GPO "Datenträger ausblenden"

[groszmann 10]

Hallo,

 

das besagte GPO Benutzerkuonfiguration -> Administrative Vorlagen ->Windows Explorer -> Diese angegebenen Datenträger im Fenster "Arbeitsplatz" ausblenden habe ich aktiviert und zwar mit der Option "Alle Laufwerke einschränken". Trotzdem ist die Startansicht im Explorer auf C:\Dokumente und Einstellungen\Username\Startmenü.

Aber gerade C:\ soll auf einem Win2k3-TS natürlich unsichtbar sein. Ausserdem brauche ich noch eine Methode, andere Laufwerke, auch gemappte, auszublenden und das von MS beschriebene Vorgehen Using Group Policy Objects to hide specified drives scheint doch recht umständlich zu sein.

 

Wie kann ich das zuverlässig und zentral bewerkstelligen, daß die User von den vorhandenen Laufwerken b, c, d, e, f, g, h, s, y, z nur das Laufwerk h zu sehen bekommen (möglichst auch in "Datei öffnen"- und "Speichern unter"-Dialogen).

 

 

Gruß

 

Hans

[Operator 10]

Hi,

 

damit die Richtlinie so funktioniert, muss sie an der OU der Terminalserver aktiv sein und zusätzlich muss in der Richtlinie unterhalb des Computerzweiges die Loopbackverarbeitung im Ersetzen-Modus aktiv sein (Googlen oder gruppenrichtlinien.de). Die sorgt dafür, daß nicht die Richtlinien des Benutzers in seiner Heim-OU sondern die der Terminalserver OU gelten.

 

Für spezisches Ausblenden von Laufwerken ist der MS Artikel das Mittel zur Wahl. Falls Du dabei gezielt auf Probleme stößt helfen wir Dir gerne weiter.

 

Gruß

Andre

[GuentherH 61]

Hi.

 

Sei bitte hier etwas vorsichtig. Diese Gruppenrichtlinie gilt nur für Programme, die auf die Windows Explorer API zugreifen. Bei allen anderen Programmen, die diese API nicht verwenden, ist sie wirkungslos (z.B. Office 2000).

 

LG Günther

[Wolke2k4 11]

Ich empfehle Hidecalc, ist Ideal für das Ausblenden von Laufwerken und IHMO auch mit Office nicht zu knacken.

 

Das der Explorer ins entsprechende Profil hüpft kann man verhindern, indem man Kontextmenüs und Co. deaktiviert und eine Verknüpfung mit dem Explorer auf den Desktop und/oder die Schnellstartleiste leigt. Die Explorerverknüpfung kann bspw. so aussehen: "explorer.exe /n, /e, h:\" damit springt der Gute gleich in das LW H...

[sreutemann 10]

Und was muss man aktivieren bzw. einstellen, damit man bei der TS-Anmeldung nur die verbundenen Netzlaufwerke sieht? ich will das lokale Laufwerk vom TS-Server nicht anzeigen lassen und die lokalen Laufwerke vom Client!

[Hirgelzwift 10]

eigentlich gibt es eine regel hier im board die besagt das man keine fremden threads übernehmen soll sondern dann eine eigene erstellt.

 

http://www.mcseboard.de/rules.php#nr7

 

wie auch immer du kannst das mit dem von wolke angesprochenen tool machen das du als GPO einbindest oder:

 

Benutzerkonfiguration/Administrative Vorlagen/Windows-Komponenten/Windows Explorer - Diese angegebenen Datenträger im Fenster "Arbeitsplatz" ausblenden - aktiviert - Komination ausblenden. Wenn dir die angegebenen Kominationen nicht reichen geht es eben mit hidecalc, da hast du alle buchstaben von A-Z zur verfügung.

 

Im AD oder am TS selber kannst du dem client verbieten lokale recourcen zu verbinden.

[sreutemann 10]

Also dieses Hidecalc ist gut und recht, aber ich kann in meiner Situation schlecht sagen welche Laufwerke nicht angezeigt werden werden dürfen, da verschiedene User verschieden viele laufwerke gemappt bekommen. Hab Citrix Metaframe XP im Einsatz und will einfach vermeiden, dass die User die lokalen Laufwerke sehen. Andere Lösung?

[Hirgelzwift 10]

hidecalc ist gut damit du lokale laufwerke am TS bzw. CTX server abschalten kannst. für die andere geschichte habe ich dir auch einen lösungsansatz gegeben, das du die lokalen laufwerke der clients per AD bzw. einstellungen am protokoll ICA und oder RDP direkt verhindern kannst.

[sreutemann 10]

Tschuldige, aber nach längerem suchen hab ich`s jetzt auch gefunden ws du meintest! Clientlaufwerke lasse ich bereits per Einstellung am Citrix ausblenden und Laufwerk A,B,C,D per GPO.

 

Noch ein Problem, die GPO auf die OE mit den TS zieht auch beim anmelden des Admins! Was mach ich da?

[IThome 10]

Das regelt man über die Sicherheitsfilterung im GPO (Domänenadmins - Gruppenrichtlinie übernehmen - Verweigern). Verweigere aber auf nicht das Lesen , nur das Übernehmen ...

[Hirgelzwift 10]

stimmt ne CTX policy gibt es dafür auch noch. auch hier kannst du filtern wer sie anwenden darf oder wer nicht. am protokoll kannst du nichts filtern, nur an oder aus. daher ist es am besten das immer im AD oder per GPO zu machen, wann immer möglich. eine CTX policy mache ich normalerweise nur policies wenn du unterschiedliche einstellungen brauchst für server die in der selben OU sind oder nicht in einem AD abgebildet sind, oder für einstellungen die es nur für CTX gibt.

 

dieser thread ist aber ein TS thread und hier in diesem thread war nie vom CTX server die rede. daher ist es wohl besser, wie schon gesagt, das du deine eigenen threads aufmachst und keine übernimmst.

[sreutemann 10]

Das regelt man über die Sicherheitsfilterung im GPO (Domänenadmins - Gruppenrichtlinie übernehmen - Verweigern). Verweigere aber auf nicht das Lesen , nur das Übernehmen ...

 

Bei der Sicherheitsfilterung stehn mom. nur die "Authentifizierten Benutzer" drin.....Füge ich da jetzt die "D-Admins" hinzu oder wie?!

[Hirgelzwift 10]

ja du fügst die admins über erweitert hinzu und klickst bei bei "gruppenrichtlinien übernehmen" -> "verweigern". verweigern hat vorrang vor anwenden. es reicht nicht wenn du den admins nur das recht anwenden nimmst sondern musst explizit verweigern. sonst wenden sie es über die "authentifizierte benutzer" an. bei der gruppe "authentifizierte benutzer" musst du aber alles lassen wie es ist. meisstens wird dort rumlaboriert, mach das bitte nicht.

[sreutemann 10]

Ok, verstanden und kapiert! Wenn ich jetzt noch ne GPO will, die nur für die Admins will, mach ich das Spiel genau anders herum,oder? Verknüpf eine GPO mit der OE wo die TS drin sind und mach bei den Usern "verweigern" rein,oder?

[IThome 10]

Nein, natürlich nicht, die Admins sind auch Authentifizierte Benutzer, das Computerkonto des TS ebenfalls (ich gehe davon aus, dass Du von dem Loopback-GPO sprichst). Du entfernst die Gruppe komplett, fügst das Computerkonto des TS und die Domänen-Admins zu, beide mit der Berechtigung Lesen und Gruppenrichtlinie übernehmen (die Domänen-Admins stehen da doch schon drin) ...