rechten afnemen in ad via script?

[alexmarvel]

ik heb een active diretory en mijn gebruikers zijn local admin op hun eigen machine.
dus ze kunnen nu gewoon dingen installeren enzo
dit wil ik aanpassen
is er een script of iets dergelijks dat ik kan instellen dat ze geen local admin meer zijn op hun eigen machine?

 

[RogerS]

Dit kun je o.a. doen door middel van Group Policies.

Je kunt ook iets toevoegen aan je loginscript. Het commando dat je nodig hebt is "NET GROUP administrators %logonname% /DELETE".

Let wel op ongewenste bij-effecten, want er zijn nog steeds veel programma's die local admin rechten nodig hebben om te kunnen werken. Een beruchte is bijv. autocad.

 

[alexmarvel]

ja klopt dat is eigenlijk mijn volgende vraag:
kan je ook via een script ofzo die gebruikers wel rechten geven op een bepaalde map?
bijvoorbeeld C:\program files\lotus

 

[Aphysemi0n]

want er zijn nog steeds veel programma's die local admin rechten nodig hebben om te kunnen werken. Een beruchte is bijv. autocad.

Dat komt vast omdat het door een administrator is geinstalleerd en is het niet onder de gebruiker zelf (die zou je tijdelijk admin moeten maken) .. het kan prima draaien met beperkte rechten.

 

[RogerS]

In het kort. Alles valt te scripten.


Er zijn diverse manieren om dit te doen. Download setacl.exe . Kijk wel uit wat je met dit soort tools doet. Voor je het weet is je pc/netwerk om zeep.

 

[alexmarvel]

ik heb een beetje gezocht en voor ik iets probeer heb ik eerst nog een vraag

als ik bijvoorbeeld dit wil gebruiken bij setacl:

MYDIR="%ProgramFiles%\FolderToProcess"
setacl.exe -on %MYDIR% -ot file %CopyInherits% %RecurseFiles% %DebugSw%
setacl.exe -on %MYDIR% -ot file %Users_Change% %RecurseFiles% %DebugSw%
setacl.exe -on %MYDIR% -ot file %Admins_Full% %SYSTEM_Full% %TrustedInstaller

en ik run dat gewoon op mijn windows xp systeem, dan geldt het toch niet meteen voor heel het netwerk he?
dan geldt het toch alleen voor de pc waarop ik het run?

 

[RogerS]

Is gewoon op je eigen pc. Tenzij je een netwerkfolder gebruikt.

 

[alexmarvel]

maar hoe werkt dat setacl precies?
als ik bovenstaande code in een .bat bestand doe die ik "new.bat" heb genoemd dan krijg ik dit:

C:\SetACL\Command line version\x86>new

C:\SetACL\Command line version\x86>MYDIR="C:\Program Files\"
'MYDIR' is not recognized as an internal or external command,
operable program or batch file.

C:\SetACL\Command line version\x86>setacl.exe -on  -ot file
ERROR in command line: No parameter found for option -on!

C:\SetACL\Command line version\x86>setacl.exe -on  -ot file
ERROR in command line: No parameter found for option -on!

C:\SetACL\Command line version\x86>setacl.exe -on  -ot file   TrustedInstaller
ERROR in command line: No parameter found for option -on!

 

[RogerS]

Het juiste commando is

SET MYDIR="......