[NeonowyDemon]

Mirki podpowiecie które gpo będzie pozwalało użytkownikowi na instalację programów? Mam paru użytkowników którzy muszą instalować programy ale muszę równocześnie zabrać im lokalnego administratora
#windows #windowsserver #it #pytaniedoeksperta

[Koliat]

@NeonowyDemon: nie da się tak łatwo. Większość nowych programów ma jednak user installer który nie wymaga dostępu do chronionych ścieżek systemowych i instaluje się w profilu usera

[NeonowyDemon]

@Koliat: chciałam dać dostęp lokalny do program files ale się nie dało xd

[NeonowyDemon]

@Koliat: ale niestety mam w firmie programy stare, ale wciąż aktualne i tak szukałam jakiejś polisy z tym związanej właśnie :/

[Koliat]

@NeonowyDemon: Lepiej będzie jak zainstalujesz im soft najpierw, a potem ewentualnie będziesz doinstalowywać na żądanie w sesji zdalnej podając swoje hasło admina np, jeśli nie masz żadnego software distribution jak Microsoft Endpoint Manager

[NeonowyDemon]

@Koliat: no właśnie nie mogę tak :( są to pracownicy którzy czasem potrzebują sobie w terenie coś doinstalować i nie mają dostępu do internetu( dosłownie w terenie) a często programy dostają na penach lub płytach

[Koliat]

@NeonowyDemon: Jeśli nie masz, to wdróż LAPSa i podawaj im wtedy hasło admina i po takiej instalacji resetuj. Jeśli na co dzień nie będą korzystali z konta admina to i tak jest duże zwycięstwo

[NeonowyDemon]

@Koliat: no właśnie jest grupa pracowników którzy ciągle muszę z tego korzystać chociaż sa na miejscu. Ale teraz udało mi się ustalić żeby mogli mieć lokalnego administratora ale żeby wyłączyć zmianę hasła na kontach lokalnych administratorów. I oczywiście kolejny problem bo nie wiem gdzie mogę to zmienić w gpo :D świeża w tym jestem

[Koliat]

@NeonowyDemon: Wyłącz zmianę hasła wszystkim użytkownikom, to ogólne zalecenie i best practice dla kont z których korzystają regularnie. Dla kont uprzywilejowanych - hasło powinien móc podejrzeć admin i powinno się cyklicznie zmieniać.

Spróbuj rzucić rsop.msc i zobacz która polityka wymusza maksymalny czas hasła. Ilu masz tam pracowników i sama z tym jesteś że na Ciebie spadło?

[NeonowyDemon]

@Koliat: dobra widzę ,że nie ma opcji dania im lokalnego admina bez możliwości zmiany hasła na nim. Ogólnie to mamy admina w formie ale powiedział żebym to zrobiła no to szukam

[Koliat]

@NeonowyDemon: czyli tak:

User bez praw admina
Konto lokalnego admina z cykliczna zmiana
W przypadku udostępnienia konta admina użytkownikowi - zmiana hasła następnego dnia
Docelowo - zrezygnujcie z cyklicznej zmiany haseł w firmie dla zwykłych użytkowników, to tylko pogarsza bezpieczeństwo, lepiej mieć dłuższe i trudniejsze hasło ale stałe

[NeonowyDemon]

@Koliat: no właśnie nie mogę udostępnić hasła nawet gdybym miała je zmienić po chwili bo takie zostały narzucone wytyczne przez korpo. Politykę haseł mamy normalna.

[NeonowyDemon]

@Koliat: no nic pobujam się dalej z tym a może coś wyczytam na necie

[Koliat]

@NeonowyDemon: W takim wypadku jak macie "korpo" które coś wymyśla to niech Wam wymyśli sposób na ten scenariusz, bo póki co takie praktyki z ich strony są kontrproduktywne ( ͡° ͜ʖ ͡°)

[NeonowyDemon]

@Koliat: takie zycko QQ