Softwareinstallation unterbinden durch Gruppenrichtlinien

[Tastaturix 10]

Hallo,

 

ich moechte den Clients generell verbieten Software zu installieren (Server 2003, Clients XP Pro). Ich habe es mit Gruppenrichtlinien nur geschafft, den Windowsinstaller und ein paar andere Sachen zu sperren, habe aber noch keinen weg um das generell fuer alle User umzusetzen.

 

Ich hoffe Ihr koent mir helfen,

 

Danke,

 

Stefan

[lefg 276]

Original geschrieben von Tastaturix

ich moechte den Clients generell verbieten Software zu installieren (Server 2003, Clients XP Pro)

 

Hallo, Stefan,

 

gibt es hier ein Verständnisproblem? Ich sage mal grob , Software installieren können Benutzer aus den Gruppen der Hauptbenutzer und Administratoren. Ein Feld-, Wald- und Wiesenbenutzer :) hat dazu nicht das Recht.

Ein Client (Rechner in einem Server-/Client-Netz) selbst kann das doch nicht, es sei denn, in der GP ist das so konfiguriert.

 

Gruß

Edgar

[Tastaturix 10]

Hallo,

 

Vielen Dank für Deine Antwort. Die User laufen alle unter User, nicht unter Power User. Kann es sein, das man manche Installationen einfach nicht unterbinden kann, durch abstrakte Regeln? Es sind manchmal ja nur *.exe die ausgeführt werden. Wie kann da entschieden werden, ob es ein Installationsprogramm ist, oder eine "normale" EXE?

 

Vielen Dank,

 

Stefan

[ITMike 10]

Es kommt auf das Programm an.

 

es gibt Programme die installieren sich nicht im eigentlichen Sinne. Die werden ausgeführt ohne Reg einträge zu machen oder Dateien ins Windows verzeichniss zu kopieren. Diese Programme lassen sich dann auch von Usern ausführen.

 

Vielleicht kannst du sagen von was für Programmen wir hier reden das würde eine Antwort vielleicht vereinfachen.

 

 

Sachen wie Office, Winamp, Nero, Browser Plugins usw kann der normale Nutzer eigentlich nicht installieren aber ich vermute das wir von Apps sprechen die nur ausgeführt werden.

[gysinma1 13]

Hallo

 

Jedes Installationsprogramm arbeitet auch mit Permissions (ähnlich wie NTFS Berechtigungen). Beispielsweise kann ein Setup ohne Adminrechte normalrweise keine Regentries in die HKLM schreiben ...

 

Nun sicher mal keinen Adminrechte aber auch in den Gruppenrichtlinien können diese gesetzt werden. Das hat den Vorteil, dass die Gruppenrichtlinie auch Berechtigungen des ADmins beinflusst. Wenn beispielsweise eine OU per Richtlinie nix installieren darf ist der Admin, wenn er dummerweise drin ist, auch betroffen.

 

Gruss,

 

Matthias

[lefg 276]

Auch ich finde manchmal auf Rechnern lauffähige Programme, bei deren "Installation" keine Einträge in der Registry etc. vorgenommen wurden. Die einzige Möglichkeit, die mir einfällt, dieses zu unterbinden, ist nur das Ausführen bestimmer Anwendungen zu erlauben. Ob das aber praktikabel ist?

[gysinma1 13]

Hallo lefg

 

Ne.. ich habe das mal fuer einen TS fuer admins gemacht ... Du bekommst schier die Krise ... was da alles doch dazu muss.-..

 

explorer.exe

mmc.exe

ads.msc

...

calc.exe

 

um nur mal einige zu nennen. Das umgekehrte ist in diesem Scope einfacher ... was nicht ausgeführt werden darf:

 

cmd.exe

command.com

regedit.exe ...

 

Gruss,

 

 

 

Matthias

[Tastaturix 10]

Hallo,

 

danke für die Antworten! Ich habe versucht Winzip und Acrobat Reader zu installieren. Und die konnte ich installieren. Das Problem ist, das die meisten "Schrott-Spywaretools" die installation ja ähnlich durchführen und genau die will ich ja verhindern.

 

Ich bin mir aber auch nicht sicher, ob ich irgendwo Fehler in den Gruppenrichtlinien oder lokal gemacht habe, da ich mich da noch relativ im Neuland bewege.

 

Danke,

 

Stefan

[Tastaturix 10]

Das hat den Vorteil, dass die Gruppenrichtlinie auch Berechtigungen des ADmins beinflusst. Wenn beispielsweise eine OU per Richtlinie nix installieren darf ist der Admin, wenn er dummerweise drin ist, auch betroffen.

 

Ja, danke das habe ich gemerkt. Für die Admins habe ich schon eine neue Richtlinie definiert.

 

Danke für Eure Hilfe. Haben "normale" User automatisch kein Recht Einträge in der Registy zu Editieren?

 

Danke,

 

Stefan

[ITMike 10]

Also ich bin mir zu 99% sicher, das der Reader sich nicht von einem normalen Benutzer installieren lässt.

 

Da vermute ich wirst du irgendwas konfiguriert haben das den Usern das Recht dazu gibt.

 

Überprüfe mal deine GPOs.

[Tastaturix 10]

Hm, danke für die Antwort. Ich hab mir das jetzt nochmal angeschaut, aber nichts konkretes gefunden. Hast Du vielleicht noch eine Idee, wo der Fehler liegen könnte?

 

Wenn nicht, vielen Dank für Eure Hilfe.

 

MFG,

 

Stefan