Комментарии 31
На какое время ориентируется Logon Hours — серверное или юзерское?
Спасибо за статью. А можете дописать аналоги всех действий в ключах реестра?
Можно конечно, но это достаточно трудоемко. Не можете пояснить зачем вам именно ключи реестра. ИМХО груповые политики более удобны
Для «true way»)) Чтобы код писать в систему версионирования, от туда код пушился на систему управления конфигурациями, система управления конфигурациями раскатывала код на парк серверов/терминалов/рабочих станций/планшетов/информационных панелей и т.д. и т.п… а для этого нужны именно скрипты. Да и не во всех редакциях есть групповые политики, не везде поставишь контроллер домена и систем центр.
Информации действительно мало по поводу ограничений через реестр, масса ключей deprecated в новых системах, масса ключей не работают в разных редакциях, и приходиться писать километровые скрипты, охватывающие всё, либо по одному тщательно тестить.
Информации действительно мало по поводу ограничений через реестр, масса ключей deprecated в новых системах, масса ключей не работают в разных редакциях, и приходиться писать километровые скрипты, охватывающие всё, либо по одному тщательно тестить.
Самый простой способ получить ключи реестра, относящиеся к любой групповой политике — это сайтик GPS. Он правда только на английском, но ключи на русском из английских легко гуглятся.
Надеюсь кому-нибудь поможет.
Надеюсь кому-нибудь поможет.
«все было, при этом вам за это»
«при этом» — звучит скучно и долго. В поговорках должно быть ОТРИЦАНИЕ или итоги.
«все было, НО вам за это» — это оригинал. Звучит намного естественней, чем программистский, «толерантный» вариант. )) Исправьте уже.
«при этом» — звучит скучно и долго. В поговорках должно быть ОТРИЦАНИЕ или итоги.
«все было, НО вам за это» — это оригинал. Звучит намного естественней, чем программистский, «толерантный» вариант. )) Исправьте уже.
описание действий админов есть в курсе подготовки Инженера сетевой инфраструктуры и других… Вы переписали что-ли оттуда у Microsoft?
А смысл? Кому надо обязан это изучить или он — не человек, ну в смысле не админ. )
А смысл? Кому надо обязан это изучить или он — не человек, ну в смысле не админ. )
Как ни странно такого вида настройки — достаточно частый вопрос :) А нормальной документации на русском почти нет.Но все равно очень рад, что существуют люди для которых это статья бесполезена. Вы действительно круты :)
А зачем документация на русском? На английском привычнее и понятнее.
Кому как. Многие считают что самый естественный язык для технической документации — немецкий. Словарь технических терминов у немцев на порядок больше, методично заниматься техническим прогрессом начали раньше, а в английском языке не только многих технических терминов вообще нет, но даже и самых простых бытовых понятий)
В механике — скорее всего немецкий.
А в IT — английский.
Большинство русских терминов просто калька с английских.
Грамотный текст IT документации это большая редкость, поэтому проще сразу на английском читать.
Неа. Вы говорите за терминологический новояз исторически сложившийся после того как ООО «Орфо» перевело Windows. Сначала плевались, потом привыкли. Если откроете англо-русский словарь технических терминов узнаете для себя много нового. Конечно, я не заставлю Вас грамотно говорить ЭВМ вместо бессмысленного «компьютер». Однако, кибернетика в СССР появилась несколько раньше гоп-стоп-информатики и русская терминология была разработана весьма и весьма хорошо. Другое дело что она ближе скорее математику чем ойтишнегу))
Я говорю про сложившуюся терминологию.
Там где есть аналог — употребляют русские слова: сеть, кадр, маршрутизатор, коммутатор, мышь, клавиатура, сервер, оперативная память, жесткий диск, толстый клиент.
Там, где аналогов нет или они труднопроизносимы — принтер, процессор, чип, мэйнфрейм, баг, компьютер, сканер, файл, терминал, консоль.
Говорить ЦПУ, ПЭВМ, НЖМД, манипулятор, совокупность устройств ввода-вывода и прочую терминологическую ахинею порожденную ЕСКД — это уже за гранью разумного.
Меня, безусловно, коробят термины вроде «заапрувить» или «инвайтнуть», но компьютер и принтер со сканером — вполне устоявшиеся термины в русском языке, а ни разу не новояз.
