کاربر استاندارد در دامین
سلام دوستان
داخل شبکه تمام یوزر های استانداردی که میسازم به صورت پیشفرض اجازه نصب بعضی نرم ازار ها مثل تلگرام و مرورگرهارو دارند (بقیه نرم افزار هارو اکثرا یوزر پسورد میخواد). چرا اینجوریه؟ میشه بدون تعریف پالیسی جلوشو گرفت؟ به این معنی که تنظیمی داره که به صورت پیش فرض هیچ نرم افزاری نتونن نصب کنن؟
24 پاسخ
کاربری که به این سیستم لاگین کردید اسمش root هست ؟ همون کاربری که میتونه نرم افزارها رو نصب کنه ؟
وارد سیستم کلاینت بشید و با یوزری که میتونه اون نرم افزارها رو بدون دسترسی ادمین نصب کنه لاگین کنید و دستور زیر رو اجرا کنید :
net localgroup administrators DOMAIN\USERNAME /delete
به جای DOMAIN اسم دامین رو وارد کنید و به جای USERNAME اسم یوزر دامینی که باهاش به سیستم کلاینت لاگین کردید رو وارد کنید. مثلا :
net localgroup administrators tosinso.com\Test /delete
بعد یکبار Logoff کنید و مجددا لاگین کنید و نتیجه رو اعلام کنید.
پس اون نرم افزار هایی که یوزر های عادی میتونن نصبش کنن طوری نوشته شدن که برای نصب نیاز و اجرا نیازی به دسترسی Admin ندارن. برای نرم افزار های دیگه هم همینطوری هست ؟ اگه نه پس حتما از طبیعت خود نرم افزار هست.
نه، از روز اول همیشه اینجور بودش ولی چون نرفزارهایی که نصب میکرد معمولا مهم نبودن یا نسخه پرتابل داشتن همشون دردسر ساز نشده بود. واسه کپی فایل تو محل های نصب هم یوزر پسورد میخواد. من این نرم افزار هارو به عنوان نمونه اسم بردم. به نظرم میاد یه الگویی داره مثلا یه نرم افزار هایی رو نصب میکنه که دسترسی خاصی نمیخوان
بله ویندوز سرور و اکتیو دایرکتوری رو خودم نصب کردم تنها پالیسی که استفاده کردم سایفون و فریگیت رو بسته بودم. بعیده پابلیش شده باشن از کدوم مسیر متونم چک کنم؟
نرم افزار SuRun رو فقط رو یکی یا گمونم دو تا سیستم استفاده کردم و اونم به دلیل نرم افزار مالیاتی بود گمونم نه ازون نیست اصلا واسه تلگرام و مرورگرها با یوزر استاندارد شبیه کاربر ادمین برخورد میکنه و هیچی پسوردی نمیخواد
اسم گروه رو دارید اشتباه وارد می کنید. Administrator نه Administrators
گروه هایی مثل Power Users سال های سال هست که تو ویندوز کاربردی نداره بهمین دلیل مایکروسافت تو ویندوز سرور 2016 ظاهرا برش داشته. گروه Power Users به دلایل Compatibility توی ویندوز الان وجود داره وگرنه دیگه استفاده ای نداره.
شما مطمئنید که توی دامین نرم افزار هایی Publish نشدن به یوزر ها که بتونن اونارو نصب کنن ؟
این لینک رو ببینید. قسمت Zap Files. رو نگاه کنید.
یا بوسیله نرم افزاری مثل SuRun اجازه اجرای اون با دسترسی Administrator به یوزر های مورد نظر داده نشده ؟
خالیه
ویندوز سرور 2016 هستش گمونم جایی خونده بودم ویندوز سرور 2016 Power user نداره. ولی دقیقا شبیه مشخصه ای که در مورد Power users خوندم رفتار میکنه. به هر حال چک کردم جز User بود.
اشتباه زدم روت کاربر ادمین بود. با کاربر 121 که یوزر استاندارد هستش و با اون لاگین کردم رو سیستم و میتونه یه سری نرم افزارهارو نصب کنه هم امتحان کردم همین پیام رو داد.
دوست عزیز ببینید برای اینکه جلوی اجرا یا نصب شدن نرم افزار ها رو تو شبکه از یوزر های عادی بگیرید میتونید از قابلیت AppLocker و یا اینکه از Software Restriction Policy در Group Policy استفاده کنید. برای امتحان یک یوزر دیگه بسازید و با اون امتحان کنید ببینید اون یوزر هم میتونه اون نرم افزار ها رو نصب کنه یا خیر. راه حل بعدی هم اینه که وارد کنسول مدیریتی Group Policy تو ویندوز سرور بشید و یک OU برای اون کامپیوتر ها بسازید و به مسیر زیر برید :
Computer Configuration, Policies, Administrative Templates, Windows Components, Windows Installer
Prohibit User Install رو Enable کنید. و پالسی User Install Behavior رو روی Hide User Installs تنظیم کنید. در آخر هم پالسی رو روی کلاینت ها با دستور gpupdate /force آپدیت کنید. غیر از این ها راه دیگه ای نداره. پیشنهاد می کنم AppLocker رو تست کنید و نتیجه رو حتما اعلام کنید.
