Господа!

Есть такая необходимость. Стоит вин хр, работает на ней юзер. Надо сделать так, чтобы он мог только ткнуть два ярлыка на раб. столе и больше никаких действий с системой он произвести не мог.

Как можно сделать это наиболее безболезненно? [Ответ]

djRome Дык создай в xp пользователя с определенными правами. [Ответ]

djRome руками настроить sequrity policy. [Ответ]

LittelBigFace прав так проще [Ответ]

Приведется повозиться с Групповыми Политиками и Локальными политиками безопасности , может еще и оболочку какую-нибудь другую прикрутить вместо explorer`a .
Все зависит насколько надежно ты хочешь изолировать пользователя от системы , и какого пользователя хочешь изолировать .
В принципе некоторые ограниченные группы уже встроены в системе , можно начинать с них . [Ответ]

Я хочу чтобы он даже кнопку пуск надавить не смог.

Все что ему можно сделать - открыть две-три программы с рабочего стола и закрыть их. [Ответ]

djRome
ПРимерная схема работы .
1) Создаешь специального юзера с админскими правами .
2)Логинишся под ним
3)Запускаешь secpol.msc , и начинаешь работу с того что создаешь политики ограниченного использования программ ,
устанавливаешь "Не разрешено" по умолчанию , потом создаешь дополнительные правила лучше хеша для программ которые надо запускать , и выставляешь им Неограниченный .
Не забудь поставить В ключе "ПРинудительный " Политики ограничения использование программ выстави применять политику ограничения ко всем кроме локальных админов .

4)Потом настраиваешь все в Локальных политиках Назначение прав пользователей тут например можно задать запрет на выключение компа этим пользователем если нужно конечно .
Ну и посмотри что интересного в в Параметрах безопастности .

5)Далее запускаещь gpedit.msc , и в административных шаблонах пользователя ( именно пользователя а не машины ) наводишь шмон , ну например отключаешь доступ к Control Panel , убираешь контексные меню , Пункт программы из меню Пуск ( саму кнопку отключить по моему не удастся , но от этого ничего не изменится там все будет пусто )
И далее по списку .Настраиваешь все что найдешь там , и что тебе нужно .
6)Ограниченние работы со сменными носителями делается через оснастку mmc Управление сьемными носителями .
Где данному юзеру надо запретить любой доступ , выставляешь запрещение на конкретного пользователя .
7)
Если диски в NTFS то с ними проблем нет .Выставляешь запрет этому пользователю на диски , и на реестр( кроме личных веток ).

8)Выходишь . Входишь под другим администратором и изменяешь тип пользователя на guests или users /

PS ничего из этого ты не сделаешь если у тебя XP HOME /
[Ответ]

О, спасибо. Такого ответа я и ожидал.
Будем пробовать. [Ответ]

^^^up^^^ [Ответ]

zic а как сделать, что бы эта политика с сервера грузилась? (на сервера настройки, а все остальные грузят) [Ответ]

Zexes[LT]
Во первых что ты понимаешь под сервером ?
Серверную версию Windows в сети ?
В рабочей группе этого сделать нельзя .
Придется поднимать домен. [Ответ]

zic сервер DNS и т.д., сеть с доменами естественно.

Zexes[LT] добавил [date]1076415398[/date]:
P.S. все пользователи лежат на серваке [Ответ]

Ап :roll: [Ответ]

Zexes[LT]
Под доменом вообщето имелось ввиду наличие ADS а не DNS
На контроллере домена присутствует Group Policy Management Console , с ее помощью необходимо создать GPO (тобишь обьект групповой политики )Далее необходимо назначить GPO конкретной группе безопасности , сайту, домену или организационной единице.Те к группе пользователей или компьютеров в твоем случае .
Как отредактировать содержание GPO под свои нужды должен догадаться сам .
Ничего в этом трудного нет . [Ответ]

zic хм. я пробовал так в консоле (MMC) добавлял GPO (Add snap in), выбирал GPO default for domain, привязывал к нашему домену, настраивал, но нефига Могет и сервак надо было перегрузить (попробую).
А вообще, zic, спасибо за ответы Сорри за ламерные вопросы, но пока молодой надо учиться [Ответ]

Zexes[LT]
попробуй secedit /refreshpolicy (для 2k )
или gpupdate для 2k3 [Ответ]

zic гм, такая хрень - если переустановить систему - то все работает (переустановил на одной машине), а на старых по-прежнему не схватывает

Zexes[LT] добавил [date]1077626525[/date]:
это не случайность - переустановил ещё на одной - тоже схватила ) [Ответ]

Zexes[LT]
Хех, но и я не телепат.
Попробуй вывести -ввести оставшиеся машины в домен заново. [Ответ]

zic так, все разобрался, теперь вот какая задача:
профиль перемещаемый (храниться на сервере), при входя на комп. он создает папку с профилем в Doc & Set, и при выходе папка остается, как сделать, что бы он не создовал папку, или может, что бы при выходе/входе удалял его. [Ответ]

Uplink [Ответ]

ДА все также.

Computer Configuration\Administrative Templates\System\User Profiles

Delete cached copies of roaming profiles [Ответ]