Там где есть аналог — употребляют русские слова: сеть, кадр, маршрутизатор, коммутатор, мышь, клавиатура, сервер, оперативная память, жесткий диск, толстый клиент.
Там, где аналогов нет или они труднопроизносимы — принтер, процессор, чип, мэйнфрейм, баг, компьютер, сканер, файл, терминал, консоль.
Говорить ЦПУ, ПЭВМ, НЖМД, манипулятор, совокупность устройств ввода-вывода и прочую терминологическую ахинею порожденную ЕСКД — это уже за гранью разумного.
Меня, безусловно, коробят термины вроде «заапрувить» или «инвайтнуть», но компьютер и принтер со сканером — вполне устоявшиеся термины в русском языке, а ни разу не новояз.
Если откроете англо-русский словарь технических терминов… Вы не открывали, но уже знаете что там прочтёте. =) Терминология порождена не ЕСКД, а конкретной эпохой и в значительной степени обусловлена технологически. Отрицать её только потому что сегодня АЦПУ не используются (на самом деле, безальтернативно, но уже не повсеместно используются) неразумно.
Микросхема выговорить, конечно, гораздо тяжелей чем «чип». Хотя по-русски можно сказать ИС. Интегральная схема, сокращается до 2 (двух) букв. Это гораздо осмысленней гиковских «чипсов», особенно, если учесть что и по-английски слово «chip» использовалось больше на заре микроэлектроники. Всегда возникает вопрос: wtf chip? Ответ на него будет звучать: BGA, DBS, DIL, DQFN, HBCC,… Это я по корпусам пошёл. Что это такое? А это 100500+ английских аббревиатур. Бессмысленных для русского человека без справочника под рукой и + знания английского языка.
Т.е. на выходе русские аббревиатуры — плохо. Английские — хорошо. Вероятно дело в любви к начертаниям букв латинского алфавита.
Микросхема выговорить, конечно, гораздо тяжелей чем «чип». Хотя по-русски можно сказать ИС. Интегральная схема, сокращается до 2 (двух) букв. Это гораздо осмысленней гиковских «чипсов», особенно, если учесть что и по-английски слово «chip» использовалось больше на заре микроэлектроники. Всегда возникает вопрос: wtf chip? Ответ на него будет звучать: BGA, DBS, DIL, DQFN, HBCC,… Это я по корпусам пошёл. Что это такое? А это 100500+ английских аббревиатур. Бессмысленных для русского человека без справочника под рукой и + знания английского языка.
Т.е. на выходе русские аббревиатуры — плохо. Английские — хорошо. Вероятно дело в любви к начертаниям букв латинского алфавита.
1. Про локальные диски: с точки зрения безопасности наилучшим решением будет верно настроить ACL на самих дисках. например забрать у пользователей права на создание файлов, CREATOR OWNER и т.п. и оставить только traverse+list folder в корне. Каталоги Windows и Program Files по умолчанию не наследуют разрешения от корня диска, поэтому там права на чтение/выполнение не пропадут. Hide these specified drives in My Computer и Prevent access to drives from My Computer больше косметические политики, чем относящиеся к безопасности.
2. «Убираем кнопки выключения \ перезагрузки \ сна» — зачем, если SeShutdownPrivilege по умолчанию доступно только Backup Operators и Administrators? Обычные пользователи по умолчанию не входят в эти группы и не видят опций Shutdown/reboot.
3. «Запрещаем Автозапуск «Управление сервером» при логине». Аналогично. У обычных пользователей Server Manager не включается.
4. «Запрещаем запуск редактора реестра». Regedit требует прав администратора при запуске. Плюс стандартные ACL в реестре по умолчанию обычному пользователю не дадут что либо редактировать, кроме HKCU.
5. Почему для запрета запуска некоторых приложений предлагается использовать отдельные политики и реестр, а не AppLocker/SRP, которые специально для этого созданы и в целом более гибкие (можно разрешать/запрещать по хэшу, цифровой подписи)? В AppLocker, например, по умолчанию действует «запрещено всё, что не разрешено» и запустить приложение из собственного профиля (с рабочего стола/temp и т.д.) пользователь не сможет.
2. «Убираем кнопки выключения \ перезагрузки \ сна» — зачем, если SeShutdownPrivilege по умолчанию доступно только Backup Operators и Administrators? Обычные пользователи по умолчанию не входят в эти группы и не видят опций Shutdown/reboot.
