[XP]USB poorten blokkeren

[Frostbite]

[Probleem]
Ik zit hier met een 'oude' (P3, 733Mhz + 256Mb) pc waar XP Prof. op is geïnstalleerd.
Omdat gebruikers van deze machines vaak problemen hadden (onder Win95) hebben we besloten de machientjes te voorzien van XP Prof. (Win 2000 draaide ook goed, maar we gaan verder met XP)
Om ervoor te zorgen dat de gebruikers zelf software en zo gaan inlezen is het een en het ander geblokkeerd in de BIOS waaronder de, CD-ROM, Floppy drive en de USB poorten.
De gebruiker die als eerste een XP exemplaar kreeg belde tevreden op dat alles goed werkt en dat de digitale camera het ook deed.
Wat bleek XP heeft natuurlijk ondanks alle blokkades in de BIOS toch lekker de controller geïnstalleerd en zodoende kunnen de gebruikers (nummer 1 nog) lekker de usb poorten gebruiken met alle gevolgen van dien.
Ik wil voordat ik collega nummer 2 ga verblijden met zijn XP machine toch de USB poorten dichtgooien.
Lokaal zijn de gebruikers Administrator omdat je anders geen enkel (netwerk) programma kunnen opstarten.

[Gedaan]
• De Bios is geflashed met de laatste versie.

• In de BIOS heb ik de USB controller op Disabled en de usb poorten op Disabled/PNP OS gezet. Maar zoals bekend PNP OS dus XP gebruikt hem gewoon

• Gezocht op google en in de search maar kwam niet verder dan Dit topic

• In XP usb stuurprogramma gedeinstalleerd maar dan herkent hij hem bij het opstarten weer En de gebruiker kan het weer netjes aanzetten

[Vraag]

Is er iemand die een oplossing heeft voor dit 'probleem' of een (gratis) progje of tooltje weet hoe ik de usb poorten toch dicht kan gooien?
Misschien dat er iets in het register veranderd kan worden?

[Dol_Fijn]

In apparaatbeheer de USB poorten uitschakelen en dan via groepsbeleid (run > gpedit.msc) "Bepaalde onderdelen van het configuratiescherm verbergen".

[Varienaja]

Sc0rPi0N schreef op 14 April 2003 @ 12:31:
Lokaal zijn de gebruikers Administrator omdat je anders geen enkel (netwerk) programma kunnen opstarten.

Dat is natuurlijk dikke onzin he!

[Frostbite]

Varienaja schreef op 14 April 2003 @ 13:13:
[...]

Dat is natuurlijk dikke onzin he!

We werken hier met Novell 5 via een NAL scherm.
De gebruikers krijgen de voor hun bestemde applicaties te zien.
En applicaties werken met snapshots waardoor de applicaties geïnstalleerd worden. Omdat er sommige applicaties zijn die in het register willen schrijven lukt dat dus niet.

En omdat we geen problemen hebben als ze lokaal admin zijn, hebben we daarvoor gekozen.

[Verwijderd]

quote: Sc0rPi0N

Omdat er sommige applicaties zijn die in het register willen schrijven lukt dat dus niet. En omdat we geen problemen hebben als ze lokaal admin zijn, hebben we daarvoor gekozen.

Permissions
Just as with the Win2K file system (NTFS), each Registry key and subkey has an Access Control List (ACL) associated with it. Each ACL comprises any number of Access Control Entries (ACEs).

Note: Permissions are assigned only to Registry keys. They don’t extend to the Registry values themselves. Instead, the rights defined on the key determine whether a given user or group has the ability to view and modify the values contained therein.

An individual ACE describes the user or group that has been granted access as well as the kind of access allowed.

As you can see, there are four ACEs for this particular ACL, with all but the Everyone group having Full Control over the key. The Everyone group has the "Special Access" right over this key. There are three predetermined types of access that you can choose from this dialog box — Read, Full Control, and Special Access. Each of the three provides a different level of control and offers different rights to a given Registry key. In Win2K, there are ten different rights that you can grant to a user or group with respect to Registry keys,

Because access to certain keys within the Registry constitutes a privileged operation (e.g., access to SAM, Security, machine policy, user policy), you find that a default Win2K installation attempts to secure these critical keys to prevent a normal user account from changing and sometimes even from reading them.

Source: http://www.windowsitlibrary.com/Content/224/3.html ....

[ Voor 78% gewijzigd door Verwijderd op 14-04-2003 14:00 ]

[Frostbite]

Dol_Fijn schreef op 14 April 2003 @ 13:04:
In apparaatbeheer de USB poorten uitschakelen en dan via groepsbeleid (run > gpedit.msc) "Bepaalde onderdelen van het configuratiescherm verbergen".

Thanx dit hebben we toegepast en tevens voor die groep gebruikers de optie Systeem uit het configuratiescherm verwijderd.

[Verwijderd]

We werken hier met Novell 5 via een NAL scherm.
De gebruikers krijgen de voor hun bestemde applicaties te zien.
En applicaties werken met snapshots waardoor de applicaties geïnstalleerd worden. Omdat er sommige applicaties zijn die in het register willen schrijven lukt dat dus niet.

En omdat we geen problemen hebben als ze lokaal admin zijn, hebben we daarvoor gekozen.

Als je dit al niet voorelkaar krijgt ben je in mijn ogen een prutser van een sys. beheerder.
Het is toch wel algemeen bekend dat je niet onder administrator moet gaan zitten werken.

Zie ook post van euss.

[ Voor 4% gewijzigd door Verwijderd op 14-04-2003 15:22 . Reden: typo ]

[Verwijderd]

Sc0rPi0N schreef op 14 april 2003 @ 13:44:
[...]


