Anmeldung deaktivieren

[ponchofiesta 10]

Hallo Leute,

 

wir haben einige PCs, die erst mit Erlaubnis des Personals genutzt werden dürfen. Derzeit haben wir dort ein Start-Passwort im BIOS gesetzt. Damit kann man die PCs aber schlecht fernwarten, weil Sie ja nicht starten ohne Passwort.

 

Gibt es vielleicht eine Möglichkeit die PCs normal laufen zu lassen aber die Anmeldung zu deaktivieren?

[NorbertFe 1.837]

Du definierst per Sicherheitsrichtlinie, wer sich anmelden darf, bzw. wem das Anmelderecht verweigert wird. Läßt sich in einer Active Directory Umgebung auch sehr schön per GPO konfigurieren. ;)

 

Bye

Norbert

[ponchofiesta 10]

Per Domäne wäre das zu unflexibel aber lokal wäre das vielleicht eine Option. Es soll ja auch nur auf einzelnen PCs greifen, nicht auf allen.

 

Fragt sich dann, ob ich das auch so hin bekomme, dass unsere Mitarbeiter das selber machen können...

[Sunny61 773]

Per Domäne wäre das zu unflexibel aber lokal wäre das vielleicht eine Option.

 

Wieso willst Du im Jahr 2011 Turnschuhadministration betreiben? Per GPO in einer Domain ist flexibler als Du mit neuen Turnschuhen je sein wirst. ;)

 

Es soll ja auch nur auf einzelnen PCs greifen, nicht auf allen.

 

Na klar, das ist eine der leichtesten Übungen. ;)

 

Fragt sich dann, ob ich das auch so hin bekomme, dass unsere Mitarbeiter das selber machen können...

 

Was sollen die selber machen können? Den PC einschalten oder via GPEDIT.MSC die passenden Rechte lokal setzen?

[NorbertFe 1.837]

Per Domäne wäre das zu unflexibel aber lokal wäre das vielleicht eine Option. Es soll ja auch nur auf einzelnen PCs greifen, nicht auf allen.

 

Deine Aussage läßt darauf schliessen, dass du die Funktionsweise von GPOs noch nicht komplett verinnerlicht hast. ;) Man kann ja wohl auch GPOs für einzelne PCs definieren.

 

Fragt sich dann, ob ich das auch so hin bekomme, dass unsere Mitarbeiter das selber machen können...

 

Ob du das hinbekommst, kann ich nicht sagen, aber warum sollten das eure Mitarbeiter selber machen können?

 

Bye

Norbert

[ponchofiesta 10]

@Sunny61

Ich kann lokale Richtlinien und Gruppen auch von ferne bearbeiten.

 

Der Wunsch des Personals ist, dass die PCs nur genutzt werden können, wenn sie es freigegeben haben. Das lösen wir halt derzeit durch das BIOS-Passwort für den Start. Damit bin ich aber unzufrieden, weil ich so jedes mal hin rennen muss um die Kisten zu starten, wenn ich mal ran muss.

 

Ergo brauche ich eine Lösung in der das Personal die einzeln freigeben kann und der PC trotzdem normal gestartet werden kann, damit ich da auch von ferne ran komme.

 

Die GPOs greifen halt nicht sofort. Außerdem hat das Personal natürlich keine Berechtigung für AD-Änderungen. Bei den Lokalen Geschichten könnte ich mir nämlich vorstellen, dass sie es mit lokalen Berechtigungen machen könnten.

[NorbertFe 1.837]

Ergo brauche ich eine Lösung in der das Personal die einzeln freigeben kann und der PC trotzdem normal gestartet werden kann, damit ich da auch von ferne ran komme.

 

Wo ist das Problem? Geht per GPO.

 

Die GPOs greifen halt nicht sofort. Außerdem hat das Personal natürlich keine Berechtigung für AD-Änderungen. Bei den Lokalen Geschichten könnte ich mir nämlich vorstellen, dass sie es mit lokalen Berechtigungen machen könnten.

 

Und warum sollten sie das "machen können", wenn man es zentral definiert? Abgesehen davon, "greifen nicht sofort" kann man ja ganz einfach lösen: PC in OU mit entsprechender Richtlinie verschieben dann booten == wirkt. Und jetzt kommst du mit deiner Lösung, die sicher ganz doll viel einfacher wäre. ;)

 

Bye

Norbert

[ponchofiesta 10]

Wie gesagt: Unser (Nicht-IT-)Personal schaltet die PCs frei. Wie sollen die an den OUs etwas ändern können ohne dass sie gleich andere Dinge kaputt machen könnten, die sie nichts angeht. Das ist doch das Hauptproblem an der Sache.

 

Ich sage ja nicht, dass meine Idee besser ist. Ich suche nur erstmal eine, die umsetzbar ist.

[lefg 276]

Ob ein User sowas umsetzen kann?

 

In den Zeiten von NT habe ich es mal so gemacht:

 

Ein Loginskript, ein Vergleich des Usernamens, Abmelden bei Unstimmigkeit.

 

Ich meine, User sind i.d.R. mit sowas überfordert.

 

Sowas oder die GPO, es ist Aufgabe des Administrators!

 

Was mich interessiert, was ist das Problem hinter dem Ganzen, wieso wollen die User, das sie anderen den Rechner freigeben, was ist der Grund dafür?

