AD - запрет на съемные носители

[konstantino]

Всем привет.
Есть необходимость закрыть доступ пользователям ко всем съемным носителям. Хотелось бы сделать это через AD. Поковырялся в GPO, но раскопал только запрет либо на все носители либо на определенные буквы дисков. Конечно же это все не то. Помогите если кто знает. Заранее благодарю.

[dmitry_a]

Ответом на твой вопрос будет статья, http://www.howtodothings.com/computers/how-to-disable-usb-flash-disk-mass-storage-devices-only
А вот применение ее через АД это уже на твое усмотрение.
1. например у себя я писал для этого .adm файл благодаря чему отключаю USB устройства через групповую политику
2. можно реализовать это при помощи VBS скрипта, что мне показалось проще но было интересно написать админку.

[vAviLons]

зайди в ветку реестра HKEY_LOCAL_MACHINE -> SYSTEM -> CurrentControlSet -> Services -> USBSTOR там есть параметр DWORD под названием Start. Меняешь значение 3 на 4 и все, проблема со съемными носителями решена

[konstantino]

Ответом на твой вопрос будет статья, http://www.howtodothings.com/computers/how-to-disable-usb-flash-disk-mass-storage-devices-only
А вот применение ее через АД это уже на твое усмотрение.
1. например у себя я писал для этого .adm файл благодаря чему отключаю USB устройства через групповую политику
2. можно реализовать это при помощи VBS скрипта, что мне показалось проще но было интересно написать админку.

Можно поподробнее на счет скриптов. Еще с ними не работал.:sos:

[dmitry_a]

Dim objShell, regKey
Set objShell = WScript.CreateObject("WScript.Shell")
regKey = "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\USBSTOR\start"
key = objShell.RegRead(regKey)
If key < 4 Then objShell.RegWrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\USBSTOR\start", 4, "REG_DWORD"

Создай VBS файл и скопируй туда этот код, сам скрипт положи в папку netlogon\script на сервере
пропиши его в групповых политиках на компьютер, хотя должен сработать и на юзера.

[konstantino]

Создай VBS файл и скопируй туда этот код, сам скрипт положи в папку netlogon\script на сервере
пропиши его в групповых политиках на компьютер, хотя должен сработать и на юзера.
Еще раз оговорюсь. Со скриптами не работал. Прикрутил к конф.пользователя - конф Windows - сценарии - вход в систему. Не прокатило. Папку netlogon\script на серваке не нашел.
По поводу как прикрутить можно поподробней.:wow:

[dmitry_a]

Ладно поехали тогда поэтапно,

Положи файл на сервер в папку netlogon(шару) или c:\WINDOWS\SYSVOL\domain\scripts
Открой групповые политики и пропиши там этот логон скрипт, в политиках компьютера (пользовательские даже не проверял, если есть желание проверь должно работать тоже)
На какой-нибудь машине gpupdate /target:computer
Reboot той машины.


p.s. компьютеры на которые данная полиника должна будет применятся обязаны находиться в OU на который она примаплена.

[Pa3ck]

Dim objShell, regKey
Set objShell = WScript.CreateObject("WScript.Shell")
regKey = "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\USBSTOR\start"
key = objShell.RegRead(regKey)
If key < 4 Then objShell.RegWrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\USBSTOR\start", 4, "REG_DWORD"

Создай VBS файл и скопируй туда этот код, сам скрипт положи в папку netlogon\script на сервере
пропиши его в групповых политиках на компьютер, хотя должен сработать и на юзера.

Как вернуть все назад? :shock:
Нужно, чтобы сменные носители заработали.
и, плз, попроще.

[PLAstic]

У тебя есть драйвер "usbstor" - запусти его.
Ветка реестра тебе дана в теле скрипта. Установи start в значение 3 или 2.
Стыдно не видеть очевидных вещей. :arr:

[Pa3ck]

Спасибо. Я случайно наткнулся на этот форум, ничуго не смыслю в администрировании. Я обычный среднестатистический пользователь ПК, которому понадобилось отключить доступ к сменным носителям. Как запустить usbstor, расширение *.sys?

[PLAstic]

Запускаешь Regedit
Ветка реестра тебе дана в теле скрипта.
Открываешь HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\USBSTOR\start
Установи start в значение 3 или 2.

