Hvordan forhindre at lokal sikkerhetspolicy gjelder administratorer?

[Pasient]

Heisann

 

Nå er det lenge siden jeg holdt på med dette, så jeg er litt rusten. Jeg har 2 maskiner som skal settes opp i et lite nettverk med en NAS-disk som "knutepunkt". Det er ikke et domene og det er ingen server inne i bildet. Maskinene skal bare fungere for seg selv og mot NASen.

 

Det skal implementeres ganske strenge restriksjoner for brukerene, noe jeg får til uten problemer. Det eneste jeg sliter med er at nevnte policyer gjelder for alle brukerene.

 

Jeg har prøvd google og minst en time eller to med trykking, men jeg finner ikke fram.

 

Problemet ligger i at dette ikke er PCer som skal meldes inn i et domene. Om det hadde vært saken, så hadde dette vært et enkelt problem og fikse. Men når det gjelder lokal sikkerhetspolicy på en lokal maskin, så står jeg litt fast.

 

Takk for hjelpen!

Endret 10. oktober 2010 av Pasient

[NikkaYoichi]

For å ta det første først.

 

Setter du en policy på datamaskin, så gjelder det for ALLE brukere på den maskinen, uavhengig av om de er administratorer eller ikke. Setter du en policy på bruker, så gjelder det for DEN brukeren, du redigerer policyen på.

 

Det vil si at om du er logget inn som adminschmadmin og setter "enable - restrict access to add/remove programs", så vil ikke den brukerkontoen få aksess til det, uavhengig av om det er en administrator eller ikke.

 

Dette krever enten en stygg workaround, eller du kan lære deg hvordan GPO-er fungerer.

http://technet.microsoft.com/en-us/library/cc766291%28WS.10%29.aspx

[Pasient]

Takker for svar.

 

Maskinene kjører XP så MLGPO er ikke et alternativ. Skulle kanskje nevnt det i første post.

 

Endringer som blir gjort under "user configuration" gjelder både administrator og den vanlige brukeren. Er det noe jeg misser her, for slik som jeg mener og slik som du forklarer så skal den jo kun gjelde for brukeren som setter den?

 

Baserte du svaret ditt utifra at jeg brukte W7 eller Vista? Det kan vel kanskje ha en innvirkning mtp at XP ikke har de mulighetene med GPO som w7 og Vista har.

Endret 10. oktober 2010 av Pasient

[NikkaYoichi]

Jeg har forsåvidt ikke satt lokale policyer for maskiner, jeg har alltid satt slikt i domenemiljø, så baserte svaret mitt ut fra det jeg fikk inntrykk av etter kjappe søk med google. Men hvis du ser på den linken jeg la til i forrige post, så har den en steg-for-steg guide, for å gjøre det du prøver på.

[Pasient]

Den prøvde jeg før jeg postet her, uten hell.

 

Men, prosjektet er nå lagt dødt. Jeg kom fram til at det var dødfødt og tukle så veldig mye med det, så jeg satt opp en domenekontroller til klientene mine. Mye enklere på den måten. Måtte bare mase litt på stor sjef for og få tak i en server.