7
Ordner erstellen auf C: unterbinden
Hallo,
ich habe festgestellt, das "normale" AD-User bei uns in der Domäne auf C: neue Ordner erstellen können. Dies würde ich gerne abstellen, aber das erstellen von Ordnern auf dem Desktop z.B. soll weiterhin möglich sein. Das alles am liebsten per GPO.
Hab dort bereits den Punkt "Computerkonfiguration \ Richtlinien \ Windows-Einstellungen \ Sicherheitseinstellungen \ Dateisystem" und dort %SystemRoot% für Benutzer nur auf Lesen, ausführen und ändern und für Admins Vollzugriff. Hat aber keinen Erfolg gebracht.
Hat jemand einen Tipp für mich?
Besten Dank
ich habe festgestellt, das "normale" AD-User bei uns in der Domäne auf C: neue Ordner erstellen können. Dies würde ich gerne abstellen, aber das erstellen von Ordnern auf dem Desktop z.B. soll weiterhin möglich sein. Das alles am liebsten per GPO.
Hab dort bereits den Punkt "Computerkonfiguration \ Richtlinien \ Windows-Einstellungen \ Sicherheitseinstellungen \ Dateisystem" und dort %SystemRoot% für Benutzer nur auf Lesen, ausführen und ändern und für Admins Vollzugriff. Hat aber keinen Erfolg gebracht.
Hat jemand einen Tipp für mich?
Besten Dank
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 1318480641
Url: https://administrator.de/contentid/1318480641
Ausgedruckt am: 22.11.2024 um 04:11 Uhr
7 Kommentare
Neuester Kommentar
Hi,
müssen deine User überhaupt direkt auf C: zugreifen?
Wenn nicht, setzte die GPO "Zugriff auf lokale Laufwerke vom Arbeitsplatz nicht zulassen" unter Benutzerkonfiguration > Richtlinien > Administrative Vorlagen > Datei-Explorer.
Vielleicht reicht dir das schon?
MfG
müssen deine User überhaupt direkt auf C: zugreifen?
Wenn nicht, setzte die GPO "Zugriff auf lokale Laufwerke vom Arbeitsplatz nicht zulassen" unter Benutzerkonfiguration > Richtlinien > Administrative Vorlagen > Datei-Explorer.
Vielleicht reicht dir das schon?
MfG
Dein Ansatz ist korrekt.
So machen wir's und es geht:
So machen wir's und es geht:
Hallo,
Erstell eine AD-Gruppe "C_deny", schmeiß die User rein, bastel dir einen passenden Befehl per icacls welcher "C_deny" ein Schreiben auf C verweigert - idealerweise ohne Vererbung
- und verteil per GPO.
SG
Erstell eine AD-Gruppe "C_deny", schmeiß die User rein, bastel dir einen passenden Befehl per icacls welcher "C_deny" ein Schreiben auf C verweigert - idealerweise ohne Vererbung
- und verteil per GPO.SG
Zitat von @support-it:
Hi,
müssen deine User überhaupt direkt auf C: zugreifen?
Wenn nicht, setzte die GPO "Zugriff auf lokale Laufwerke vom Arbeitsplatz nicht zulassen" unter Benutzerkonfiguration > Richtlinien > Administrative Vorlagen > Datei-Explorer.
Vielleicht reicht dir das schon?
MfG
Hi,
müssen deine User überhaupt direkt auf C: zugreifen?
Wenn nicht, setzte die GPO "Zugriff auf lokale Laufwerke vom Arbeitsplatz nicht zulassen" unter Benutzerkonfiguration > Richtlinien > Administrative Vorlagen > Datei-Explorer.
Vielleicht reicht dir das schon?
MfG
Das ist keine Option, der Zugriff muss gegegeben sein.
Habe das so nachgebaut, mein Testuser (ja, GPO ist der richtigen OU zugeordnet
) kann aber immernoch auf C: einen Ordner erstellen.
Zitat von @MaceWindu:
Hallo,
Erstell eine AD-Gruppe "C_deny", schmeiß die User rein, bastel dir einen passenden Befehl per icacls welcher "C_deny" ein Schreiben auf C verweigert - idealerweise ohne Vererbung - und verteil per GPO.
SG
Hallo,
Erstell eine AD-Gruppe "C_deny", schmeiß die User rein, bastel dir einen passenden Befehl per icacls welcher "C_deny" ein Schreiben auf C verweigert - idealerweise ohne Vererbung
- und verteil per GPO.SG
icacls werde ich mir mal ansehen, kannte ich bisher nicht (Schande auf mein Haupt)
Habe das so nachgebaut, mein Testuser (ja, GPO ist der richtigen OU zugeordnet face-wink )
Und in der OU sind Computerobjekte? face-wink )Hast Du getestet, ob die GPO ankommt? Dazu
gpresult /h %temp%\result.html & %temp%\result.htmlZitat von @DerWoWusste:
Hast Du getestet, ob die GPO ankommt? Dazu
am Client ausführen.
Habe das so nachgebaut, mein Testuser (ja, GPO ist der richtigen OU zugeordnet face-wink )
Und in der OU sind Computerobjekte? face-wink )Hast Du getestet, ob die GPO ankommt? Dazu
gpresult /h %temp%\result.html & %temp%\result.htmlPeinlich. War nur mit einer Benutzer-OU verknüpft. Jetzt mit einem Computerobjekt funktioniert es. Danke für den Hinweis.
Keine Ursache 