[XXXandr]

Долго мучался с этой проблемой. В итоге поставил на компьютеры программу SysUtils Device Manager v1.2. Поддержка AD. Удаленная установка и управление. Да кажись она еще бесплатная. Вобщем очень доволен.

[Diesel_Ru]

Лучше через админку, на будущее будет возможность GPO гибко по подразделениям настраивать доступ.
А так КАЖДОМУ СВОЕ!:)

[Polkz]

Уменя на win 2003 не получилось после перезагрузки usb обратно доступны

[olegskala]

Вот неплохое решение на мой взгляд, у нас практикуется успешно
http://webfile.ru/3004350
Там в архиве 2 файлика, один включает доступ к съемным носителям, другой отключает, единственное неудобство - после запуска нужна перезагрузка чтоб параметры применились.

[konstantino]

C USB все понятно всем большое спасибо все получилось. Но может кто подскажет где в реестре отключается DVD-rom

[dmitry_a]

Как понять отключать ? чтобы небыло к нему доступа совсем ? CD/DVD-Rom ?

[konstantino]

да желательно тоже скриптом чтобы можно было в АД манипулировать. Очень хотелось бы.

[dmitry_a]

Все тоже самое что и с USB Store, но потребуется перезагрузка

4 = отключено
3 = включено

Option Explicit
Dim objShell, regKey, key
Set objShell = WScript.CreateObject("WScript.Shell")
regKey = "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Cdrom\start"
key = objShell.RegRead(regKey)
If key < 4 Then objShell.RegWrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Cdrom\start", 4, "REG_DWORD"

[Natalia S]

http://support.microsoft.com/kb/823732/ru

[Alexei_T]

Скрипты работают только для известных USB-накопителей, которые ранее уже вставлялись в комп, если вставляешь новую флешку - обнаружение идет как обычно, даже в том случае, если зарубить сервис USBSTOR, он опять начинает работать,
тем более все подобные команды на изменение параметров оборудования будут работать только при админских правах на компе, если у пользователя ограниченные права (что желательно делать в АД для юзеров), команды не работают - из-за недостаточных полномочий, в этом случае - если кто-то знает как запустить скрипт от имени админа - буду очень рад узнать.
и тут дело даже не в АД, а конкретно в правах юзеров - для этого попробуйте отключить и включить например ЦД-ДВД командой devcon:
devcon.exe disable *CDROM*
devcon.exe enable*CDROM*
с ЦД и Флоппи - проблем никаких, т.к. из никто не вытаскивает и не вставляет - используем команду devcon в скриптах,
а с УСБ такие номера не прокатывают,
может будут еще соображения?
предлагаю пойти по пути запрета создания нового тома при вставку УСБ-накопителя - хз как получится

Добавлено через 2 минуты
по-любому все скрипты используют системные команды, и какая разница откуда их запускать - в АД или нет - проще отработать сначала вручную

[konstantino]

Скрипты работают только для известных USB-накопителей, которые ранее уже вставлялись в комп, если вставляешь новую флешку - обнаружение идет как обычно, даже в том случае, если зарубить сервис USBSTOR, он опять начинает работать,
тем более все подобные команды на изменение параметров оборудования будут работать только при админских правах на компе, если у пользователя ограниченные права (что желательно делать в АД для юзеров), команды не работают - из-за недостаточных полномочий, в этом случае - если кто-то знает как запустить скрипт от имени админа - буду очень рад узнать.
и тут дело даже не в АД, а конкретно в правах юзеров - для этого попробуйте отключить и включить например ЦД-ДВД командой devcon:
devcon.exe disable *CDROM*
devcon.exe enable*CDROM*
с ЦД и Флоппи - проблем никаких, т.к. из никто не вытаскивает и не вставляет - используем команду devcon в скриптах,
а с УСБ такие номера не прокатывают,
может будут еще соображения?
предлагаю пойти по пути запрета создания нового тома при вставку УСБ-накопителя - хз как получится

Добавлено через 2 минуты
по-любому все скрипты используют системные команды, и какая разница откуда их запускать - в АД или нет - проще отработать сначала вручную

Не прав. После применения этих скриптов в групповых политиках у меня уже пол года не работают флешки на компах. Кроме тех на которых не применил политику. И справами я вообще не заморачивался.
В АД прописал и после перезагрузки компы уже жили без Флеш.

