7
Ordner erstellen auf C: unterbinden
Hallo,
ich habe festgestellt, das "normale" AD-User bei uns in der Domäne auf C: neue Ordner erstellen können. Dies würde ich gerne abstellen, aber das erstellen von Ordnern auf dem Desktop z.B. soll weiterhin möglich sein. Das alles am liebsten per GPO.
Hab dort bereits den Punkt "Computerkonfiguration \ Richtlinien \ Windows-Einstellungen \ Sicherheitseinstellungen \ Dateisystem" und dort %SystemRoot% für Benutzer nur auf Lesen, ausführen und ändern und für Admins Vollzugriff. Hat aber keinen Erfolg gebracht.
Hat jemand einen Tipp für mich?
Besten Dank
ich habe festgestellt, das "normale" AD-User bei uns in der Domäne auf C: neue Ordner erstellen können. Dies würde ich gerne abstellen, aber das erstellen von Ordnern auf dem Desktop z.B. soll weiterhin möglich sein. Das alles am liebsten per GPO.
Hab dort bereits den Punkt "Computerkonfiguration \ Richtlinien \ Windows-Einstellungen \ Sicherheitseinstellungen \ Dateisystem" und dort %SystemRoot% für Benutzer nur auf Lesen, ausführen und ändern und für Admins Vollzugriff. Hat aber keinen Erfolg gebracht.
Hat jemand einen Tipp für mich?
Besten Dank
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 1318480641
Url: https://administrator.de/contentid/1318480641
Printed on: May 10, 2024 at 23:05 o'clock
7 Comments
Latest comment
Hi,
müssen deine User überhaupt direkt auf C: zugreifen?
Wenn nicht, setzte die GPO "Zugriff auf lokale Laufwerke vom Arbeitsplatz nicht zulassen" unter Benutzerkonfiguration > Richtlinien > Administrative Vorlagen > Datei-Explorer.
Vielleicht reicht dir das schon?
MfG
müssen deine User überhaupt direkt auf C: zugreifen?
Wenn nicht, setzte die GPO "Zugriff auf lokale Laufwerke vom Arbeitsplatz nicht zulassen" unter Benutzerkonfiguration > Richtlinien > Administrative Vorlagen > Datei-Explorer.
Vielleicht reicht dir das schon?
MfG
Dein Ansatz ist korrekt.
So machen wir's und es geht:
So machen wir's und es geht:
Hallo,
Erstell eine AD-Gruppe "C_deny", schmeiß die User rein, bastel dir einen passenden Befehl per icacls welcher "C_deny" ein Schreiben auf C verweigert - idealerweise ohne Vererbung
- und verteil per GPO.
SG
Erstell eine AD-Gruppe "C_deny", schmeiß die User rein, bastel dir einen passenden Befehl per icacls welcher "C_deny" ein Schreiben auf C verweigert - idealerweise ohne Vererbung
- und verteil per GPO.SG
Zitat von @support-it:
Hi,
müssen deine User überhaupt direkt auf C: zugreifen?
Wenn nicht, setzte die GPO "Zugriff auf lokale Laufwerke vom Arbeitsplatz nicht zulassen" unter Benutzerkonfiguration > Richtlinien > Administrative Vorlagen > Datei-Explorer.
Vielleicht reicht dir das schon?
MfG
Hi,
müssen deine User überhaupt direkt auf C: zugreifen?
Wenn nicht, setzte die GPO "Zugriff auf lokale Laufwerke vom Arbeitsplatz nicht zulassen" unter Benutzerkonfiguration > Richtlinien > Administrative Vorlagen > Datei-Explorer.
Vielleicht reicht dir das schon?
MfG
Das ist keine Option, der Zugriff muss gegegeben sein.
Habe das so nachgebaut, mein Testuser (ja, GPO ist der richtigen OU zugeordnet
) kann aber immernoch auf C: einen Ordner erstellen.
Zitat von @MaceWindu:
Hallo,
Erstell eine AD-Gruppe "C_deny", schmeiß die User rein, bastel dir einen passenden Befehl per icacls welcher "C_deny" ein Schreiben auf C verweigert - idealerweise ohne Vererbung - und verteil per GPO.
SG
Hallo,
Erstell eine AD-Gruppe "C_deny", schmeiß die User rein, bastel dir einen passenden Befehl per icacls welcher "C_deny" ein Schreiben auf C verweigert - idealerweise ohne Vererbung
- und verteil per GPO.SG
icacls werde ich mir mal ansehen, kannte ich bisher nicht (Schande auf mein Haupt)
Habe das so nachgebaut, mein Testuser (ja, GPO ist der richtigen OU zugeordnet face-wink )
Und in der OU sind Computerobjekte? face-wink )Hast Du getestet, ob die GPO ankommt? Dazu
gpresult /h %temp%\result.html & %temp%\result.htmlZitat von @DerWoWusste:
Hast Du getestet, ob die GPO ankommt? Dazu
am Client ausführen.
Habe das so nachgebaut, mein Testuser (ja, GPO ist der richtigen OU zugeordnet face-wink )
Und in der OU sind Computerobjekte? face-wink )Hast Du getestet, ob die GPO ankommt? Dazu
gpresult /h %temp%\result.html & %temp%\result.htmlPeinlich. War nur mit einer Benutzer-OU verknüpft. Jetzt mit einem Computerobjekt funktioniert es. Danke für den Hinweis.
Keine Ursache 
