[2003] [TS] Map(pen) beschikbaar buiten policy om

[zakonski]

Ik heb op een Terminal Server in de group policy Prevent access to drives from my computer op enabled gezet. (A, B, C, D) Om een bepaald pakket te draaien, heeft de gebruiker toegang nodig tot een bepaalde map. Kan ik die map ergens uitsluiten van de policy? Ik heb het idee dat het pakket (aangezien het wat ouder is) last heeft van de policy, en de map niet kan vinden.

[elevator]

Dit kan vziw ik niet - maar heb je al 100% zeker verifieerd dat dit inderdaad door deze policy komt? Het lijkt mij namelijk vreemd

[zakonski]

Ik ben uiteraard niet zeker dat het door deze policy komt, maar is het enige wat er in me op komt. Zojuist als administrator ingelogd op de Terminal Server, en daarmee kan ik het pakket wel draaien. Ik zal proberen de Policy uit te zetten, en het pakket dan te testen. Mocht het dan niet draaien, dan zal het pakket misschien niet zo geschikt zijn voor Terminal Server.

---

Update:
Met het uitschakelen van de Policy werkt het programma nog steeds niet. Ik denk dat er register aanpassingen gedaan moeten worden voor de specifieke gebruiker. Programma zal daarmee standaard niet compatibel zijn voor 't gebruik op een Terminal Server. Excuses voor het openen van topic.

[ Voor 30% gewijzigd door zakonski op 04-08-2005 10:14 ]

[seq_uence]

Wanneer een applicatie specifiek naar een van die drives wil kan dat inderdaad problemen opleveren, zo'n applicatie is dan minder geschikt voor die omgeving. Je kunt evt. voor die gebruikers de policy aanpassen. Gaat het overigens om 2003 terminal server of ook met Citrix ?

Welke applicatie is dat eigenlijk, en welke foutmelding krijg je ? Je kunt ook eens met filemon kijken welke bestanden de applicatie wil benaderen...

Succes !

[edit]
Je kunt best register aanpassingen voor een specifieke gebruiker doorvoeren, het is alleen wat uitzoekwerk en wat scripten. (heb je na het uischakelen van de policy wel een gpupdate /force gedaan op die terminal server ?)

Zelf gebruik ik Powerfuse om registeraanpassingen per applicatie of per gebruiker door te voeren, het kost wat maar dan heb je ook wat

[ Voor 33% gewijzigd door seq_uence op 04-08-2005 10:18 ]

[richard_kraal]

als je prevent + hiden aanzet kan je er nog wel naar toe....

try cmd and you'll see

alleen win32 appl zorgen ervoor dat je er niet direct bij kan, als je een programma hebt dat op de c schijf staat en je hebt er een snelkoppeling naar+de rechten staan goed dan gaat dat gewoon werken

[mutsje]

software wat op terminal server draait en welke policy heeft no access to local drives en make drives hidden hebben hier geen last van. Anders zou Word etc het ook niet doen . Mocht je niet via cmd prompt bij je resources kunnen komen kun je de map altijd nog sharen en als network mapping laten aanmaken dan kan je er ook naar toe schrijven... werkt ook zo als je op folder A access is denied zet maar rechtstreeks naar folder B die eronder zit waar je wel rechten hebt om te mogen schrijven naar toe browst... ook een omweg maar werkt wel.

[Question Mark]

De reden dat, ondanks dat de policy "Prevent access to drives from my computer" ge-applied wordt, een user nog wel acces heeft tot de applicaties heef te maken met het Traverse Folder/Execute File recht.

Traverse Folder/Execute File
For folders: Traverse Folder allows or denies moving through folders to reach other files or folders, even if the user has no permissions for the traversed folders. (Applies to folders only.) Traverse folder takes effect only when the group or user is not granted the Bypass traverse checking user right in the Group Policy snap-in. (By default, the Everyone group is given the Bypass traverse checking user right.)

For files: Execute File allows or denies running program files. (Applies to files only).

[elevator]

Volgens mij heeft het meer te maken met dat het een policy voor Explorer is, en niet voor de Windows API

[Question Mark]

elevator schreef op donderdag 04 augustus 2005 @ 16:38:
Volgens mij heeft het meer te maken met dat het een policy voor Explorer is, en niet voor de Windows API

Dat de policy "Prevent access to drives from my computer" een setting puur voor de Windows Explorer is kan ik inkomen. Mijn eerste reactie stond er wat ongelukkig... Ik wilde eigenlijk de quote van Mutsje iets verduidelijken. Poging twee

mutsje schreef op donderdag 04 augustus 2005 @ 12:56:
werkt ook zo als je op folder A access is denied zet maar rechtstreeks naar folder B die eronder zit waar je wel rechten hebt om te mogen schrijven naar toe browst... ook een omweg maar werkt wel.

Denied is denied. Als er op een map echter expliciet middels NTFS recht een deny gezet is, kan een user dankzij het Traverse folder rights toch naar deze map toe.

The Traverse Folder/Execute File special permission allows or denies moving through folders to reach other files or folders, even if the user has no permissions for the traversed folders.

voorbeeld:

Een netwerkshare \\computername\share. Een user heeft wel share rechten, maar geen rechten op NTFS niveau. Hij mag geen verbinding maken naar deze share. Heeft de user wel NTFS rechten op \\computername\share\map, dan kan de user wel rechtstreeks via de verkenner naar dit pad toe. Dit is exact hetzelfde voorbeeld zoals bedoeld door Mutsje.

Toch komt de user 'binnen' via de share (en dus de map waar hij geen rechten op heeft) en 'wandelt' dan naar de benedenliggende folder. Puur het feit dat de user door deze map mag 'wandelen' komt door het traverse folder right.

[ Voor 43% gewijzigd door Question Mark op 04-08-2005 19:40 ]