Ora quando dai l'ok, ti appare un'ulteriore finestra con delle opzioni. Scegli di propagare le impostazioni a tutti gli oggetti contenuti nella directory ed è fatta!!

per la modifica del desktop o altre cose chiedi pure...

ciao

[dOLByrIDe]

ah scusami, ho dimenticato di dirti una cosa fondamentale!!

Una volta che hai creato il template con tutte le impostazioni, devi SALVARLO!

e una volta salvato lo devi applicare.
Per applicarlo segui lo stesso procedimento utilizzato per aprire il "security template" ma questa volta apri "Security configuration and analysis".

Una volta aperto ci clikki col destro e vai su "open database".
A questo punto ti chiederà il nome di un database. Inserisci un nome a caso. Successivamente ti chiederà il security template che vuoi applicare. Seleziona quello che hai salvato precedentemente.

Una volta fatto ciò, clikki di nuovo col tasto destro su "Security configuration and analysis" e selezioni "configure computer now".

In questo modo il pc applica tutte le regole che ci sono nel template. Riavvia e avrai le modifiche.

ciao

[Kai Hansen]

abbiamo visto quindi come impedire l'esecuzione di un dato programma.

Ora ho bisogno di impedire l'installazione di software aggiuntivi, quindi quando l'utente in oggetto clicca su un file eseguibile di installazione di un programma, mi deve apparire una mitica finesta: "non hai i permessi per farlo".... attaccati....

[dOLByrIDe]

Beh, in windows 2000 e XP, un account con privilegi di "utente" non ha la possibilità di installare software.

N.B: il gruppo di appartenenza deve essere "Users" e non "Power users"..


ciao

[Kai Hansen]

quindi mi stai dicendo che se metto l'utente nel gruppo "utenti" egli non potrà installare software? Giusto?

Continuiamo....???

non deve poter modificare il desktop (sfondo, icone ecc...)! Come faccio?

[dOLByrIDe]

esatto!

per non modificare le proprietà del desktop devi modificare il registro di windows.

Dunque segui questi passi.

start-> esegui -> digita regedit e premi invio.

segui il seguente percorso:

HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies

ora se all'interno di Policies esiste già una chiave (la vedi come una directory) chiamata system passa al punto successivo, altrimenti creala. Per crearla basta che clikki col destro su policies e selezioni "new" e poi -> key. La chiami quindi System.

Una volta creata la chiave system, al suo interno (ovvero a destra) devi creare un valore del tipo DWORD.
Per fare ciò clikki col destro, new-> DWORD value.

Lo nomini "NoDispcPL" e gli assegni valore = 1.

Riavvia il pc e quando l'utente clicca col destro sul desktop non vedrà più le impostazioni.

ciao

[Kai Hansen]

Allora ricapitolando...

mi serviva che l'utente NON potesse:

- l'installazione di software aggiuntivi
se è gruppo "utente" non installa

- la modifica del desktop (sfondo, icone ecc...)
chiavi di registro

- lanciare applicazioni (eccetto IE, WinZip, mediaplayer)
con il template gli dico quello che no puù fare

- modifica cartelle tipo c:\windows
con il template gli dico quali cartelle non può visualizzare

- accedere a cartelle riservate tipo Admin\Domumenti
idem come sopra

e' tutto giusto?
A me non viene in mente altro per limitare un utente e non fargli fare danni al PC ma solo navigare... c'è altro secondo te?

Grazie
Grazie
Grazie