We werken hier met Novell 5 via een NAL scherm.
De gebruikers krijgen de voor hun bestemde applicaties te zien.
En applicaties werken met snapshots waardoor de applicaties geïnstalleerd worden. Omdat er sommige applicaties zijn die in het register willen schrijven lukt dat dus niet.

En omdat we geen problemen hebben als ze lokaal admin zijn, hebben we daarvoor gekozen.

jeeeeeeeeezus.....wat lame............je hoef ze echt niet gelijk local admin te maken hoor.....

ja, alles werkt inderdaad dan ja.......hale je de koekoek....

te laat.

[ Voor 3% gewijzigd door Verwijderd op 14-04-2003 15:31 . Reden: te laat ]

[Jaymz]

offtopic, maar toch niet geheel offtopic:

Sc0rPi0N schreef op 14 April 2003 @ 13:44:
[...]


We werken hier met Novell 5 via een NAL scherm.
De gebruikers krijgen de voor hun bestemde applicaties te zien.
En applicaties werken met snapshots waardoor de applicaties geïnstalleerd worden. Omdat er sommige applicaties zijn die in het register willen schrijven lukt dat dus niet.

En omdat we geen problemen hebben als ze lokaal admin zijn, hebben we daarvoor gekozen.

Als jullie gebruik maken van het StarterPack dan klopt je verhaal over het niet kunnen distribueren van NAL-Applicaties aangezien users weinig in het register kunnen en het starterpack daar inderdaad geen oplossing voor biedt. Werk je met ZEN 2, 3.2 of 4 heb je toch ergens iets niet helemaal goed gedaan:

Eén van de krachten van ZENworks is namelijk het feit dat applicatiedistributies opgepakt worden (horen te worden) door een Service (die als System mag aanloggen ) (Je kan een applicatie zelfs als System laten runnen, hoewel je daar mee moet uitkijken) Check dit verhaal dat over ZEN 4 gaat, maar ook voor 2 en later opgaat

Zelfs al wil een applicatie in het gebruik in HKLM iets willen wegschrijven zijn die rechten wel uit te rollen (moet je wat creatiever voor zijn, maargoed )

Of je NAL Explorer is niet echt goed geinstalleerd of de Novell Application Launcher Service is niet / niet goed geinstalleerd (Voor ZEN 2 moet je als ik het me goed herinner die service handmatig installeren: (nalntsrv -install)

Ter controle: Tot (ik dacht) ZEN 3.2 was de nalntservice een losse service die je bij je services moet kunnen terug vinden (Novell Application Launcer heet 'ie)).

Gebruik je inderdaad het starterpack: Consider upgrading, zelfs ZEN 2 is dan al een verademing (zie ook deze aanbieding van Novell ;))

Gebruik je niet het starterpack: Go configure / troubleshooting. Het kan trouwens zomaar zijn dat er onder XP inderdaad wat probleempjes waren hiermee, ik kan me vaagjes een TID @ http://support.novell.com (<= check die echt, staat veel interessants tussen) herinneren (alleen draaien wij nog geen XP dus heb ik er verder niet echt veel aandacht aan besteed)
Onder andere deze:
http://support.novell.com...archtid.cgi?/10070965.htm
http://support.novell.com...archtid.cgi?/10056726.htm

Wij werken nu met ZEN 2, onze gebruikers zijn (@ NT) gewoon User en applicaties als Word worden gewoon met NAL uitgerolt (en die doet aardig wat wat een user niet mag) Zelfs IE heb ik wel eens uitgerold gekregen (hoewel dat ff klooien was )

In ieder geval: Als je dit probleem kan oplossen is je USBprobleem redelijk simpel verholpen. En je kunt mij daarnaast niet echt wijsmaken dat Users Admin laten zijn geen problemen geeft: Een eigenwijze gebruiker installeert gewoon de USB-poort om maar es wat te noemen en dat kan je aangezien 'ie Admin is gewoonweg niet tegenhouden

Wil je upgraden: ZEN 4 is volledig naast 2 (en als ik het wel heb ook 3.2) te gebruiken. Je kunt als je wilt zelfs je huidige versie voor Win9x blijven gebruiken en 4 alleen voor je XP machines gebruiken; scheelt je een hele hoop upgrade gezeik. Aangezien je vooralsnog met 9x machines werkte veracht ik overigens stiekum dat je het starterpack gebruikt

[ Voor 25% gewijzigd door Jaymz op 18-04-2003 01:41 ]

[FirmPete]

http://www.knipex.de/katalog-e/schneid/schneid16.htm

Als je gebruikers local admin zijn valt er voor de rest weinig te doen.

[Grolsch]

en als de gebruikers hoofdgebruiker zijn dan? werkt het dan ook niet?

Je maakt users geen local admin, dat WIL je niet.

kunnen ze zelf hun harddisken formateren, apparaten installeren, netwerk instellingen aanpassen etc. etc.

[RammY]

Sc0rPi0N schreef op 14 April 2003 @ 13:44:
[...]


We werken hier met Novell 5 via een NAL scherm.
De gebruikers krijgen de voor hun bestemde applicaties te zien.
En applicaties werken met snapshots waardoor de applicaties geïnstalleerd worden. Omdat er sommige applicaties zijn die in het register willen schrijven lukt dat dus niet.

En omdat we geen problemen hebben als ze lokaal admin zijn, hebben we daarvoor gekozen.

En jij denkt dat dat niet gaat werken met gewone users??? Dat heet policies. Als ik dat zo zie is jullie server nogal hackgevoelig. Novell 5 is zo geavanceerd dat je alles maar dan ook alles kunt doen op gebied van users.
Nu snap ik dat je nie de hele server opnieuw wil configgen voor dit probleem maar kijk es bij de workstationpolicies. Daar kun je het denk ik wel instellen.
* RammY is ook bijna NCSA