[Anatol_Kov]

Вот неплохое решение на мой взгляд, у нас практикуется успешно
http://webfile.ru/3004350
Там в архиве 2 файлика, один включает доступ к съемным носителям, другой отключает, единственное неудобство - после запуска нужна перезагрузка чтоб параметры применились.

Просьбочка перезалить.

[Alexei_T]

Не прав. После применения этих скриптов в групповых политиках у меня уже пол года не работают флешки на компах. Кроме тех на которых не применил политику. И справами я вообще не заморачивался.
В АД прописал и после перезагрузки компы уже жили без Флеш.

Как я понимаю, с помощью скриптов в АД ты делаешь запрет компьютерам, а не юзерам,
но мне в идеале хотелось сделать другое - чтобы когда входишь под локальным админом на комп - всё работает, а когда заходит юзер в домен - рубится УСБ, ЦД и Флоппи. Поэтому я применял политики именно к записям пользователей АД, а не к компам АД. Единственное - я не VBS скрипты использовал, а бат-файлы с командами (какая нах разница - те же команды выполняются на откл устройств). Вообще для проверки этого, можно выполнить эти команды на компе вручную, и будет видно что под ограниченным профилем они не работают - sc stop и devcon.
А по поводу того что работает пол-года - посмотри права на компах - именно права учетной доменной записи - вероятно они админские, поэтому УСБ у тебя и отрубается. Или же второй вариант есть - попробуй вставить в комп флешку, которая ранее не вставлялась - наверняка он ее найдет, может у тебя юзеры особо и пользуются. Короче пока не вижу решения для УСБ.
Если можно - подробнее про свои скрипты расскажи (или это те, что тут предлагались ранее?), желательно выложи их, и где ты их прописываешь. А еще расскажи какие у тебя права на компах у доменных профилей (Админ, Опытный пользователь или Пользователь (ограниченный))

Добавлено через 3 минуты
Просьбочка перезалить.

да... кстати, интересно чё за файлы, перезалей пожалуйста - их нет по ссылке

[konstantino]

Alexei_T,

1)"Как я понимаю, с помощью скриптов в АД ты делаешь запрет компьютерам, а не юзерам" - да.
2)Вообще для проверки этого, можно выполнить эти команды на компе вручную, и будет видно что под ограниченным профилем они не работают.
ИМХО Работа в консольном режиме все же несколько отличается. Ведь добавив скрипт в групповые политики ты явно являешся админом домена и комп при загрузке скрипты хавает как раз плюнуть. Какой вообще тогда смысл было майкрософт добавлять работу со скриптами в гр.политиках? Для того чтоб они действовали только на админов чтоль...
3)А по поводу того что работает пол-года - посмотри права на компах - именно права учетной доменной записи - вероятно они админские.
Зачем мне вообще тогда контроллер домена если все так запущено?...Права почти у всех: Пользователи домена, Пользователи уд.рабочего стола, Операторы печати и все.
4)попробуй вставить в комп флешку, которая ранее не вставлялась - наверняка он ее найдет, может у тебя юзеры особо и пользуются.
Пользуются. Когда я это сделал на утро посыпались звонки один за одним что флеш не работает. Узеры месяц ныли и в итоге успокоились и поняли что это правильно. Флешки всякие пробывал.
5)Короче пока не вижу решения для УСБ
Решение уже есть читай полностью тему
6)Если можно - подробнее про свои скрипты расскажи (или это те, что тут предлагались ранее?), желательно выложи их, и где ты их прописываешь. А еще расскажи какие у тебя права на компах у доменных профилей (Админ, Опытный пользователь или Пользователь (ограниченный)).
Скрипты те что подсказал Dmitry_a за что ему отдельное спасибо. Кстати CD-rom я тоже везде поотключал точно также.
В групповых политиках я еще задал политики на включение если потребуется. Теже скрипты только в последней строке поменял цифры и знаки.
Если я сижу админю юзерский комп под его профилем и мне вдруг срочно понадобилась флешка (это было всего два раза за пол года). То я делаю завершение сеанса захожу под своей учеткой (не вытаскивая флешку), захожу в управление компьютером - диспетчер устройств - контроллеры ун. последов шины правой кнопкой по устройству с васклицательным знаком - выбираю удалить. Втаскиваю флешку вставляю и она работает. После перезагрузки когда я уйду она опять перестанет работать.
7)чтобы когда входишь под локальным админом на комп - всё работает, а когда заходит юзер в домен - рубится УСБ
Стоит попробывать в гр.политике админа применить скрипт на включение. А в политике пользователя отключение.

