[2003] Configuren van Terminal Server

[Verwijderd]

De volgende situatie:
- 2003 SBS server (dus met AD, Exchanges, DNS, etc)
- 2003 Standard R2 ingericht als Terminal Server en hangt ook in het domein

De domeingebruikers kunnen inloggen op de terminal-server. Echter zij hebben hierop te veel rechten. De rechten wil ik voor op de volgende punten beperken voor de domeingebruikers:
- niet (minimaal) lezen en schrijven naar de lokale schijven van de terminal server
- de mogelijkheid dat ik als beheerder de bureaubladen kan beheren
- de domeingebruikers mogen geen software installeren op de terminal server
- outlook moet per gebruiker automatisch de juiste instellingen krijgen.

Nu ben ik zelf een heel eind gekomen dmv de lokale GPO (dus op de terminal server), echter de aanpassingen hierin worden ook doorgevoerd voor de administrator (mijzelf dus). Dit wil ik niet.

Enig idee hoe ik dit kan oplossen en wat is hiervoor de meest gebruikelijke methode?

[mutsje]

Als policies worden doorgevoerd voor administrators simpel de groep domain admins alleen read rechten geven op de policy maar geen apply policy rechten (installeerd Group Policy Management Console en je kan easy policies managen , zie de howto over GPMC etc geschreven door mij en Lucky7)

Verder je hebt een policie deny access to disk xx , xx en xx dus die zet je voor normale users op deny all disk.

Outlook instellingen zoek op www.microsoft.com/technet of speur www.brainmadden.com/forum af en je zult het antwoord vinden.

[elevator]

Een meer gebruikte optie is om ook nog met loopback policies aan de gang te gaan, enkel restricten voor admins zorgt er namelijk voor dat je terminal server policies ook ge-applied worden op je normale PCs (althans - voor je users op hun normale Pcs) en dat is vaak niet de bedoeling

[Dennisch]

Ik denk dat het programma RES PowerFuse is wat jij zoek.
Dit is een 'shell' die de rechten beperkt van de gebruikers en je (als beheerder) in staat stelt achtergronden (en zelfs het menu-structuur) aan te passen zoals jij (de beheerder) dat wilt.

[sanfranjake]

Dennisch schreef op dinsdag 19 september 2006 @ 13:33:
Ik denk dat het programma RES PowerFuse is wat jij zoek.
Dit is een 'shell' die de rechten beperkt van de gebruikers en je (als beheerder) in staat stelt achtergronden (en zelfs het menu-structuur) aan te passen zoals jij (de beheerder) dat wilt.

Alleen jammer dat het prijskaartje van RES Powerfuse vrijwel nooit binnen het budget van een gemiddeld kleinbedrijf past, maar afgezien daarvan levert het ook bijna geen oplossing voor de vragen die topicstarter nu stelt

Waar ik heel benieuwd naar ben is wat ADoorn zelf al heeft geprobeerd. Het inrichten van een terminal server kan heel eenvoudig zijn, maar ook heel complex. Het ligt er maar net aan welke applicaties je gebruikt. In de topicstart zie ik in ieder geval 0,0 aan informatie over de zelf al ondernomen en gevonden informatie. Dat is iets wat essentieel is op dit forum. Lees daarover de Algemene gedragsregels (Netiquette) nog maar eens goed door.

[FaceDown]

Loopback processing of Group Policy

Daar staat uitgelegd hoe een loopback policy werkt. Toch snap ik het niet helemaal. Als je die GPO-setting op 'enabled' zet; betekent dit dat je GPO's kunt instellen per computer? Met andere woorden: Dat je OU's kunt maken waarin computers zitten en dat je voor die OU's GPO's kunt instellen? Of zit ik er nu helemaal naast?

-edit:-

Het is nu ook gelukt. Heb een OU aangemaakt, met daarin de Terminal Server. Voor deze OU heb ik een GPO aangemaakt. De betreffende GPO instelling (zie link hierboven) ingesteld op enabled - merge. Daarna op de TS nog een 'gpupdate /force' gedaan via de command prompt, en daarna ingelogd en hij neemt gewijzigde instellingen gewoon over als ik op de betreffende TS inlog.

