[Win2k3]Gebruikers geen recht tot C$

[Dhr_Soulslayer]

Tweakers,

Ik zit met het volgende probleem:

De gebruikers loggen in via een AD. Ze hebben admin rechten op de client waarop ze werken. Het is nu dus ook zo dat user ABC bij de share C$ van de buurman kan komen. De IT afdeling op het werk moet nog wel bij die share kunnen komen vanwege een applicatie die die share nodig heeft.

Ik weet dat je via het register de admin shares blijvend kan uitzetten maar dan kan het helpdeks programma niet lekker werken. Is er een manier om dit op te lossen? Zodat de C$ nog wel blijft bestaan maar dan alleen de aangemelde gebruiker er iets mee kan?

Hopelijk heeft iemand hier de oplossing want met google heb ik me suf gezocht en niks gevonden...

Grtz

[mutsje]

als een gebruiker op elk werkstation local administrator is kun je dit niet dicht zetten. Dit kan je alleen dichtzetten voor users als je ze bijvoorbeeld in de poweruser groep zet ipv local administrator groep. Elke gebruiker local admin maken is ook vragen om moeilijkheden imho.

[Dhr_Soulslayer]

Ja ik weet dat vragen om moeilijkheden maar goed dat is het beleid hier. En ik denk ik niet dat ze alleen daarom het beleid willen aanpassen...

Ze zijn admins omdat ze werken met software die je moet uitvoeren als je admin bent vandaar.

[KillerAce_NL]

Gaat niet lukken voor zover ik weet.

[_Arthur]

Dhr_Soulslayer schreef op vrijdag 14 november 2008 @ 09:17:
Ze hebben admin rechten op de client waarop ze werken. Het is nu dus ook zo dat user ABC bij de share C$ van de buurman kan komen.

Heeft elke gebruiker admin rechten op alle clients? Of is de betreffende gebruiker alleen toegevoegd aan de Local Admin groep op zijn/haar eigen client?

[leuk_he]

_Arthur schreef op vrijdag 14 november 2008 @ 13:02:
[...]

Heeft elke gebruiker admin rechten op alle clients? Of is de betreffende gebruiker alleen toegevoegd aan de Local Admin groep op zijn/haar eigen client?

Dat is je probleem.. local admin moet genoeg zijn. En anders kun je in NTFS regelen dat een bepaalde groep gebruikers gedenied wordt (dan kun je wel op de share, maar mag je niks)

[richard_kraal]

je kan ook de groep - interactief toevoegen aan de local admin groep
dan mogen ze niet bij elkaars shares

[Dhr_Soulslayer]

richard_kraal schreef op vrijdag 14 november 2008 @ 13:36:
je kan ook de groep - interactief toevoegen aan de local admin groep
dan mogen ze niet bij elkaars shares

Hoe bedoel je interactief, is dat een aparte groep of hoe moet ik dat zien?

[Dhr_Soulslayer]

leuk_he schreef op vrijdag 14 november 2008 @ 13:06:
[...]


Dat is je probleem.. local admin moet genoeg zijn. En anders kun je in NTFS regelen dat een bepaalde groep gebruikers gedenied wordt (dan kun je wel op de share, maar mag je niks)

Hmmm... NTFS rechten das helemaal geen gek idee....Maar...Omdat de mensen die ingelogd zijn hebben dus ook de admin rechten op een workstation waar ze niet ingelogt zijn dus ze kunnen bijvoorbeeld ook een remote shutdown uitvoeren of iets in die richting en dat moet eigenlijk ook uitgezet worden.

[_Arthur]

Dhr_Soulslayer schreef op vrijdag 14 november 2008 @ 17:05:
Hmmm... NTFS rechten das helemaal geen gek idee....Maar...Omdat de mensen die ingelogd zijn hebben dus ook de admin rechten op een workstation waar ze niet ingelogt zijn dus ze kunnen bijvoorbeeld ook een remote shutdown uitvoeren of iets in die richting en dat moet eigenlijk ook uitgezet worden.

Ik zal de vraag nog maar eens stellen, aangezien het antwoord je oplossing is:

Heeft elke gebruiker admin rechten op alle clients? Of is de betreffende gebruiker alleen toegevoegd aan de Local Admin groep op zijn/haar eigen client?

[Dhr_Soulslayer]

De gebruiker heeft als deze ingelogt is op een willekeurig workstation admin rechten op elke. Dit weet ik maar ik weet alleen niet hoe ik dit moet oplossen...Ik dacht zelf aan een soort script wat tijdens het inloggen de gebruiker die aan het inloggen is admin rechten geeft en de rest van de gebruikers die in de groep locale admins staan te verwijderen.

Zelf kan ik voor geen meter scripten dus ik dacht aan iets simpelers...windows point and click oid