Aanpassen account lock voor PresentatiePC via GPO

[Neophyte808]

Mijn vraag:
Binnen mijn bedrijf hebben ze een presentatie PC die wordt gebruikt om een Excel sheet te presenteren op een grote monitor. In de Excel sheet staat de project planning en kan iedereen zien voor welk project ze op die dag zijn ingepland. Voor deze PC is een aparte account 'Planning' aangemaakt. Deze account valt onder dezelfde group policy als alle andere accounts en daarom lockt deze ieder kwartier. Graag zou ik ervoor zorgen dat òf deze account helemaal niet uit zichzelf lockt, òf de account iedere 10 uur een keer lockt, zodat hij 's ochtends om 8 uur opgestart kan worden en 's avonds om 18 uur pas lockt zodat er niet ieder kwartier opnieuw ingelogd hoeft te worden.

Relevante software en hardware die ik gebruik:
Windows 10

Wat ik al gevonden of geprobeerd heb:
Wat op valt is dat veel mensen dit niet via een Group Policy doen, maar de oplossing vinden een workaround: programma's als Caffeïne en Mousejiggler om iedere minuut te simuleren dat een gebruiker de computer bestuurt. Caffeïne wordt niet toegestaan door waarschijnlijk weer een andere policy, Mousejiggler heb ik nog niet geprobeerd. De rest van de reacties die ik heb gevonden geven aan DAT het via GPO moet, maar niet HOE. Het enige dat ik heb gevonden zijn een set instellingen over het uitzetten van de screensaver e.d. Het enige dat me duidelijk is geworden is dat het handig is om de account Planning onder te brengen onder een andere OU en daar dan een aparte GPO voor te maken. Dan moet ik alleen nog weten hoe die policy eruit moet komen te zien.

[PcDealer]

Is een thin client dan niet een betere en energiezuinigere oplossing? Of via utp displayen van virtual machine?

[Neophyte808]

PcDealer schreef op woensdag 8 mei 2019 @ 22:58:
Is een thin client dan niet een betere en energiezuinigere oplossing? Of via utp displayen van virtual machine?

Dan heb je toch nog steeds hetzelfde probleem? Budget voor een thin client is er niet, ga ik ook niet over trouwens.

[PcDealer]

Neophyte808 schreef op woensdag 8 mei 2019 @ 23:01:
[...]


Dan heb je toch nog steeds hetzelfde probleem? Budget voor een thin client is er niet, ga ik ook niet over trouwens.

Zorg dan dat die planning niet onder een GPO valt.

[chup5528]

Precies wat je al zegt. Andere OU, andere GPO . Instellingen even afkijken in bestaande en dan aanpassen naar gewenste waardes.

[ Voor 44% gewijzigd door chup5528 op 08-05-2019 23:05 ]

[DukeBox]

Wat heb je zelf al geprobeerd om dat account niet aan die GPO(s) te koppelen ? En waarom werkte dat niet ?

[ Voor 15% gewijzigd door DukeBox op 08-05-2019 23:09 ]

[MAX3400]

Ik gok dat er een valide reden is dat "lockscreens" zijn afgedwongen? Neem dan ook aan dat degene die dat beleid bedacht heeft, ook toestemming heeft gegeven om 1 account hiervan uit te sluiten?

Wel stel ik mijn vraagtekens bij het gebruik van een "unnamed account" waar blijkbaar meer dan 1 persoon het password van weet.

Je kan het ook andersom doen; GPO maken dat alleen excel.exe mag worden gestart, de PC in een block-OU hangen, autologon configureren voor een account en dan in de startup alleen die XLS file zetten.

En middels een taskschedule de PC automatisch uitzetten om, pak 'm beet, 18:00.

Geen user-interactie meer nodig

/edit: Windows 10? Lees je eens in in "kiosk mode". Helemaal problem solved!

[ Voor 8% gewijzigd door MAX3400 op 08-05-2019 23:15 ]

[downtime]

Neophyte808 schreef op woensdag 8 mei 2019 @ 22:53:

Wat op valt is dat veel mensen dit niet via een Group Policy doen, maar de oplossing vinden een workaround: programma's als Caffeïne en Mousejiggler om iedere minuut te simuleren dat een gebruiker de computer bestuurt. Caffeïne wordt niet toegestaan door waarschijnlijk weer een andere policy, Mousejiggler heb ik nog niet geprobeerd.