[ Voor 32% gewijzigd door FaceDown op 19-09-2006 15:27 ]

[CAP-Team]

Let er dan wel op dat je het toepassen van die policy voor je admin account op deny zet, dan heb je zelf als admin geen last van die policies.

[mister iks]

sanfranjake schreef op dinsdag 19 september 2006 @ 14:11:
[...]

Alleen jammer dat het prijskaartje van RES Powerfuse vrijwel nooit binnen het budget van een gemiddeld kleinbedrijf past, maar afgezien daarvan levert het ook bijna geen oplossing voor de vragen die topicstarter nu stelt

Wat vroeg de opic starter dan?

Verwijderd schreef op zaterdag 16 september 2006 @ 20:33:


De domeingebruikers kunnen inloggen op de terminal-server. Echter zij hebben hierop te veel rechten. De rechten wil ik voor op de volgende punten beperken voor de domeingebruikers:
- niet (minimaal) lezen en schrijven naar de lokale schijven van de terminal server
- de mogelijkheid dat ik als beheerder de bureaubladen kan beheren
- de domeingebruikers mogen geen software installeren op de terminal server
- outlook moet per gebruiker automatisch de juiste instellingen krijgen.

- niet (minimaal) lezen en schrijven naar de lokale schijven van de terminal server
= "Read Only Blanketing"

- de mogelijkheid dat ik als beheerder de bureaubladen kan beheren
PowerFuse desktop (Windows shell) is volledig te beheren vanuit de Real Enterprise Manager

- de domeingebruikers mogen geen software installeren op de terminal server
= "Security Management" (appguard)

- outlook moet per gebruiker automatisch de juiste instellingen krijgen.
= "Instant Mail"

Bovengenoemde zijn allemaal PowerFuse features

[elevator]

Maar ik hoor niet echt features die niet met standaard GPO's danwel ACL's te fixen zijn?

• Minimaal lezen en schrijven naar de lokale schiven van de terminal server
  ACLs - eventueel via security templates.
• De mogelijkheid dat ik als beheerder de bureaubladen kan beheren
  Dit zal je moeten specificeren maar dat kan je met GPO's al veel doen?
• De domaingebruikers mogen geen software installeren op de terminal server
  Dit kan een normale user al niet - een user heeft geen rechten in "Program Files", geen rechten in de Windows directory, etc. Daarnaast kan je met GPO's bv. ook blokkeren dat programma namen als setup.exe uitgevoerd worden.
• Outlook moet per gebruiker automatisch de juiste instellingen krijgen
  Dit kan Office Professional in de VLK editie standaard al - anders kan je dit met GPO's regelen normaal gesproken?

[Spectre75]

Een hele handige ADM (= uitbereiding van je GPO settings) voor Terminal Servers en Citrix is de True Control Template.

Hiermee kan je zowat alles doen wat je vraagt, allemaal in 1 GPO.

[mister iks]

elevator schreef op woensdag 11 oktober 2006 @ 21:29:
Maar ik hoor niet echt features die niet met standaard GPO's danwel ACL's te fixen zijn?

• Minimaal lezen en schrijven naar de lokale schiven van de terminal server
  ACLs - eventueel via security templates.
• De mogelijkheid dat ik als beheerder de bureaubladen kan beheren
  Dit zal je moeten specificeren maar dat kan je met GPO's al veel doen?
• De domaingebruikers mogen geen software installeren op de terminal server
  Dit kan een normale user al niet - een user heeft geen rechten in "Program Files", geen rechten in de Windows directory, etc. Daarnaast kan je met GPO's bv. ook blokkeren dat programma namen als setup.exe uitgevoerd worden.
• Outlook moet per gebruiker automatisch de juiste instellingen krijgen
  Dit kan Office Professional in de VLK editie standaard al - anders kan je dit met GPO's regelen normaal gesproken?

Er zijn uiteraard meerdere wegen naar Rome.
Echter, met PowerFuse is bovenstaande in 5 minuten te regelen, het is eenvoudig en het geheel blijft overzichtelijk en wanneer er later wijzigingen zijn dan zijn deze zo aangebracht.