[kosti9191]

#windowsserver #windows #komputery

Mirki. Chcę ogarnąć ograniczenia dla grup. Robiłem wszystko zgodnie z poradnikiem na stronie pasjainformatyki. Wprowadziłem ograniczenia dostępu do panelu sterowania i blokadę zmiany tapety. Zrobiłem gpupdate /forece. Mimo to, każdy użytkownik po zalogowaniu ma dostęp do tych zablokowanych opcji.

Ktoś podpowie na czym polega knyf, że nie działa?

W Zarządzanie zasadami zrobiłem nową grupę - Inf_konta. W tej grupie jest link do zasady "Ograniczenia". Te "ograniczenia" po zedytowaniu mają właśnie wyłączony dostęp do CP i zmianę tapety pulpitu.

"Ograniczenia" są filtrowane według użytkowników, których dodaję ręcznie.

Mimo to, po zalogowaniu ci użytkownicy z listy "Ograniczenia" mają dostęp do tego, do czego nie powinni mieć.

[Koliat]

@kosti9191: z perspektywy użytkownika daj gpresult /H oraz popatrz na rsop
Być może to kwestia loopback procesing - to serwer terminali?

[kosti9191]

serwer terminali

@Koliat: ja jestem zielonka w tych kwestiach, Windows Server 2012 xD

Co do odczekania czasu, nawet po 3 dniach użytkownikom nie uaktualniły się zasady :V

[Koliat]

@kosti9191: te aktualizują się od razu. Użytkownicy są na serwerze podłączeni po RDP czy na swoich stacjach Windows 10?

[kosti9191]

@Koliat: użytkownicy logują się do domeny na swoich stacjach windows 10

[Terkan]

W Zarządzanie zasadami zrobiłem nową grupę - Inf_konta. W tej grupie jest link do zasady "Ograniczenia"

@kosti9191: 'Zasada' powinna być przypięta do OU a nie do grupy. Nie pamiętam czy to są 'ograniczenia' ustawiane dla użytkowników czy dla komputerów, w każdym razie powinna być przypięta do OU z odpowiednimi obiektami.

[kosti9191]

@Terkan: Mam takie coś :

[HaPPe]

@kosti9191: ja bym tutaj zapytał @GnijacyNissan on ma myk do tego

[Terkan]

@kosti9191: Wygląda OK, a co jest w 'zakres' i czy konta użytkowników są w OU "Informatyka-konta"?

[GnijacyNissan]

@HaPPe: s-----a myślałem że nigdy już nie będę musiał patrzeć na ten interfejs

[kosti9191]

@Terkan: w zakres jest :

wyświetl linki w : cały las
Lokalizacja: Inf.konta Wymuszone: nie, Link włączony: tak

Filtrowanie zabezpieczeń: Użytkownicy których dodałem ręcznie i są w w OU "Informatyka-konta"

[Terkan]

@kosti9191: A dodaj grupę "Authenticated Users” lub “Domain Computers” do "Filtrowanie zabezpieczeń" co najmniej z uprawnieniem do odczytu “Read” i gpupdate /force na Windows 10 ponownie

[kosti9191]

@Terkan: ok spróbuję. Tak właśnie myślałem, czy oni są tam potrzebni, czy można ich wywalić, ale myślałem, że skoro zostaną, to pozostali użytkownicy też będą mieli nałożone ograniczenia.

[Terkan]

@kosti9191: Z tego co znalazłem:

In June 2016, Microsoft released a security update that changes the security context with which user group policies are retrieved.

Before that update, user group policies were retrieved by using the user’s security context. After installing the update, user group policies are retrieved by using the computer’s security context.

Therefore, you should always make sure that any Group Policy in your environment could be retrieved

[kosti9191]

@Terkan: aaaaa takie cos. Sprawdzę i dam znać.

[Koliat]

@kosti9191: To to, jeśli grupa nie mogła przeczytać GPO to nie mogła ich też zaaplikować ;-)

[kosti9191]

@Terkan: Działa xD Dzięki :)