Добавлено через 3 минуты
Подробная инструкция того как сделал это я.
Если вы имеете доменную сеть и хотите отключить на определенных компюютерах доступ к FLASH и CD-rom то:

на контроллере домена нажмите пуск - программы - администрирование - Active Directory пользователи и компьютеры.(не обязательно это делать на контроллере домена. Можно войти на любой компьютер зарегестрированный в домене под учетной записью администратора домена, нажать пуск - выполнить - mmc - консоль - добавить или удалить остнастку - добавить - выбрать Active Directory пользователи и компьютеры - добавить - закрыть окно изолированных остнасток - ок)

Раскрываем домен выбираем папку в которой находятся нужные компьютеры(стандартная папка computers не подойдет). Если такой нет то нажимаем правой кнопкой по домену - создать подразделение. Пишем название новой папки в моем случае Компьютеры отд. Закуп - Ок.

Если это новая папка(как у меня "компьютеры отд.Закупа") то переместите в нее нужные ПК .

Теперь Начнем работу с групповой политикой отключения USB .

Правая кнопка мыши по папке AD в которой находятся ПК на которых мы будем отключать - свойства - появится окно - выбераем вкладку Групповая политика - создать - вводим имя политики (в моем случае "Откл.USB") (Нажав кнопку свойства можно гибко настроить применение политики на ПК) - выделяйте свою политику и нажмите кнопку Изменить - появится Редактор объектов групповой политики.

Входим в Конфигурация Компьютера - Конфигурация Windows - Сценарии (запуск/Завершение) - Автозагрузка - нажимаем кнопку добавить - обзор - в появившемся окне создаем текстовый документ - называем его как нужно(у меня откл.USB) - раскрываем его и вставляем такой текст:


Dim objShell, regKey
Set objShell = WScript.CreateObject("WScript.Shell")
regKey = "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\USBSTOR\start"
key = objShell.RegRead(regKey)
If key < 4 Then objShell.RegWrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\USBSTOR\start", 4, "REG_DWORD"

Этот текстовый документ сохраняем с расширением VBS там же - выбираем наш vbs скрипт - открыть - ок - ок. Закрываем все окна.

Теперь если вы все сделали правильно то доступ к флеш носителям на компьютерах находящихся в папке (как у мена "компьютеры отд.Закуп") AD будет закрыт после их перезагрузки.
С отключением CD-rom все то же самое только вставляем в текстовый файл такой текст:

Option Explicit
Dim objShell, regKey, key
Set objShell = WScript.CreateObject("WScript.Shell")
regKey = "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Cdrom\start"
key = objShell.RegRead(regKey)
If key < 4 Then objShell.RegWrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Cdrom\start", 4, "REG_DWORD"

Точно также можно сделать групповую политику на включение Флешек текст:

Dim objShell, regKey
Set objShell = WScript.CreateObject("WScript.Shell")
regKey = "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\USBSTOR\start"
key = objShell.RegRead(regKey)
If key = 4 Then objShell.RegWrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\USBSTOR\start", 3, "REG_DWORD"

И включение на CD-rom текст:

Option Explicit
Dim objShell, regKey, key
Set objShell = WScript.CreateObject("WScript.Shell")
regKey = "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Cdrom\start"
key = objShell.RegRead(regKey)
If key = 4 Then objShell.RegWrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Cdrom\start", 3, "REG_DWORD"


Для точности на тестовом компьютере включенном в домен в CMD вводим gpupdate(обновление гр. политик компьютера и пользавателя. Можно обновлять политики по отдельности gpupdate:computer и на пользователя gpupdate:user), обычно это не требуется.

