Stefano

Windows 2003 – Limitare i profili degli utenti

Ultimamente mi è stato richiesto di limitare in termini di accessi ed applicazioni i i profili degli utenti users di un server terminal salvaguardando però gli Administrators, che naturalmente volevano mantenere l’accesso completo al sistema.

Nota: Il server terminal era disposto in gruppo di lavoro e non sotto Dominio.

Vediamo come fare…

Creiamo un utente, ad esempio Pippo, che appartiene sia al gruppo Users che a quello Administrators del Server locale.

Accediamo con Pippo sul Server ed apriamo l’editor dei criteri con il comando gpedit.msc e selezioniamo “Criteri di Gruppo“ -> “Configurazione Utente” ->  “Modelli Amministrativi“ andando ad editare tutte quelle funzionalità che si desidera abilitare o disabilitare. (SEGNATEVI TUTTE LE MODIFICHE CHE FATE)
 

Ad esempio, se si vuole nascondere l’icona del Cestino, fare clic su Desktop, fare doppio clic su Nascondi l’icona Cestino sul desktop, fare clic su Attivato, scegliere Applica, quindi OK.

Per impostazione predefinita i criteri locali vengono applicati a TUTTI gli utenti quindi è bene, quando si configura un nuovo profilo, prestare attenzione a non limitare la capacità dell’amministratore di accedere al computer .

Disconnettiamoci dal server e ricolleghiamoci con Administrator, rimuoviamo Pippo dal gruppo Administrators. Non preoccupiamoci per adesso se vediamo le limitazioni applicate anche sul profilo amministrativo.

Ora (la parte che a me è piaciuta di più…Grande Microsoft!) dobbiamo collegarci almeno una volta con TUTTI quegli account a cui desideriamo applicare limitazioni sui profili.
 

Rimuoviamo quindi le limitazioni sul profilo dell’Administrator

Accediamo al computer come Amministratore.

Apriamo Esplora Risorse prestando attenzione l’opzione “Visualizza Cartelle e File Nascosti” sia abilitata. Facciamo quindi una copia del file C:\windows\System32\GroupPolicy\User\Registry.pol

Riapriamo l’editor dei criteri di gruppo ed ANNULLIAMO TUTTE LE MODIFICHE PRECEDENTEMENTE EFFETTUATE (ve le siete segnate vero? ) quindi salviamo e chiudiamo l’editor (in modo da rigenerare il file registry.pol)

Infine sostituiamo C:\windows\System32\GroupPolicy\User\Registry.pol con la copia precedentemente effettuata.