[решено] Локальные политики безопасности в Windows - настройка и конфигурация

[vasketsov]

Сергей (Vasketsov), последний вопрос.

Что в account.reg?

Т.е. я настраиваю скажем для определенного пользователя групповую политику. Далее лезу в реестр. Какую ветвь системного реестра я должен экспортировать в файл account.reg для дальнейшего использования в сценарии регистрации данного пользователя?



P.s. Прошу извинить за назойливость.

[Animal]

Animal

тут есть сложность.



сами по себе политики в большинстве своем находятся в software\policies и software\microsoft\windows\currentversion\policies.

если их выполнять в логон-скрипте, они будут выполняться с правами пользователя, а у пользователя прав на те ключи быть не должно (только на чтение).



как вариант - в hklm\software\microsoft\widnows nt\ currentversion\ winlogon есть параметр system, все что в нем записано - выполняется под системной учетной записью, вот там их и надо выполнить.

[Animal]

Сергей (Vasketsov), спасибо. Только-что проверил. Информация верна (и полезна!). Но не ясна ТЕХНОЛОГИЯ работы...

Изменял групповую политику на своей рабочей станции и в HCU\software\microsoft\windows\currentversion\policies добавлялись строковые параметры. А если я зайду под другим лок. пользователем, входящем(временно) в лок. группу Администраторы, запущу gpedit.msc, то изменения затрут старые настройки (так?). Предположим я экспортировал перед изменениями ветвь реестра (см. выше) в файл 1.reg. После изменения я экспортировал ту же ветвь реестра в файл 2.reg.

Что я должен дальше делать (как можно подробнее), чтобы для пользователя User1 задействовалась ветвь реестра, сохраненная в 1.reg, а для User2 и User3 задействовалась ветвь реестра, сохраненная в 2.reg? Условие: лок. пользователи UserX не входят в лок. группу Администраторы. Если не трудно, напишите ответ для данного примера.



Достал уже наверное Вас, но хочется уже раз и навсегда окончательно разобраться.

[Animal]

Большое спасибо!

А можно работая под администратором HKCU других пользователей посмотреть/поправить, не заходя под ними?



Если не будет ответа, я не буду обижаться, т.к. чуствую, что достал уже человека, а полученной инфы хватит для моих целей.

[Animal]

Animal

Реестр править можешь, а вот политики ИМХО нет

[DimSher]

Dmitry Sher

Политики считываются приложениями из реестра, они только храниться могут отдельно, так что не все так плохо.



Animal

Запускаешь regedt32 - там у него Load Hive в меню есть - выбираешь из той папки, в которой профиль юзера, файл реестра - открываешь его, спросит имя - пиши любое, хоть имя юзера, после редактирования не забудь выгрузить, встав на него. Вроде как для этого привилегии кое-какие надо, типа backup/restore, но это ведь не проблема?

[Animal]

Спасибо. Теперь абсолютно все понятно.

[Animal]

Проблема такая, что когда я меняю политики для файла gpedit.msc то они меняются и для админа, и толку в таких политиках нет, т.к. то что я запретил делать юзеру не могу сделать сам

[vasketsov]

Guest

Прочитай все внимательно, что в этом топике написано.

[vasketsov]

не хочу громко кричать, но ...

vasketsov



по моему gpedit/msc применяется локально для группы - т.е. еслт юзверю дать прова админи, и под ним настроить политика - то для админи она тоже будеть действовать



Animal

 файлы политик локаль находятся в C:\WINNT\system32\GroupPolicy,

кроме того есть старый добрый способ - poledit? работае как для пользователей так и для групп(оно и понятно), только файл политик надо локально зафигачить, и в реестре сделать ссылку на него...