[2003] Programma blokkeren

[kabourterplop]

Hallo,

Hoe kan ik bepaalde .exe blokkeren? Zoals patience enz.

Gr. Bart

 

[neleke]

De rechten op het programma wijzigen voor bepaalde gebruikers en/of gebruikersgroepen.

Groetje,
Neleke

 

[kabourterplop]

Kan ik dat niet via de server instellen??? Zonder dat ik dat op elke computer apart moet instellen

 

[dnties]

Kan, maar dan moet je het in een policy (=Groepsbeleid) regelen. Dat is geen waterdichte methode: Als iemand het bestand onder een andere bestandsnaam ergens heen kan kopieren, dan kan het tóch gebruikt worden.

Je vindt 'm hier:

Gebruikersconfiguratie -> Beheersjablonen -> Systeem -> [optie: Opgegeven Windows toepassingen niet uitvoeren]

Je kunt, zodra ingeschakeld, dan aangeven welke programma's er niet mogen worden uitgevoerd. Let erop dat het alleen om de bestandnaam gaat, je kunt er geen mapnaam voor zetten.

Wil je bijv. niet dat msnmsgr.exe (=Windows Live Messenger) niet kan worden uitgevoerd, dan zet je die dus als msnmsgr.exe in die lijst van Windows applicaties die niet mogen worden uitgevoerd.

Succes,

Tijs.

 

[neleke]

Waneer het om een gevarieerde groep gebruikers gaat en om risico's te verminderen kun je met de gpo's ontzettend veel instellen. je kunt ook de startmenu's aanpassen en bepalen wie toegang heeft tot welke schijven.

Groetjes,
Neleke

 

[dnties]

Mijn tip sluit slechts programma's uit dat ze niet mogen worden uitgevoerd.

Verfijn je de Groepsbeleidinstellingen, dan wordt het nog beter dichtgetimmerd.
Zelf timmer ik alles dicht:
1. Geen Start -> Uitvoeren
2. Allerlei Configuratiescherm-items blokkeer ik voor de gebruikers
3. Ik beperk de toegang tot de lokale schijven van de pc (bijv. het uitsluiten van de lokale schijfletters in Verkenner)
4. Ik creeer een map met de door mij gedachte inhoud van het Bureaublad, verwijs de gebruikers naar dat Bureau blad, en laat niet toe dat daarin gewijzigd wordt (dus bijv. dat men geen snelkoppelingen kan aanmaken).
5. Ik creer zelf een Startmenu, en verwijs de gebruikers naar dat Startmenu.
6. etc.

Dus verdiep je je erin, dan kun je met Groepsbeleid inderdaad zo'n beetje precies bepalen wat mensen wel en niet kunnen doen, de inhoud van hun Startmenu etc.

Dit sluit natuurlijk aan bij wat Neleke al zei (GPO = Group Policy Object = Groepsbeleid).

Zie voor een gemiddeld dichtgetimmerd systeem de bijlages. Hier ben ik nog soepel moeten zijn, op verzoek van de klant.

Tijs.

 

[ZipPe]

http://support.microsoft.com/kb/307768/nl

het kan ook met group policies

http://support.microsoft.com/default.aspx?scid=kb;en-us;323525

http://www.windowsnetworking.com/articles_tutorials/Software-Restriction-Policies.html

en

DisallowRun
http://www.microsoft.com/technet/prodtechnol/windows2000serv/reskit/regentry/93501.mspx?mfr=true

Dit kan je met een logon script over alle domein gebruikers verdelen.


Nadeel van deze policy is dat hij op naam functioneert, dwz als de bebruiker de .exe een andere naam geeft deze het gewoon weer doet.

 

[dnties]

[...]
Dit kan je met een logon script over alle domein gebruikers verdelen.

[...]

@ZipPe: Goed dat je erover begint: Wordt het logon-script uitgevoerd met extra (administrator-)rechten? Mag ik uit je links concluderen dat dat inderdaad zo is?

Tijs.

 

[ZipPe]

Afhankelijk van hoe en waar je ze uitvoert via group policy op machine logon (to Domain) worden ze op administrator nivo uitgevoerd. Als je ze zet via active directory op profiel dan worden ze als current user uitgevoert.

Op profielbasis kan je dus ook alleen maar current user settings aanpassen.
Dat kan met batch of mooier op de achtergrond met vbs of powershell etc.

Kijk eens naar TweakOmatic, die laat je een hele bunch current user settings zien met het vbscript erbij om ze in of uit te schakelen.. Ook kan hij je helpen met deze scripts samen te voegen tot een compleet logon script op profielbasis..
http://www.microsoft.com/downloads/...1E-6C01-4447-BD7C-C09646D722C8&displaylang=en

 

[dnties]

@ZipPe: Heldere informatie. Thx.

Tijs.