 

Falls bei uns eine Tippse meinen sollte, niemand anders oder nicht die Praktikantin dürfe an dem Rechner arbeiten, denn zeigte ich ihr wohl einen Vogel. Bei uns kann, darf, soll sich jeder authorisierte Benutzer an jedem Rechner anmelden, auch die Praktkantin am Rechner des Niederlassungsleiters. Bei uns sind alle Rechner quasi-identisch, sind weiträumig austauschbar, kaum Anpassung nötig. Hier wird nicht gespielt "Wünsch dir was", das habe ich mir und den Usern abgewöhnt..

bearbeitet 30. März 2011 von lefg

[NorbertFe 1.837]

Wie gesagt: Unser (Nicht-IT-)Personal schaltet die PCs frei. Wie sollen die an den OUs etwas ändern können ohne dass sie gleich andere Dinge kaputt machen könnten, die sie nichts angeht. Das ist doch das Hauptproblem an der Sache.

 

Ich sage ja nicht, dass meine Idee besser ist. Ich suche nur erstmal eine, die umsetzbar ist.

 

Meine ist umsetzbar. Deine eher nicht. ;)

 

Bye

Norbert

[lefg 276]

Gibt es vielleicht eine Möglichkeit die PCs normal laufen zu lassen aber die Anmeldung zu deaktivieren?

 

Die Anmeldung zu deaktivieren? Ich muss gestehen, momentan kann ich mir darunter nichts Brauchbares vorstellen. Bei deaktivierter Anmeldemöglichkeit wäre doch niemanden ein Anmeldung möglich, wäre keine GUI vorhanden, nichtmal ein Fenster zum Anmelden.

 

Ob sinnvoll oder nicht, was man machen könnte: Windows meldet automatisch einen völlig unbrauchbaren Benutzer an, an dessen GUI alles deaktiviert ist bis auf die Möglichkeit des Abmeldens, dazu Warungen und Drohungen. Es mag unerwünschte User geben, die dann aufgeben und sich verkrümeln, es nicht wieder versuchen, es wird aber andere geben, .... .

 

Dashalb die Frage, lohnt sich sowas, wofür soll der ******* gut sein?

[Sunny61 773]

@Sunny61

Ich kann lokale Richtlinien und Gruppen auch von ferne bearbeiten.

 

Natürlich, aber dann ist es IMHO einfacher gleich mi GPOs zu arbeiten. ;)

 

Der Wunsch des Personals ist, dass die PCs nur genutzt werden können, wenn sie es freigegeben haben. Das lösen wir halt derzeit durch das BIOS-Passwort für den Start. Damit bin ich aber unzufrieden, weil ich so jedes mal hin rennen muss um die Kisten zu starten, wenn ich mal ran muss.

 

Wie Norbert schon schrieb, nur bestimmte Benutzer zu Nutzung freischalten. Wenn ein Benutzer wieder freigeschaltet ist, kann man den Client booten, er zieht die Einstellung der GPO und der Benutzer kann sich anmelden.

 

Ergo brauche ich eine Lösung in der das Personal die einzeln freigeben kann und der PC trotzdem normal gestartet werden kann, damit ich da auch von ferne ran komme.

 

Siehe oben.

 

Die GPOs greifen halt nicht sofort. Außerdem hat das Personal natürlich keine Berechtigung für AD-Änderungen. Bei den Lokalen Geschichten könnte ich mir nämlich vorstellen, dass sie es mit lokalen Berechtigungen machen könnten.

 

Ich werf einfach mal das delegieren von Aufgaben in die Diskussion. Objektverwaltung zuweisen - Delegation von Aufgaben

[NorbertFe 1.837]

Wenn man das über Gruppenmitgliedschaften des Users regelt, funktionierts sogar ohne erneutes Booten. ;)

 

Bye

Norbert

[ponchofiesta 10]

Gut, dann erkläre ich es nochmal ausführlicher. Vielleicht hilft das, es zu verstehen.

 

Ich arbeite in einer großen Bibliothek. Wir haben etwa 300 ThinClients an denen die Besucher recherchieren können. Außer Büchern gibt es auch diverse CDs in unserem Bestand, die aber nicht ausgeliehen werden. Damit die Besucher diese benutzen können, gibt es die angesprochenen PCs. Diese PCs sind deutlich leistungsfähiger, mit mehr Software und größeren Bildschirmen ausgestattet als die ThinClients, was dafür sorgt, dass die Besucher sich dort gern ran setzen. Da es nur 7 solcher PCs gibt, sollen die für die Nutzung von CDs freigehalten werden. Deshalb soll die Nutzung erst durch unser Theken-Personal freigeschaltet werden können. Die PCs stehen nämlich direkt vor den Theken und die Benutzer bekommen von dort auch die CDs.

 

Und wie kann ich das nun bewerkstelligen?

[NorbertFe 1.837]

Und wie melden sich die Nutzer an einem solchen PC an? Bzw. Ist doch ganz einfach. Die sich dort anmeldenden Nutzer werden immer nur dann in eine "anmeldeberechtigte" Gruppe verschoben, wenn sich auch jemand anmelden soll. Dann greift die Gruppe und er darf sich anmelden. Ansonsten floppt ein Popup hoch und teilt dem Anmeldeversuchenden mit, dass er sich gefälligst bei der Theke melden soll. Das Ganze setzt natürlich voraus, dass pro PC ein eindeutiger Nutzer vorhanden sein müßte, da das ganze sonst umständlich werden würde. ;) Theoretisch könnte man damit sogar noch steuern an welchem der 7 PCs sich ein Nutzer anmelden darf. Also alles ganz einfach. Das einzige was du dann regeln mußt ist, das Thekenpersonal muß "irgendwie befähigt werden", dass sie für diese User die Gruppenmitgliedschaften ändern dürfen. Das ist aber mittels Delegation innerhalb des AD und einer entsprechenden Konsole (oder zur Not tuts auch ein Skript) relativ einfach zu erschlagen.

 

Bye

Norbert