Anatol_Kov
olegskala дал два файлика VBS с точно таким же текстом скриптов как и от Dmitry_aI

[PLAstic]

Позволю себе подытожить.
konstantino прав в том, что скрипты отрабатывают на ура при входе в домен. Политики применяются не от учётной записи (УЗ) пользователя, что позволяет им применяться без предоставления админских прав пользователям. Под какой конкретно УЗ - повод порыть сайт микрософт.
Служба usbstor отвечает именно за съёмные носители и отрубает их все. А как мы знаем - отрубленная служба будет отрублена для любой УЗ. Т.е. вариант "..., а зашёл под админом - работает" не проходит. Либо не работает для всех, либо работает для всех. Желающие практики могут попробовать такое развитие событий:

устанавливаем тип запуска службы в Авто (это 4, кажется)
net start usbstor

Если это прокатывает, можно вставить в логон-скрипт администратора. Но что-то мне подскажывает, что net start ругнётся.

Хочется разделения по пользователям - покупайте DeviceLock. Кстати, в Windows 7 обещают такие возможности интегрировать.

[Alexei_T]

Alexei_T,

..Права почти у всех: Пользователи домена, Пользователи уд.рабочего стола, Операторы печати и все.

Спасибо, буду пробовать, но все-таки вопрос по учетным записям:
Уч.записи АД - это понятно - они Пользователи домена, Пользователи уд.рабочего стола, Операторы печати....
Но какие права даны доменному профилю конкретно на станции, входящей в домен? Я поэтому и хотел уточнить.
Это происходит так: когда вводишь комп в домен, в АД соответственно подготовлена уч.запись пользователя - это всем понятно - она может состоять в АД в группах Пользователи домена, Пользователи уд.рабочего стола, Операторы печати... и т.д.,
но при создании профиля на компе в диалоге возникает вопрос - какие права дать этому пользователю - Админы, Опытные пользователи и Пользователи (это ограниченные) - просто наверно никто особо не обращает внимания на этот диалог.
Но суть в том, что если дать этому профилю права админа, то ОН НЕ БУДЕТ АДМИНИСТРАТОРОМ ДОМЕНА, а будет администратором на этом конкретном компе, и будет иметь на нем все соответствующие права, не зависимо от того в какой группе он состоит в АД. Т.е. в этом случае у него полные права на этот локальный комп, которые позволяют выполнять любые команды.
А если дать ему права просто Пользователя (т.е. ограниченные), то его права будут ограниченными при работе с устройствами и железом.

Я попробую предложенные скрипты, спасибо что выложили, потом отпишусь.

Мы так же пробовали это делать с помощью административных шаблонов, там используются те же команды VBS в скриптах - и это работает через раз - при следующей перезагрузке флешки видны

Добавлено через 26 минут
[QUOTE=PLAstic;2671798]Позволю себе подытожить.
konstantino прав в том, что скрипты отрабатывают на ура при входе в домен. Политики применяются не от учётной записи (УЗ) пользователя, что позволяет им применяться без предоставления админских прав пользователям. Под какой конкретно УЗ - повод порыть сайт микрософт.
Служба usbstor отвечает именно за съёмные носители и отрубает их все. А как мы знаем - отрубленная служба будет отрублена для любой УЗ. Т.е. вариант "..., а зашёл под админом - работает" не проходит. Либо не работает для всех, либо работает для всех. Желающие практики могут попробовать такое развитие событий:

устанавливаем тип запуска службы в Авто (это 4, кажется)
net start usbstor

Если это прокатывает, можно вставить в логон-скрипт администратора. Но что-то мне подскажывает, что net start ругнётся.

Хочется разделения по пользователям - покупайте DeviceLock. Кстати, в Windows 7 обещают такие возможности интегрировать.

Вариант опробован такой:
если рубишь usbstor, то она будет отключена, пока ее не включишь снова. Мы делали это командами sc stop usbstor и sc start usbstor.
Тогда соответственно меняется параметр в реестре, указанный в предложенных konstantino скриптах. Команды мы вставляли соответственно в сценарии на вход и выход локального админа на компе, в bat-файлах - решили пока отработать в локале. Все работает номально, но когда вставляешь новую флешку (которая ранее не вставлялась в этот комп), то он ее находит как обычно, и служба переходит в рабочее состояние. Можно проверить это командой sc query usbstor.
Короче буду снова пробовать скрипты через сценарии АД, но честно говоря, не вижу разницы откуда вызывать команды изменения реестра - главное - это права на их выполнение, а самые главные права у локального админа на конкретном компе

Добавлено через 39 минут
Alexei_T,

1)"Как я понимаю, с помощью скриптов в АД ты делаешь запрет компьютерам, а не юзерам" - да....