3. «Запрещаем Автозапуск «Управление сервером» при логине». Аналогично. У обычных пользователей Server Manager не включается.
4. «Запрещаем запуск редактора реестра». Regedit требует прав администратора при запуске. Плюс стандартные ACL в реестре по умолчанию обычному пользователю не дадут что либо редактировать, кроме HKCU.
5. Почему для запрета запуска некоторых приложений предлагается использовать отдельные политики и реестр, а не AppLocker/SRP, которые специально для этого созданы и в целом более гибкие (можно разрешать/запрещать по хэшу, цифровой подписи)? В AppLocker, например, по умолчанию действует «запрещено всё, что не разрешено» и запустить приложение из собственного профиля (с рабочего стола/temp и т.д.) пользователь не сможет.
Спасибо за конструктивную критику. Попытаюсь ответить по пунктам:
1. Наверное стоило подробнее остановиться на выдаче пермиссий на файлы и диски, но к сожалению я ограничился только лирическим упоминанием оных. Обычно юзеры путаются и не понимаю когда видят диски терминальника, поэтому прятать их самое дружелюное пользователю решение.
2.3.4 Добавил на всякий случай, а так же для специфических ситуаций (к примеру пул виртуальных машин вместо терминального сервера либо хочется запретить пользователю копировать реестр) возможно эта информация избыточна.
5. Данная политика будет работать на любом вин сервере начиная с 2000. AppLoker же появился начиная с 2008 R2 если я ничего не путаю, но все равно стоило уделить ему внимание.
Еще раз огромное спасибо за конструктивную критику и очень полезный коментарий. Первый блин всегда комковатым выходит.
1. Наверное стоило подробнее остановиться на выдаче пермиссий на файлы и диски, но к сожалению я ограничился только лирическим упоминанием оных. Обычно юзеры путаются и не понимаю когда видят диски терминальника, поэтому прятать их самое дружелюное пользователю решение.
2.3.4 Добавил на всякий случай, а так же для специфических ситуаций (к примеру пул виртуальных машин вместо терминального сервера либо хочется запретить пользователю копировать реестр) возможно эта информация избыточна.
5. Данная политика будет работать на любом вин сервере начиная с 2000. AppLoker же появился начиная с 2008 R2 если я ничего не путаю, но все равно стоило уделить ему внимание.
Еще раз огромное спасибо за конструктивную критику и очень полезный коментарий. Первый блин всегда комковатым выходит.
«Regedit требует прав администратора при запуске.»
Никогда такого не было, он вполне себе запускается от имени обычного юзера.
Никогда такого не было, он вполне себе запускается от имени обычного юзера.
del
Как будет вести себя открытая 1C при статусе Disconnected? Винда сама аккуратно завершит программу, или просто убьет процесс и скорее всего придется переиндексировать БД?
Как вы решали подобную проблему?
Как вы решали подобную проблему?
Она будет вести себя как при стандартном logoff. Проблему скорее всего можно будет решить использованием logoff скрипта, который будет проверять запущена ли 1с и если да то завершать её корректно. Нужно тестить и писать скрипт. Подобных запросов у нас не было.Если найду решение отвечу здесь либо отдельной статьёй :)
Я искал подобные решения, но пользователи не то, что просто не закрывают 1C, а часто оставляют еще открытым какой-нибудь документ. И вот тут проблема. Возможно есть некие скрипты на закрытие 1С с закрытием открытых документов без их сохранения и проведения. Но не нашел подобного.
Говоришь-говоришь пользователям, но все-равно рано или поздно кто-то не делает так, как надо.
Говоришь-говоришь пользователям, но все-равно рано или поздно кто-то не делает так, как надо.
Как наcтроить Logon hours без AD?
что вам мешает настроить эту же опцию через gpedit.msc (локальную политику безопасности)?
Отсутствие оной в gpedit.msc?
Прошу прощения, ГП была в голове, не увидел что там в свойствах аккаунта.
Попробуйте net user %accountname% /times
support.microsoft.com/ru-ru/help/251394/how-to-use-the-net-user-command
Попробуйте net user %accountname% /times
support.microsoft.com/ru-ru/help/251394/how-to-use-the-net-user-command
Странно — локальные диски прячем, потому что это «дыра в безопасности», но флешки пробрасываем?
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Настраиваем Windows Server так, чтобы у вас все было, при этом вам за это ничего не было