Windows 2000 printerinstellingen

[Dennis]

Wij hebben hier een Océ printer staan met postbussen. Nou vinden veel gebruikers die postbussen vervelend en omzeilen dan onze instelling door de printer op print te zetten en niet op store.

Alleen dat willen wij niet, dus wil ik dat op één of andere manier beveiligen. Aangezien het is in te stellen via de printereigenschappen moeten we die dus zien uit te schakelen.

Printereigenschappen worden in het registeren opgeslagen onder HKEY_CURRENT_USER\Printers\Settings. Als je met regedt32 gaat kijken naar de machtigingen zie je administrators, de ingelogde gebruiker en SYSTEM staan met alledrie volledig beheer.

De truc is dus waarschijnlijk om de gebruiker rechten te ontnemen door de gebruikersnaam daar weg te halen en hem alleen leestoegang te geven tot die sleutel. En nu is mijn vraag: is dit schadelijk en is het zo dat als ik username xxx volledig beheer-rechten ontneem als die is ingelogd, dit ook automatisch gebeurd voor user yyy als die op dezelfde machine is ingelogd?

edit:
Ik heb met een testaccount getest of het werkt. Door de volledig beheer-rechten van de gebruiker op de key HKEY_CURRENT_USER\Printers te ontnemen kunnen ze inderdaad niks meer opslaan. Het nadeel is alleen dat je deze machtiging vervolgens nooit meer kunt toekennen, dus het is definitief.

[ Voor 14% gewijzigd door Dennis op 05-05-2003 09:44 . Reden: extra info ]

[Jiboom]

Welk OS hebben de clients? Bij win2k en XP lijkt met het niet nodig om meteen het register in te duiken, kun je ook gewoon het tabblad Security van de printer gebruiken en gebruikers het Printers Beheren recht afnemen. Bij win9x wordt het moeilijker..

Ik neem aan dat die Océ printer niet op een server geinstalleerd is? Want anders moet je daar natuurlijk de security instellen.

[Dennis]

Jiboom schreef op 05 May 2003 @ 11:37:
Welk OS hebben de clients? Bij win2k en XP lijkt met het niet nodig om meteen het register in te duiken, kun je ook gewoon het tabblad Security van de printer gebruiken en gebruikers het Printers Beheren recht afnemen. Bij win9x wordt het moeilijker..

Ik neem aan dat die Océ printer niet op een server geinstalleerd is? Want anders moet je daar natuurlijk de security instellen.

Hoewel wij ook een paar win9x clients hebben gaat het hier om windows 2000 clients, dus qua rechten is het goed mogelijk.

Wat je noemt van printers beheren-rechten afnemen: dat heb ik idd geprobeerd. En hoewel dan inderdaad de printereigenschappen en de standaardinstellingen niet meer zijn te wijzigen, kunnen gebruikers nog steeds via voorkeursinstellingen de postbus uitschakelen.

Mijn in de openingspost genoemde oplossing van volledig beheer-rechten op de printers-key ontnemen in het register is wél effectief en zorgt ervoor dat ze niks meer kunnen wijzigen . Alleen kan ik dat nooit meer ongedaan maken, en dat risico wil ik niet lopen, omdat je misschien ooit nog persé iets moet wijzigen.

[djluc]

Misschien moet je eerst alle bestaande sleutels exporteren? Dan maak je een .reg bestandje waarmee je de instellingen kunt wijzigen, en een back-up bestandje. Vind het trouwens wel vreemd dat je dit niet kunt instellen...

Werk je met active directory? Daarin kun je toch ook een hoop instellingen oninstelbaar(grijs) maken?

[Dennis]

djluc schreef op 05 May 2003 @ 15:18:
Misschien moet je eerst alle bestaande sleutels exporteren? Dan maak je een .reg bestandje waarmee je de instellingen kunt wijzigen, en een back-up bestandje. Vind het trouwens wel vreemd dat je dit niet kunt instellen...

Nee, je verwart nu regedit met regedt32. De eerste is waarschijnlijk bekender bij de meeste mensen maar met de laatste kun je rechten instellen op keys. En als ik mezelf alle rechten ontneem (inclusief het recht om rechten te wijzigen) kan ik de rechten daarna dus niet meer veranderen. En aangezien je niet in het register van een andere gebruiker kunt komen kun je dit dus nooit meer herstellen (het zit in de HKEY_CURRENT_USER).

Werk je met active directory? Daarin kun je toch ook een hoop instellingen oninstelbaar(grijs) maken?

Wij werken niet met Active Directory, maar ik heb het thuis wel en volgens mij kan ik daarmee ook niet wat ik nu graag wil.

[djluc]

Nee, je verwart nu regedit met regedt32. De eerste is waarschijnlijk bekender bij de meeste mensen maar met de laatste kun je rechten instellen op keys. En als ik mezelf alle rechten ontneem (inclusief het recht om rechten te wijzigen) kan ik de rechten daarna dus niet meer veranderen. En aangezien je niet in het register van een andere gebruiker kunt komen kun je dit dus nooit meer herstellen (het zit in de HKEY_CURRENT_USER).

Die 2 haalde ik inderdaad door elkaar.

Wij werken niet met Active Directory, maar ik heb het thuis wel en volgens mij kan ik daarmee ook niet wat ik nu graag wil.

Ben net even aan het kijken maar kan zo snel geen optie vinden in AD, nu ben ik daar ook pas een paar dagen mee bezig dus misschien weten de echte AD kenners wel een oplossing...

[Jiboom]

Met AD zou het wel kunnen volgens mij. Je kunt namelijk m.b.v. een policy registry toegang beperken tot op het niveau van afzonderlijke keys. Als je dit weer weg wilt hebben, haal je de setting in de policy weer weg en (met de goed settings) zal dit op alle pc's weer hersteld worden.

Hmm, ik zat ff te denken.. correct me if I'm wrong, maar is HKEY_CURRENT_USER niet gelijk aan een subtak van HKEY_USERS? Oftwel, als je die permissies wijzigt zoals je aangaf, kun je ze dan later niet herstellen door als lokale admin in te loggen en in de juiste key van HKEY_USERS de permissies weer te herstellen? Moet je dus wel uitzoeken wat de SID is van de gebruiker in kwestie. Je zou de permissies bij de Default User (dus keys binnen HKEY_USERS\.DEFAULT) kunnen wijzigen. Heb je niets aan voor huidige gebruikers (tenzij je het profiel weggooit), maar misschien leuk voor images ofzo..

Ik weet niet of mogelijk is, of werkt, maar is misschien het proberen waard

[Dennis]

De HKEY_USERS key in het register geeft toegang tot de HKEY_CURRENT_USER, de rest is niet toegankelijk (dus je kunt niet bij andermans profielen, ook niet als admin).