Мы попробуем эти скрипты, спасибо что выложил. Но мы пробовали еще давно аналогичный вариант в АД, так же как ты писал - абсолютно. Только скрипты были не VBS а прописывались командами в BAT-файлах - отключение CD, Floppy. Это сработало один раз, и после следующей перезагрузки приводы опять были видны.

[Alexei_T]

Alexei_T,

1)"Как я понимаю, с помощью скриптов в АД ты делаешь запрет компьютерам, а не юзерам" - да...

Попробовали - результат:
скрипты естественно срабатывают только после перезагрузки, т.е. во время работы юзер может вставить флешку, которая ранее не вставлялась (например, пришел в контору чел со своей флешкой в гости), комп ее обнаружит и можно списать информацию.
Конечно после перезагрузки комп ее видеть не будет даже если вынуть-вставить заново - т.к. сработал скрипт. Т.е. - утечка инфы, следовательно - не вариант. (я уже писал ранее - попробуй флешку которая еще не вставлялась и комп ее найдет). с CD, Floppy без проблем (т.к. их никто не дергает и не вставляет новые).
еще - сложности с включением USB под админом - помогает только изменение реестра (параметры указанные в сообщениях - с 4 на 3) - это не очень удобно особенно при наличии более 100 станций в домене.
следовательно - не вариант.
Предлагаю пойти по пути запрета создания новых логических дисков и томов, т.к. при вставке любого устройства создается новый лог.диск.
думаю этим можно убить сразу трех зайцев - и USB и CD и Floppy.
Может у кого-то будут соображения по такому варианту? Например как отключить службу, отвечающую за создание логических дисков или томов

[dedmit]

А нужно именно через АД? можно использовать сторонние утилиты например SecureNT

[Alexei_T]

Естественно можно использовать сторонние программы, но это стоит денег. А при наличии большого количества станций выходит кругленькая сумма. Тем более все эти проги используют те же системные службы, политики и функции. Просто надо найти какие.

[Alexei_T]

Позволю себе подытожить.
konstantino прав в том, что скрипты отрабатывают на ура при входе в домен. Политики применяются не от учётной записи (УЗ) пользователя, что позволяет им применяться без предоставления админских прав пользователям. Под какой конкретно УЗ - повод порыть сайт микрософт.
Служба usbstor отвечает именно за съёмные носители и отрубает их все. А как мы знаем - отрубленная служба будет отрублена для любой УЗ. Т.е. вариант "..., а зашёл под админом - работает" не проходит. Либо не работает для всех, либо работает для всех. Желающие практики могут попробовать такое развитие событий:

устанавливаем тип запуска службы в Авто (это 4, кажется)
net start usbstor

Если это прокатывает, можно вставить в логон-скрипт администратора. Но что-то мне подскажывает, что net start ругнётся.

Хочется разделения по пользователям - покупайте DeviceLock. Кстати, в Windows 7 обещают такие возможности интегрировать.