دسترسی نمیده واسه اجرای دستور
تمام یوزر های استانداری که میسازم به همین صورت هستش. یعنی هیچ یوزری نیست که نتونه تلگرام نصب کنه. من متوجه راه حل شما هستم جناب کریم پور ولی ایرادایی به ذهنم میاد مثلا ممکنه خیلی از نرم افزار هایی که کابر بخواد نصب کنه و اجازه نصب ممکنه بده رو من از پیش نشناسم که بخوام پالیسی تعریف کنم و بروز رسانی دستی فهرست ..., علاوه بر اینا میخواستم دلیلشو بدونم از کجا آب میخوره این قضیه که همه یوزرها این دسترسی رو دارن؟ (ممکنه تو ویندوز سرور 2016 یوزر ها مثل پاور یوزر ویندوز سرور های قبلی باشن؟)
از AppLocker برای دادن مجوز اجرای اون نرم افزار ها به یوزر ها استفاده نکردین ؟
نه برای نرم افزارهای دیگه اینطور نیست. به طور مثال IDM ، آفیس یا تورنت و... همه نیاز به دسترسی ادمین دارن و یوزر و پسور میخواد اما بعضی نرم افزار ها هم به این صورت هستن. شاید طی دو سال من دو بار یا سه بار برخوردم که کاربر نرم افزار خواسته (غیر مرور گرها و تلگرام که همه دیگه میدونن بدون پسورد نصب میشه) و طبق عادت با من تماس گرفته و من موقع نصب دیدم که پسورد نخواسته و نصب شده و همین یکم منو نگران کرد.
برای اجرای این دستور Command Prompt رو باید با دسترسی Admin باز کنید.
از مسیر زیر در Group Policy :
User Configuration -> Software Settings -> Software installation
من سناریون رو تو محیط لابراتوار خودم تست کردم و با یک یوزر عادی دامین به سیستم لاگین کردم و Telegram و Chrome رو دانلود و روی سیستم نصب کردم. و از من دسترسی Admin برای نصب نخواست. اینجور نرم افزار ها نرم افزار هایی هستند که برای نصب شدنشون نیازی به اعمال تغییرات در قسمت های محافظت شده Registry ندارند و عمدتا در دایرکتوری یوزر میان دیتا و فایل هاشون رو قرار میدن. به همین دلیل شما میتونید با استفاده از یوزر های Standard هم اینجور نرم افزار ها رو نصب کنید. شرکت هایی مثل گوگل و یا فایرفاکس که در سطح کلان در حوزه نرم افزار کار می کنن دیگه نمیان برای نصب شدن محصولشون روی سیستم از کاربر دسترسی مدیریتی بخوان. طبیعی هم هست این قضیه ، هر کاربری توی سازمان نیاز داره که از مرورگر استفاده کنه و براحتی میتونه مرورگر خودش رو روی سیستم دانلود و نصب کنه و آپدیتش کنه. ممکنه این کار از لحاظ امنیتی مشکل داشته باشه ولی خب طبیعتا این جور نرم افزار نباید برای نصب شدن دسترسی ادمین از کاربر Standard بخوان. همونطور که در پست قبلی هم خدمتتون عرض کردم با استفاده از AppLocker میتونید جلوی نصب و اجرا شدن نرم افزار ها رو بگیرید.
نکته : بهتون اکیدا توصیه می کنم که قبل از اینکه AppLocker رو توی محیط عملیاتی پیاده سازی اول توی محیط لابراتوار تستش کنید. AppLocker به هیچ نرم افزاری اجازه اجرا و نصب شدن نمیده مگر اینکه اون نرم افزار رو در Whitelist قرارش بدید. در غیر این صورت یوزر هاتون نرم افزار هایی که قبلا میتونستن اجرا کنن رو دیگه نمیتونن اجراش کنن.
نه پرتابل نیستن. کامل نصب میشن. نسخه تلگرام و فایر فاکس و کروم رو خودم دانلود کردم
احیانا اون نرم افزار هایی که یوزر ها میتونن نصبش کنن پرتابل نیستن ؟
این مشخصه ای که میگید مشخصه یوزرهای گروه Power users هست. توی دامینتون یوزرها در پوشه کدوم گروه هستن ؟
