GPO: Lokal Anmelden verbieten?

Per System Preferences sollte das imho möglich sein..

Moin,

das heisst die tragen wirklich die physischen Rechner durch die Gegend? Ganz davon abgesehen das ich einfach das Gehäuse unter Spannung setzen würde (nur ob der BR zustimmt ist fraglich) würde ich einfach am Netzwerk ne MAC-Sperre einrichten. Einfach das limit auf 1 MAC setzen und die Haltezeit auf ne Woche...

Und generell würde ich das ganze dann eher auf Leitungsebene ansprechen das Hardware nicht verändert wird (im Zweifel ist nen Kensington-Schloss dein Freund - ist aber eigentlich traurig wenn man sowas in nem Office benötigt) da du ein menschliches Problem eher nicht technisch lösen wirst.

Sofern die Hardware an Ort und Stelle bleibt sollte es der IT ja ziemlich egal sein wer wo arbeitet, auch dies ist dann ein Problem der jeweiligen Abteilungsleiter. Wenn die ihre Leute nicht am Platz halten können (oder wollen - shared office ist ja durchaus auch eine Möglichkeit) ist es ja nicht ein IT-Problem sondern ein Problem des Abteilungsleiters...

@Lem0nf0x:

Hallo.

Was ein Aufwand. Ich schließe mich @maretz an. Ich würde das schlichtweg verbieten (lassen). Dabei Führungskräfte mit in's Boot holen.

Was trotzdem wundert: Finden die denn auf jeder Kiste gleichsam auch die (Fach)Software vor, die sie brauchen? Bei uns (allerdings kleine Hütte) ginge das gar nicht, jeder PC ist unterschiedlich installiert.

Bei uns würde auch die ganze Inventarisierung (Hostname zu Seriennummer zu Raum-/Büronummer) nicht mehr stimmen nach solchen Aktionen.

Und wenn ein Verbot keine Früchte trägt, würde ich, wie ebenfalls von @maretz vorgeschlagen, MAC-basierte Portsicherheit einführen. Die würden schön blöd aussehen ohne Netzwerkverbindung. Und beim Helpdesk-Anruf kannst Du dann süffisant fragen, ob der Rechner von einem anderen Platz stammt und WARUM. Da werden dann schon Behauptungen kommen wie "ja, weil der schneller geht". Aber das kannst Du ja anhand der technischen Daten entkräften, bei gleicher Hardware sollten keine Performanceunterschiede spürbar, sondern allenfalls eingebildet sein.

Hinzu kommt der DAU-Jones-Faktor, daß (ab und zu mal) schlechtere Internetperformance nicht selten dem Rechner angelastet wird ("der geht aber langsam heute"- wenn sich Internetseiten mal nicht so schnell wie gewohnt aufbauen, so behaupten das zumindest unsere Leute hin und wieder, daß das dann am Rechner läge). Ebenso legendär: "Macht Ihr grad' was?"

So oder so, bleib' Herr des Verfahrens, Du bist die IT!


Viele Grüße

von

departure69

Aber das kannst Du ja anhand der technischen Daten entkräften, bei gleicher Hardware sollten keine Performanceunterschiede spürbar, sondern allenfalls eingebildet sein.

Naja - natürlich ist es möglich das da unterschiede sind... Denn wenn da generell die "Bewegung" relativ frei ist dann kann man natürlich annehmen das div. Einstellungen auch "frei" sind. Und dann gibts natürlich grosse Unterschiede - die nicht nur gefühlt sind. Man kann ja zB. einfach mal die Mausgeschwindigkeit auf "minimal" und auf "maximal" setzen und vergleichen wie lang man für eine Aktion benötigt... Und da ja gerne jeder seinen Rechner so anpasst wie zuhause die Wohnzimmertapete sind da durchaus Unterschiede zu erwarten...

