HowTo: OnlyWork-User durch Zunageln des Rechners realisieren

[Sunny81 10]

Auf welche einzelnen Dateien bzw. Ordner inkl. darin befindlicher Dateien muss ein User mindestens zugreifen können um sicherheitssensitiv an einem XPPro-SP2-Rechner zu arbeiten?

Sicherheitssensitiv soll heißen, nur das nötigste Lesen bzw. Ausführen zu dürfen.

Kann mir jemand verraten welche Dateien Verzeichnisse inkl. Dateien gelesen werden müssen um sich korrekt an- & abzumelden, IE zu starten, und vielleicht noch Word und Excel2003 und Dateien im Ordner Eigene Dateien abzulegen.

Es sollen keine Programme installiert, keine DFÜ-Einstellungen geändert werden...

 

Ich hoffe, dass sich einer von euch schonmal die Mühe gemacht hat und mich dran teilhaben lässt - wär echt Klasse.

Danke im Voraus! :)

[Velius 10]

Hi

 

Mit GPO geht das spielend, aber eher auf andere Art, als mit ACL's rumwüten.

 

Am besten machst du dem User mal alle Möglichkeiten dicht, irgendwas Systemweites zu verändern.

In der GPO gibt's jede Menge davon: CMD sperren, "Ausführen" entfernen, "Laufwerke Mappen" entfernen....und, und, und

 

 

So in etwa hab ich's bei uns ralisiert.

 

Nur habe ich da noch ein eigenes Template gebastelt, ganz einfach, damit es unseren Anforderungen gerecht wird:

 

CLASS MACHINE
CLASS USER
CATEGORY "[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]"
KEYNAME "Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced"
	POLICY "Hidden"
		PART "Hidden" CHECKBOX
		VALUENAME "Hidden"
		VALUEON NUMERIC 0
		VALUEOFF NUMERIC 1
		END PART
	END POLICY
	POLICY "ShowSuperHidden"
		PART "ShowSuperHidden" CHECKBOX
		VALUENAME "ShowSuperHidden"
		VALUEON NUMERIC 0
		VALUEOFF NUMERIC 1
		END PART
	END POLICY
END CATEGORY
CATEGORY "[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\CabinetState]"
KEYNAME "Software\Microsoft\Windows\CurrentVersion\Explorer\CabinetState"
	POLICY "FullPathAddress"
		PART "FullPathAddress" CHECKBOX
		VALUENAME "FullPathAddress"
		VALUEON NUMERIC 0
		VALUEOFF NUMERIC 1
		END PART
	END POLICY
END CATEGORY

 

 

Damit werden alle versteckten Dateien ausgeblendet, und der volle Pfadangabe im Explorer ebenso (denn so kann man auf Versteckte Ordner switchen!!).

 

 

Wenn du dann anschliessend alle Ordner versteckst, dann hat der User keine Chance mehr, die anzeigen zu lassen.

 

Wenn du dann noch USB-Sticks deaktivierst (Boardsuche) und keine Laufwerke drin hast, was soll er dann noch tun?

 

 

Gruss

[Sunny81 10]

Wow.

 

Das liest sich nicht schlecht.

Sicherlich dumme Frage aber in welcher Form kann ich das Ganze umsetzen?!

[Gadget 37]

Hi Sunny81,

 

wollte dir noch ein Beispiel geben wie eine fertige Policy aussehen kann:

 

Schau dir mal hier die AppStation (Highly Managed Desktop):

 

http://www.gruppenrichtlinien.de/BestPraxis/Beispiel.htm

 

Computerrichtlinie:

 

http://www.gruppenrichtlinien.de/BestPraxis/Application_Computer.htm

 

Benutzerrichtlinie:

 

http://www.gruppenrichtlinien.de/BestPraxis/Application_User.htm

[Velius 10]

@Kohn

 

...auch nicht schlecht! :D