[win2k3]Shutdown door client voorkomen op Terminal Server

[Brainwaste]

De titel zegt zeer waarschijnlijk al genoeg maar ik licht em nog wel even nader toe.
We hebben hier op werk een win2k domain met de nodige policys (lijkt me logisch).

Nu is het de bedoeling dat er een Terminal Server ingericht gaat worden zodat gebruikers daar op kunnen werken.
Iedereen logt in op het domain in die policyes gelden dus. Bij het inloggen op de Terminal Server werkt alles verder heel goed.
Het probleem is alleen echter dat de clients de Terminal Server af kunnen sluiten dmv "Shutdown" in het startmenu.
Dat zou ik graag anders zien omdat dit onherroepelijk problemen gaat geven als iemand al dan niet per ongeluk de server uit schakeld.
Ik zit nu alleen dus met de policys, als ik instel dat de domain users geen shutdown mogen doen werkt dit ook door op hun workstations. Dat is dus niet helemaal de bedoeling, het zou alleen voor de Terminal Server moet gelden eigelijk.

Als er iemand is die denkt dat hij of zij tips voor mij heeft hoor ik dat heel graag.

[Vavoom]

Misschien zou je iets kunnen doen met de Local Policy van de Terminal Server, dan gelden de Policy's die je daar instelt, alleen voor de Terminal Server sessies.

[Verwijderd]

als je aan een gebruiker alleen user right geeft dan kan ie alleen disconnecten en uitloggen.

[Brainwaste]

Vavoom schreef op 04 September 2003 @ 11:46:
Misschien zou je iets kunnen doen met de Local Policy van de Terminal Server, dan gelden de Policy's die je daar instelt, alleen voor de Terminal Server sessies.

Zit je er dan niet mee dat je Domain Policy je Local Policy over-ruled om het zo maar te zeggen ?

[RedRose]

Nee dit kan je in principe (het makkelijkste) alleen doen door er een GPO over de server te leggen. Daarin kijken bij: 'User Configuration' -> 'Administrative Templates'-> Start Menu & Taskbar' -> 'Disable and remove the shutdown command' -> enable

Een GPO override per default een local security policy.

.edit:

En hoe zorg je ervoor dat dat alleen op de terminal server gebeurd? Zet die server in zijn eigen container in de AD met zijn eigen group policy object, maar dat had je zelf ook kunnen verzinnen...

[ Voor 33% gewijzigd door RedRose op 05-09-2003 09:29 ]

[axis]

of inderdaad een local GPO met no-override.. (werkt dat? ben de helft alweer vergeten)

maar het knopje verwijderen is niet genoeg, je moet echt de shutdown rechten verwijderen..

edit:

ik zou een OU met 'Terminal Servers' aanmaken, en daar een GPO aan hangen, zodat als je ooit nog server toe zou voegen, hij meteen dezelfde settings krijgt.

je kan bij security policies aangeven welke users mogen shutdownen, en dan geef je daar alleen admins aan..

[ Voor 58% gewijzigd door axis op 05-09-2003 10:47 ]

[sjaak]

Zoals idd al gezegd, aparte OU met GPO. Echter als gebruikers aanloggen op een normale pc kunnen ze dus ook niet de pc uitschakelen, alleen uitloggen, CTRL-ALT-DEL en dan systeem afsluiten of gewoon de knop indrukken.

Straks geen last meer van met nieuwe Citrix-farm.

[axis]

micha schreef op 05 September 2003 @ 13:14:
Zoals idd al gezegd, aparte OU met GPO. Echter als gebruikers aanloggen op een normale pc kunnen ze dus ook niet de pc uitschakelen, alleen uitloggen, CTRL-ALT-DEL en dan systeem afsluiten of gewoon de knop indrukken.

Straks geen last meer van met nieuwe Citrix-farm.

Zoals jij het uitlegt zet je een GPO op de users, maar je hoeft alleen een GPO te leggen op die terminal server machines.. je kan dan als gewone users die terminal servers niet uitzetten (kunnen ze volgens mij default al niet, maar goed), daar merken ze op hun lokale machine niets van..

en wat heeft citrix hier mee te maken?

[sjaak]

axis schreef op 07 September 2003 @ 01:10:
[...]

Zoals jij het uitlegt zet je een GPO op de users, maar je hoeft alleen een GPO te leggen op die terminal server machines.. je kan dan als gewone users die terminal servers niet uitzetten (kunnen ze volgens mij default al niet, maar goed), daar merken ze op hun lokale machine niets van..

en wat heeft citrix hier mee te maken?

Mjah, zit wat in.. Volgens is er één OU waar users en servers in zitten waar die GPO op zit, maar is dan idd wel beetje vaag gedaan. Waar we dus eerst last van hadden was een 'uit zich zelf' uitgaande terminalserver. Even gekeken, bleek dat Shutdown nog lekker in startmenu stond . Errug slim idd. Ondertussen stappen we over op Citrix waarbij er meer en beter beveligd kan worden. That's all.

[elevator]

Citrix voegt niks (/weinig) toe aan de manier waarop je je servers beveiligd qua GPO's hoor?