Moin

Warum steuert ihr das ganze nicht (wirklich) einfach über den DC. Bei jedem User gibt es eine Anmeldeoption, bei der du den DNS-Namen des Gerätes eintragen musst an dem er sich anmelden kann. Das musst du einmalig bei deinen Usern hinterlegen. Es ist jetzt zwar einmalig für 400 User etwas Arbeit, aber bei neuen Usern sind das ein paar Klicks mehr. Wir machen das so und es gibt für die User keinen Weg drum herum. Dafür brauchst du kein Skript. Wenn du das für 400 User nicht machen willst, weil es dir zuviel Arbeit ist...

Du hast doch schon eine Zuordnung zwischen User und Geräten. Lese die Sicherheitsgruppen via PowerShell aus und lass Powershell die Zuordnung im AD vornehmen.

So hast du eine Kontrolle übers AD, kein Skript bei den Usern, keine Eingriff am PC, deine Service-Accounts sind davon ausgenommen (weil du dort einfach weiterhin jeden Computer erlaubst) und die User können nicht ausbrechen.

Darüber hinaus würde ich dir bei dir dringend zu Mac-basierter Portüberwachung raten. Bei uns ist es so, dass wir die Geräte einmalig freigeben, die User aber den Rechner durchaus mal selbst umbaue und verstellen dürfen. Das sollen sie aber nur nach Rücksprache mit mir machen und es klappt. So oder so: Wenn ein Rechner woanders eingesteckt wird, gibt es eine Mail. Weiß ich davon nichts, dauerts keine 2 Minuten bis ich den Anwender am Telefon habe und mich erkundige wieso der Rechner ohne Info umgestellt wurde.

Gruß
Doskias

Kannst du ja auch weiterhin machen. Du kannst ja das PS-Skript einfach alle 5 Minuten ausführen. Dann pflegst du weiterhin deine Sicherheitsgruppen und das Skript prüft ob jemand in der entsprechende Gruppe ist und fügt den Rechner, dann beim entsprechenden User hinzu, bzw. prüft ob der beim User eingetragene Rechner mit dem User in der Sicherheitsgruppe liegt.

Aber zurück zu deinem Thema: Wenn du lokal anmelden und verweigern in den Sicherheitseinstellungen richtig verwendet hast, dann sollte da ja irgendwas gehen.

Ich weiß jetzt nicht wie viele GPOs du dafür gebaut hast, aber du musst ja für jeden Rechner dann definieren, wer sich anmelden darf und wer nicht. Das heißt du brauchst ja mehr als eine GPO und für jeden Rechner auch eine eigene Sicherheitsgruppe.


In dem Fall reichen 3 Gruppen aus. Aber was ist mit User F, der sich nur an 2 anmelden soll und User G, der sich nur an 3 anmelden soll. Also wenn du das Design so aufbaust, dann denk an die Zukunft. Nicht, dass du dann nur noch am Gruppen neu anlegen bist.

So dann weiter: In deinem Fall brauchst du ja 3 GPOs. Eine die die Sicherheitseinstellung für System 1&4, eine für 5, eine für 2&3 setzt, da da ja verschiedenen Sicherheitsgruppen hinterlegt werden müssen. Also 3 GPOs, wo jeweils die Rechner per Geräte-Gruppe zugeordnet werden und in der GPO-Konfiguration in der Zuweisung die eine Gruppe bei lokal Anmelden erlauben hinzugefügt wird und alle anderen Gruppen bei lokal Anmelden verweigern abgelehnt wird. In keiner der Gruppen darf jeder oder authentifizierter Benutzer, etc. stehen. Vergiss beim Anmelden den Administrator nicht
Wie du die GPO nun auf dem entsprechenden Rechner ausführst, gibt es 2 Optionen. Sicherheitsfilter mit authentifiziertem User und einen WMI-Filter für die entsprechenden Geräte oder die authentifizierten User im Sicherheitsfilter rauswerfen, die Computer-Gerätegruppe hier hinzufügen und (nicht vergessen) in der Delegierung die "authentifizierten Benutzer" mit leserechten wieder hinzufügen.

Dann hast du kein Skript, aber ich denke wirklich übersichtlicher wird es dadurch nicht.

Gruß
Doskias