Может предыдущие способы и хороши - но минусы - отсутствует стабильность, гемор при работе профиля админа (когда нужны сменные накопители), появляются ошибки DNS, а еще думаю будет гемор при смене компа юзера - все это похоже на кустарщину, предлагаю порыться в штатных средствах.
В висте, 7 и серваке 2008 есть похожие штатные политики. Это в случае когда АД поднята на серваке 2008. Но при этом на станциях должна быть установлена ОС не ниже висты - что в нашей ситуации неприемлемо. А с ХР это не работает.
Мы попробовали другой способ - скрытие дисков. Причем работает именно для учетных записей АД, а не для компьютеров (это слишком криво). Единственный минус - диски видны в сторонних файловых менеджерах, ну в принципе можно не ставить их юзерам, или попробовать ограничить в политиках.
Но работает отлично - видны только Мои документы и сетевые ресурсы. Тогда хоть что подключай и вставляй - ничё не видно, никаких дисков, флешек и винтов. А под админским профилем все видно - это как раз и требовалось.
Делается следующим образом:
Создаем контейнер в АД (название любое - как раньше писалось выше)
Помещаем туда выбранных пользователей,
создаем политики (как писал konstantino выше)
далее в политике - конф.пользователя - адм.шаблоны - компоненты windows - проводник - скрыть выбранные диски из окна "мой компьютер".
когда юзер входит в домен под своей учетной записью в АД, то ни хрена не видно, видны только Мои документы и сетевые ресурсы.
Считаю способ оптимальный и без гемора, конечно есть единственный минус (см.выше)
можно отрубить только диски, какие надо, но только через реестр (_http://www.sovety.net/010400.php -
Запрещение различных функций и ресурсов в Windows) - можно попробовать реализовать через скрипты или в локале на каждой станции

Может будут еще предложения?

[dmitry_a]

Может предыдущие способы и хороши - но минусы - отсутствует стабильность, гемор при работе профиля админа (когда нужны сменные накопители), появляются ошибки DNS, а еще думаю будет гемор при смене компа юзера - все это похоже на кустарщину, предлагаю порыться в штатных средствах.
В чем отсутсвует стабильность ?
Гимор при работе админского профиля решается простым скриптом на OU где находятся пользователи с правами администратора.


В висте, 7 и серваке 2008 есть похожие штатные политики. Это в случае когда АД поднята на серваке 2008. Но при этом на станциях должна быть установлена ОС не ниже висты - что в нашей ситуации неприемлемо. А с ХР это не работает.


Да в windows vista, 2008 и 7, функция отключения USB устройств уже есть изначально в групповых политиках, а еще можно выборочно давать возможность подключать какие-либо флэшки по ID, что бывает довольно удобно, к сожелению, эти вкусности небудут работать на машинах под управлением windows xp.


Мы попробовали другой способ - скрытие дисков. Причем работает именно для учетных записей АД, а не для компьютеров (это слишком криво).


Ну тут каждый извращается как может, мне например, такой подход в голову бы не пришел, потому как слишком часто использую сетевый диски.
А вот основные минусы такого подхода вы описали сами, хотя есть еще несколько спорных моментов в правильности подобного решения.

Ну ,коли вам ненравятся решения скриптами, можно это реализовывать при помощи административных шаблонов, вот пример

CLASS MACHINE
CATEGORY !!category
CATEGORY !!categoryname
POLICY !!policynameusb
KEYNAME "SYSTEM\CurrentControlSet\Services\USBSTOR"
EXPLAIN !!explaintextusb
PART !!labeltextusb DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynamecd
KEYNAME "SYSTEM\CurrentControlSet\Services\Cdrom"
EXPLAIN !!explaintextcd
PART !!labeltextcd DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 1 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynameflpy
KEYNAME "SYSTEM\CurrentControlSet\Services\Flpydisk"
EXPLAIN !!explaintextflpy
PART !!labeltextflpy DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynamels120
KEYNAME "SYSTEM\CurrentControlSet\Services\Sfloppy"
EXPLAIN !!explaintextls120
PART !!labeltextls120 DROPDOWNLIST REQUIRED

VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
END CATEGORY
END CATEGORY

[strings]
category="Custom Policy Settings"
categoryname="Restrict Drives"
policynameusb="Disable USB"
policynamecd="Disable CD-ROM"
policynameflpy="Disable Floppy"
policynamels120="Disable High Capacity Floppy"
explaintextusb="Disables the computers USB ports by disabling the usbstor.sys driver"
explaintextcd="Disables the computers CD-ROM Drive by disabling the cdrom.sys driver"
explaintextflpy="Disables the computers Floppy Drive by disabling the flpydisk.sys driver"
explaintextls120="Disables the computers High Capacity Floppy Drive by disabling the sfloppy.sys driver"
labeltextusb="Disable USB Ports"
labeltextcd="Disable CD-ROM Drive"
labeltextflpy="Disable Floppy Drive"
labeltextls120="Disable High Capacity Floppy Drive"
Enabled="Enabled"
Disabled="Disabled"
Взят в http://support.microsoft.com/kb/555324

А по поводу необходимости позволить пользователям с административными полномочиями использовать флэш на компьютерах, я описал выше как выходить из такой ситуации, поставить скрипт на logon пользователя (на OU где находятся учетные записи с правами администратора).
На мой взгляд это решение более правильное, чем рубить руки(диски) у всех пользователей.