Mousejiggler MJ-3 is niet een programma maar een USB dongle. Werkt als een trein, kost maar twee tientjes op Amazon en heeft geen software nodig. De software is alleen nodig als je het ding wilt programmeren. Maar voor wat jij ermee wilt doen hoef je niks te programmeren.

https://www.amazon.com/Wi...iggler-MJ-3/dp/B00MTZY7Y4

[MAX3400]

downtime schreef op woensdag 8 mei 2019 @ 23:22:
[...]

Mousejiggler MJ-3 is niet een programma maar een USB dongle. Werkt als een trein, kost maar twee tientjes op Amazon en heeft geen software nodig. De software is alleen nodig als je het ding wilt programmeren. Maar voor wat jij ermee wilt doen hoef je niks te programmeren.

https://www.amazon.com/Wi...iggler-MJ-3/dp/B00MTZY7Y4

Precies de reden dat we OOK USB-GPO's hebben met whitelisted PID&VID

[Wim-Bart]

En als je het zonder extra software wil doen, gewoon de PC uit domein halen. Autologon en excel sheet naar een share op de pc kopieeren met een scheduled task op je fileserver. Ook geen issues dat een open pc is aangemeld in je domein. En kan je gewoon lokale policies gebruiken.

Voor bepaalde certificeringen zijn dit soort niet naar persoon herleidbare accounts geen optie. Met een beetje pech kan het account ook (onbewust) bij gevoelige data.

[downtime]

MAX3400 schreef op woensdag 8 mei 2019 @ 23:24:
[...]

Precies de reden dat we OOK USB-GPO's hebben met whitelisted PID&VID

Hij emuleert gewoon een generieke muis. Als je het ding wilt blokkeren zul je elk type muis in het bedrijf apart moeten whitelisten. Dat moet je maar net de moeite waard vinden.

[MAX3400]

downtime schreef op woensdag 8 mei 2019 @ 23:33:
[...]

Hij emuleert gewoon een generieke muis. Als je het ding wilt blokkeren zul je elk type muis in het bedrijf apart moeten whitelisten. Dat moet je maar net de moeite waard vinden.

Je haalt dingen door elkaar?

Door 1 merk & type & class & driver muis te whitelisten, heb ik op alle werkplekken toch maar 1 muis nodig? En niet je Jigglr dinges?

Daarbij, en realiseer dat goed: het "klakkeloos" inpluggen van non-approved devices in een corporate omgeving; daar heb je voor getekend in je contract / appendix. Ergo, je pleegt dus enige vorm van computervredebreuk door dat device aan te schaffen om op werk (geautomatiseerd) policies te omzeilen.

[Wim-Bart]

downtime schreef op woensdag 8 mei 2019 @ 23:33:
[...]

Hij emuleert gewoon een generieke muis. Als je het ding wilt blokkeren zul je elk type muis in het bedrijf apart moeten whitelisten. Dat moet je maar net de moeite waard vinden.

Waarom, met bijvoorbeeld DeviceLock enterprise kan je het ook anders benaderen. Je staat gewoon ieder HID device toe en voor de rest alleen bepaalde types USB disk devices. En alleen data volumes in combinatie met de whitelist storage devices. Dan kan je iedere muis gebruiken zonder bang te zijn dat deze misbruikt worden.

[downtime]

MAX3400 schreef op woensdag 8 mei 2019 @ 23:40:
[...]

Je haalt dingen door elkaar?

Door 1 merk & type & class & driver muis te whitelisten, heb ik op alle werkplekken toch maar 1 muis nodig? En niet je Jigglr dinges?

Het is een whitelist dus alles wat je niet uitzondert wordt geblokkeerd. Dus elke muis in het bedrijf die moet blijven werken moet je specificeren.

Daarbij, en realiseer dat goed: het "klakkeloos" inpluggen van non-approved devices in een corporate omgeving; daar heb je voor getekend in je contract / appendix. Ergo, je pleegt dus enige vorm van computervredebreuk door dat device aan te schaffen om op werk (geautomatiseerd) policies te omzeilen.

Heb je mijn contract gelezen? Ik heb die bepaling niet gezien.