gpedit.msc - Veriegeln des Systems für Fremde

[Greetzz]

Hi, ich hab grad ein Projekt: Ich konfiguriere einen PC, der folgene Voraussetzungen erfüllen soll:

1. Administrator-User: Vollzugriff auf das System, Alles soll erlaubt und möglich sein.

2. User1: Er darf AUSSCHLIEßLICH Winamp starten und auf einen Mp3-Ordner zugreifen. Alles Andere, also Desktop,Startmenü,Explorerleiste usw. sollen deaktiviert sein (Winamp wird per Autostart gestartet)

3.User: Genauso wie User1, aber anstatt Winamp wird ein Brennprogramm wie Nero gestartet.

=> Warum ich das mache? Der PC soll in einen Jugendraum, wo viele (fremde) User am Pc viel ******e bauen könnten....deshalb muss ich das System schützen.

Ist sowas möglich - Ich weiß mit gpedit geht das, aber dann kann auch der Admin NICHTS mehr - Also ist ausgesperrt.

Danke für die Hilfe.Gruß

[hades]

Dieser Effekt ist normal.

Eine lokale Gruppenrichtlinie gilt fuer alle Benutzer des Systems, auch fuer den lokalen Administrator. Erst mit Domaenen-Gruppenrichtlinien lassen sich Richtlinien pro Benutzer/-gruppe vergeben.

[Greetzz]

Ich weiß das mit den lokalen Richtlinien schon - ist klar, aber muss ich dann wirklcih ein Domänennetzwerk haben um das zu realisieren? Reicht evtl. auch eine Server Version von Windows für meine Zwecke - Muss ja kein anderer Client da sein - nur der PDC an sich.

[hades]

Original geschrieben von Greetzz

aber muss ich dann wirklcih ein Domänennetzwerk haben um das zu realisieren?

Ja, Du brauchst min. 2 Rechner, einer mit Win2000 Server (als Domaenencontroller eingerichtet) und einer mit einem Windows Clientsystem (Win2000 Professional oder XP Professional).

Reicht evtl. auch eine Server Version von Windows für meine Zwecke - Muss ja kein anderer Client da sein - nur der PDC an sich.

Auf einem Windows Server koennen sich normale User aus gutem Grund nicht lokal anmelden. Ein Server ist ein Server, keine Arbeitsstation.

Alternative:

Linux als alleiniger Rechner. Keine Lizenzkosten und mit etwas Uebung (im Umgang mit KDE bzw. einem anderen window manager) koennen Deine User auch alles bedienen.

[Greetzz]

Also Linux kommt nich in Frage - weil ich Linux 1.hasse ;-) und 2. Weil ich das den anderen, unwissenden nicht zumuten kann...

Gibt es irgend eine Lösung für mein Problem - zumindest ansatzweise. Wär ein Spezialprogramm möglich, das sich gleich beim Booten startet (z.B. auf Dos Basis) damit ich ganz ohne Windows auskommen kann?

Eine Art Boot-Menu sozusagen - wenn man nix macht booten ein Dos-Mp3-Programm und wenn man beim Boot ne Tastenkombination drückt bootet ein normales Windows zur Admnistration und wegen Netzwerk-Anschluss von nem Laptop - um neue Lieder aufzuspielen?

[2-frozen]

Original geschrieben von hades

Ja, Du brauchst min. 2 Rechner, einer mit Win2000 Server (als Domaenencontroller eingerichtet) und einer mit einem Windows Clientsystem (Win2000 Professional oder XP Professional).

Verzeih wenn ich falsch liege .. kenne mich mit den Gruppenrichtlinien unter Win2k nicht so gut aus. Aber das ganze basiert doch auf den Policies (Systemrichtlinien) von Windows NT, oder nicht? Und mit denen kann man wunderbar Richtlinien für einzelne Benutzerkonten erstellen. AFAIK läuft die NT Poledit.exe auch noch unter Windows 2000. Mit dieser die lokale Registrierung öffnen, den User auswählen und entsprechend einschränken.

Näheres siehe www.winfaq.de

[hades]

@frozie:

Die Gruppenrichtlinien unterscheiden sich erheblich von den Systemrichtlinien.

Lokale Gruppenrichtlinien (z.B. %systemroot%\system32\gpedit.msc auf einer Win2k Prof) wirken sich im Gegensatz zu Systemrichtlinien immer auf alle lokalen Benutzer aus, nur Gruppenrichtlinien im ActiveDirectory koennen nach Benutzer/-gruppen getrennt angewendet werden. Gruppenrichtlinien koennen auch kombiniert werden, dann treten sie nach folgender Reihenfolge in Kraft und ueberschreiben Einstellungen vorhergehender Gruppenrichtlinien:

1. Lokales GPO (GPO --- Group Policy Object)

2. Standort-GPOs

3. Domaenen-GPOs

4. OU-GPOs

Dazu kommen dann noch Punkte wie Vererbung, Aktivierungsreihenfolge (Prioritaet) innerhalb eines ActiveDirectory-Containers und generellem Durchdruecken von Gruppenrichtlinien, d.h. das betreffende GPO wird nicht ueberschrieben.

Mehr zum Thema Systemrichtlinien (NT4) vs. Gruppenrichtlinien (Win2k, Win2k3) siehe http://www.gruppenrichtlinien.de , dort http://www.gruppenrichtlinien.de/Grundlagen/Voraussetzungen.htm und http://www.gruppenrichtlinien.de/Grundlagen/Brainstorms.htm#NT4vsW2K

Eine Moeglichkeit waere wie von Dir vorgeschlagen, Systemrichtlinien mit poledit zu erstellen. Systemrichtlinien funktionieren weiterhin, allerdings muessen diese immer auf dem Zielsystem (hier Win2k) erstellt worden sein. Ich weiss aber nicht, ob poledit mit Win2k mitkommt. Das ist afaik nur im Resource Kit von Win2k drin.

[Greetzz]

Und wie wäre es, wenn ich einfach NT4 installiere und dann das über die Policy die Benutzerrechte einschränke.

Ich bin ja nicht auf W2K fixiert, kann auch ein anderes BS von Microsoft sein...nur eben kein Linux

[hades]

Es geht es mit NT4 Workstation, allerdings mit einer Einschraenkung:

NT4 hat kein USB, d.h. USB-Geraete funktionieren entweder gar nicht (meistens der Fall) oder nur mit proprietaeren Erweiterungen seitens des Geraeteherstellers.