Exploreransicht anpassen und Zugriff unterbinden.

[jpanse 10]

Hallo hallo,

 

folgendes Problem. Ich habe einen W2k3 Server als Terminalserver laufen. Die Anwender loggen sich via RDP auf dem Server ein und bekommen gleich die Notwendige Anwendung gestartet so das der Explorer erst garnicht gestartet wird. Jetzt kann man über einen "Button" in der Anwendung den Windows-Explorer öffnet um sich den Inhalt eines bestimmten Ordners anzuzeigen. Ich möchte jetzt das diesem Fenster alle Einstellungsmöglichkeiten genommen werden, auch die Navigationsleisten. So das Lieschen Müller nicht auf die Idee kommt da irgendwo umherzuklicken. Es sollen praktisch alle Möglickeiten der "Manipulation" genommen werden.

Die Benutzer sollen sich nur innerhalb dieses Ordners aufhalten und dort RW Rechte haben. Ist das überhaupt in dieser Form machbar?

 

Für Hilfe bin ich dankbar.

[NilsK 2.938]

Moin,

 

die einzige Möglichkeit, das sinnvoll und sicher zu gestalten, besteht in einer passenden Berechtigungsvergabe auf den Ressourcen. Wenn die User nur in den betreffenden Ordner sollen, dann gib ihnen nur dort die nötigen Rechte.

 

Gruß, Nils

[jpanse 10]

das sich das nur auf diesem Weg gestalten lässt. Dann eben so. Ich finde es aber trotzdem dumm das man die Ansicht des Explorers per GPO nur eingeschränkt anpassen kann.

 

Ich mach mal weiter, falls noch einer Vorschläge hat...

 

Danke schon mal.

–

das sich das nur auf diesem Weg gestalten lässt. Dann eben so. Ich finde es aber trotzdem dumm das man die Ansicht des Explorers per GPO nur eingeschränkt anpassen kann.

 

Ich mach mal weiter, falls noch einer Vorschläge hat...

 

Danke schon mal.

[zahni 554]

Du kannst mit einem speziellen Aufruf den Explorer zumindet auf beschränken:

 

%SystemRoot%\explorer.exe /root,s:\

 

Den Rest musst Du mit GPO's und Zugriffsrechten versuchen.

Z.B. unerwünschte LW-Buchstaben ausblenden usw.

 

-Zahni

[NilsK 2.938]

Moin,

 

Du kannst mit einem speziellen Aufruf den Explorer zumindet auf beschränken:

 

da der Explorer von der Applikation aufgerufen wird, dürfte man den Aufruf kaum ändern können.

 

Ich finde es aber trotzdem dumm das man die Ansicht des Explorers per GPO nur eingeschränkt anpassen kann.

 

man kann sie ja in Grenzen anpassen. Das hat aber eben aus Sicherheitssicht keinen besonderen Wert, denn wenn der User auf Ressourcenebene zu viele Rechte hat, wird er schon einen Weg finden, am Explorer vorbeizukommen. Daher besteht der einzige sinnvolle Weg im Aufbau einer passenden Berechtigungsstruktur.

 

Gruß, Nils

[jpanse 10]

Danke für die Antworten, ich habe es über Gruppenzugehörigkeiten gelöst...

@Zahni: Der Aufruf des Explorers findet durch die Appl. statt. Da kann ich nix anpassen. Habe schon mit unseren schlauen Köpfen aus der ABteilung gesprochen die das ganze Verzapft haben...ist wohl etwas komlizierter den Aufruf im Nachgang noch abzuändern.

 

Danke an alle für die Infos :)

[jpanse 10]

Es geht noch immer um das Problem von oben. :(

 

Folgende Ordnerstruktur ist geben „D:\Programm\Logfiles\unterordner“

Ich möchte gern, dass der User beim Navigieren im Ordner „Logfiles“ an seine Grenzen stösst. Das heißt bis dahin und nicht weiter nach oben.

Das ganze ja auch nicht so schwer…aber wenn der User sich per RDP anmeldet wird unter seinem Account ja eine Anwendung gestartet die in D:\Programme liegt. Demzufolge kann ich dem User oder besser der Gruppe in der der User Mitglied ist nicht die Ausführen und lesen Rechte auf den Ordner D:\Programme wegnehmen weil ja die Anwendung dann nicht mehr läuft. Gebe ich ihm aber die Rechte kann er Lesen und Ausführen was ich wieder nicht so toll finde.

 

Gibt es jetzt eine Möglichkeit den Benutzer einzuschränken das er aus dem Ordner Logfiles nicht weiter nach oben Navigieren kann ohne den Ordner auszulagern oder die Anwendung unter einem eigens dafür angelegten Benutzer zu starten?

 

Ich tippe mal auf „nein“ lasse mich aber gerne eines besseren belehren.

[zahni 554]

Nur wenn Du ihm über "Subst" auf dem Verzeichnis einen neuen Laufwerksbuchstaben gibst.

 

-Zahni

[jpanse 10]

Ja, aber da muss das "****e" Programm wieder umgebaut werden. Mist verdamter!

 

Danke :)

[zahni 554]

Dann bau doch gleich im Programm eine Funktion zur Anzeige der Log-Files ein ;) .

 

Dann kann der User auch keinen Unsinn anstellen.

 

-Zahni

[jpanse 10]

Da werden PDF-Files abgelegt und dann gibt es da noch 3 user die dort auch Ordner erstellen dürfen und selber Dateien anlegen...einfach die Logfiles in einem Programm zu öffnen wäre ja zu einfach.

 

Naja, mein Kollege hat ein Script erstellt welches einzelne Funktionen die im Explorer nicht benötigt werden einfach ausblendet, dass kommt bei dem jeweiligen Benutzer in den Autostart und fertig...bei Interesse einfach mal nachfragen :)