שלום רב לכולם,

ברשותי רשת של DC מסוג WIN 2008 R2

ו400 תחנות עבודה, שעליהם מותקן WIN7

לאחרונה בוצע הקמת דומיין חדש, ויצירת משתמשים חדשים, חיבור המחשבים מדומיין יש לחדש

כעת כאשר המשתמשים מתחברים למחשבים הם אינם מצליחים לבצע פעולות של שמירת/עריכה/מחיקת קבצים מכונן C

(למרות שמבחינת GPO אין הגבלה לגשת לכונני C)

בחשבון אדמין כן ניתן...

רק לאחר שאני נותן פיזית הרשאות ליוזר של שליטה מלאה על כונן C (או חלק מתקיות שלו) רק אז הוא מצליח

הדבר מאוד מפריע מאחר ובתחנות העבודה מותקנים תוכנות בהם נעשה שימוש, ותוכנות שדורשות הראשות של כתיבה בכונן C לא עובדות..

לא הגיוני שאעבור 400 מחשבים ואתן הרשאות לכול אדם בנפרד לכונן C.

אשמח לעזרה,

תודה מראש.

מה לגבי אפשרות של הוספת המשתמשים לקבוצת administrators לוקאלית על המחשב דרך GPO?

תיקון: מקריאה נוספת של הפוסט אני מבין שזה לכל התחנות עבודה בלי יוצא מן הכלל לכן לא נראה לי הגיוני לתת לארגון שלום הרשאת אדמין.

מין הסתם שהSIDים של המשתמשים הם שונים, אבל זה לא אמור להווה בעייה כאשר מדובר על ACLים של מחיצת מערכת.

בדקת מה ערכי הACE בתחנה שיש בה את הבעיה?

נתקלתי בתקלה דומה.

פתרתי את זה על ידי החלת GPO ברמת היוזר שמריץ LOGIN סקריפט מסוג BATCH.

המכיל פקודה לעריכת ההרשאות. כמובן זה מוחל ע"י ידי הדומיין ולכן רץ עם הרשאות מספקות.

שים לב להזהר לא לתת הרשאות על תיקיות חשובות שאתה לא רוצה לתת למשתמשים להתעסק בהן.

כעת כאשר המשתמשים מתחברים למחשבים הם אינם מצליחים לבצע פעולות של שמירת/עריכה/מחיקת קבצים מכונן C

(למרות שמבחינת GPO אין הגבלה לגשת לכונני C)

בחשבון אדמין כן ניתן...

ההרשאות הדיפולטיות ב-Windows 7 הן שיוזרים רגילים יכולים רק לקרוא ולא לשנות קבצים ותיקיות בכונן של מערכת ההפעלה.

לכן זה המצב גם בלי שום הגבלה מיוחדת ב-Group Policy.

הפתרון המומלץ הוא להוסיף הרשאות כתיבה, על התיקיות הרלוונטיות, לקבוצת יוזרים מתאימה (בין אם הקבוצה לוקאלית או מה-AD). לא הייתי ממליץ להוסיף הרשאות לכל C. לא הייתי ממליץ גם להגדיר את כל היוזרים כאדמינים לוקאלים. פעולות כאלה פוגעות ברמת האבטחה של המחשבים.

ניתן להוסיף הרשאות לוקאליות כאלה כהגדרת Group Policy. אין צורך ולא מומלץ להריץ batch-ים בשביל פעולות כאלה.

ב-Group Policy Management Editor:

Computer Configuration >> Policies >> Windows Settings >> Security Settings >> File System

תוסיף שם של קובץ או תיקייה לוקאליים על תחנות הקצה (למשל: C:\Bla) וערוך את ההרשאות הרצויות.