[Alexei_T]

С помощью этих адм.шаблонов уже пробовали вариант с самого начала (я об этом уже писал ранее) - эффект такой же как со скриптами - через раз и указанными ранее недостатками.
Конечно можно прописать скрипты на каждой станции для админа - но это надо бегать по всем станциям - это не вариант,
или же.... в АД как ты пишешь -

А по поводу необходимости позволить пользователям с административными полномочиями использовать флэш на компьютерах, я описал выше как выходить из такой ситуации, поставить скрипт на logon пользователя (на OU где находятся учетные записи с правами администратора).
На мой взгляд это решение более правильное, чем рубить руки(диски) у всех пользователей.

- зачем плодить еще кучу учетных записей с админскими правами в АД? - так можно и запутаться.
Для порядка на каждой станции я делаю профиль локального админа и доменный профиль (с ограниченными правами).

а по поводу:...

Ну тут каждый извращается как может, мне например, такой подход в голову бы не пришел, потому как слишком часто использую сетевый диски.
А вот основные минусы такого подхода вы описали сами, хотя есть еще несколько спорных моментов в правильности подобного решения.


Я же написал что видны сетевые ресурсы и Мои документы на станциях - а что еще нужно кроме этого рядовому пользователю?
да, недостаток есть единственный - диски будут видны в файловых менеджерах, но это можно попробовать решить - во-первых не ставить их, во-вторых есть политика - список разрешенных программ (правда я еще не пробовал ее применять).

Суть в том, чтобы не бегать по станциям, а так же не плодить в АД параметры для каждого юзера или станции, а прописать всё в политике для определенного контейнера с учетными записями - ограничить права этих пользователей при входе в домен, и все. А при входе под локальным администратором все будет работать в обычном режиме.

[Terv]

а можно ли как нибудь запретить автоматическое монтирование файловой системы?

со службами: "Диспетчер логических дисков", "Служба администрирования диспетчера логических дисков" поиграться не получиться?

[MrMischief]

надеялся увидеть хоть что то про использование утилит. :( вчера скачал SysUtils Device Manager, бесплатную версию. Вроде позволяет удаленно администрировать рабочии станции с компа администратора, то есть устанавливать запреты на устройства USB, DVD и Floppy. Единственно смущает отсутствие в сети каких либо отзывов

[Alexei_T]

Да платная прога

Добавлено через 1 минуту
У Гейтса наверно сговор с производителями подобных программ - они же тоже используют средства ОС, только мы не знаем какие - это от нас скрыто, чтобы сбить с нас бабки ))))

Добавлено через 5 минут
а можно ли как нибудь запретить автоматическое монтирование файловой системы?

со службами: "Диспетчер логических дисков", "Служба администрирования диспетчера логических дисков" поиграться не получиться?

Уже пробовали - тоже так думали - не помогает

[nw_walker]

надеялся увидеть хоть что то про использование утилит. :( вчера скачал SysUtils Device Manager,
Очень странно, что никто не упомянул DeviceLock (http://www.devicelock.com/ru/dl/) - мощнейшее средство контроля за всеми существующими видами носителей - от флешек и приводов до инфракрасных, ком-портов, принтеров и сканеров.
Можно использовать как на отдельных машинах и одноранговых сетях так и в доменных сетях. На серверах замечательно конфигурится из AD - можно настроить очень гибко доступ - есть т.н. "белые списки" - определенным пользователям можно разрешить определенные флешки. Есть отличная возможность "shadow copy" - юзеру разрешается определенный носитель, но все файлы которые юзер использовал на этом носителе копируются в определенное место, недоступное для пользователя. Но и конечно, мощнейший аудит - видно когда и кто пытался всунуть свою флешку. Пользуюсь DeviceLock уже более 4 лет - программа просто супер

[Alexei_T]

да она платная,
была бы халявная - это другой вопрос,
а если ставить на несколько сотен станций - кругленькая сумма получается