gpedit & win XP

[Plettro]

Ciao ragazzi!
Stavo smanettando dentro il mio XPpro...cercando uno strumento col quale creare un utente del PC (io sono amministratore) senza permessi di installazioni, nè diritti di modifiche al sistema, al desktop...insomma un utente ristrettissimo.
Ho trovato gpedit.msc (uno snap in della console mmc) e, così per prova e per il divertimento di vedere magari il tasto dx disabilitato...o il menu start striminzito...ecc...ho cominciato, loggato con questo nuovo utente creato, a togliere questo e a disabilitare quello.
Risultato: mi sono trovato con soddisfazione il mio utente super-ristretto, MA è chiaro che basta rilanciare gpedit per ripristinare tutto. Quindi mi sà che non è questo il modo!!
Al contrario, se tolgo anche la visualizzazione del menu "esegui"da start, e riaccedo a quell'utente dopo il riavvio...non posso più rilanciare gpedit e modificare nulla!!
Allora mi chiedo: come posso io, amministratore del mio PC creare un utente, impostare le restrizioni che mi pare e poi, visto che ne ho diritto, tornare a renderle più soft ???
CIAO

[kadosh]

Il Group Policy Editor lo può lanciare solo un admin o chi ha diritti amministrativi, altrimenti che policy sarebbe
Se crei un utente con restrizioni, esso non potrà fare nessuna modifica a se stesso se sarà un normale user, solo l'admin potrà ripristinargli i privilegi di cui ha bisogno

[Plettro]

Intanto ti ringrazio della risposta che, ricevuta da un guru come te, ho analizzato parola per parola.
Penso di seguirti nel ragionamento ma mi/ti/vi chiedo
1) gpedit è lo strumento giusto per il mio scopo?
2) come faccio in questo caso a creare le mie restrizioni AD UN DETERMINATO utente? ...se accedo come lui...non funziona sia per quello che ho già detto, sia per le implicazioni logiche sintetizzate da Kadosh...MA se accedo come amministatore le modifiche fatte con la console me le ritrovo pari pari sul mio profilo di amministratore!
...in sintesi non ho trovato un modo di dire al mio PC "io sono l'amministratore e tu devi aplicare queste determinate restrizioni solo all'utente pincopallino!"
Comunque AUGURI di Pasqua a Kad & a tutti voi del forum!!

[Plettro]

Beh, nessuno conosce la console "criteri di gruppo" di XP?...proprio nessuno...? :-(
...o comunque un metodo alternativo per creare una multiutenza su XP e decidere i permessi di questo e di quello!
Ciao!

[kadosh]

Vai negli Strumenti di Amministrazione ed apriti da lì i Criteri di Impostazione Locali, servono per lavorare in WG ed applicare specificatamente le policies di volta in volta.

[Plettro]

direttamente dagli strumenti di amministrazione/criteri di impostazione locale dici eh? ...mmm...bene ci lavorerò al più presto ...sono curioso
Scusa l'ignoranza...ma che vuol dire WG ?!?
e poi questa console la posso aprire solo da utente amministratore ...e da lì impongo le varie utenze, vero?

[Nicola]

Scusa l'ignoranza...ma che vuol dire WG ?!?

WorkGroup, Gruppo di Lavoro di una LAN

e poi questa console la posso aprire solo da utente amministratore ...e da lì impongo le varie utenze, vero?

Sì.

Ciao

[Plettro]

Ciao Nicola, grazie anche a te!
Mi permetto di continuare a chiedere qualcosa in merito, visto che non trovo molte informazioni sul web.
Nei criteri di protezioni locali ho guardato...ma ragazzi...non c'è paragone tra le cose che si possono limitare lanciando da start il comando "gpedit.msc" (in XP!) e andando per esempio nella scheda "configurazione utente - Modelli amministrativi" rispetto a quello che ho trovato dove dite voi ! :-(
Posso far sparire tutte le icone del desktop...disabilitare l'accesso a esplora risorse...al pannello di controllo...posso addirittura togliere il pulsante "spegni computer" ...insomma una pacchia per chi come me vorrebbe creare un utente apposta sul proprio PC che non possa fare danni ma solo eseguire poche cose prestabilite.
Forse non vedo io il nesso tra i due strumenti...ma se qualcuno può/vuole provare e discuterne con me è bene accetto.
Ciaooo

[kadosh]

Plettro, non vedo il problema che poni. Le limitazioni di cui parli non vengono create per macchine che si trovano in un WG, dato che solitamente ogni utente di una suddetta macchina ne è anche Administrator; solo in un contesto di Dominio entrano in gioco, ma entra in gioco anche il Security Policy Domain, e con esso il GPO ( Group Policy Object ) e le personalizzazioni che vuoi far tu si fanno dal Server sul dominio, e tutte le macchine che ne fanno parte le erediteranno al Logon dell'utente, se esso risponde alle caratteristiche delle policies.
Non ha senso creare limitazioni in locale in un WG, dato che se ogni utente è anche un admin, se le può cambiare quando vuole.
Spero il discorso sia più chiaro, byezzz

[Plettro]

Kad, io non sto parlando nè di un workgroup nè di un dominio...io sto parlando del mio PC (che non è in rete) e che con XP posso gestire in multiutenza, cioè creando più profili utente (selezionabili al login all'avvio)ognuno col suo nome e ognuno col suo desktop...le sue proprietà ecc...
Parlo quindi della gestione locale di una singola macchina...
Vorrei creare un utente apposta per un bambino che vuole/deve solo giocare ma anche mantenere un utente amministratore che invece fà quel che vuole!!
Non l'ho sognato, l'ho visto nel laboratorio di informatica che ogni tanto frequento nella mia uni, lì ci sono macchine (non in rete tra loro)perennemente loggate con un profilo utente ristrettissimo (premi start.. e vedi solo il pulsante programmi, per intenderci...premi il tasto destro su un punto del desktop e lui ti dice che volevi violare una restrizione e devi contattare l'amministratore di sistema...tanto per dirne un'altra).
Ecco, io volevo divertirmi (e mi tornerebbe anche utile in famiglia) a ricreare una situazione analoga per un determinato utente del PC
Ciauzz ;-) e grazie !!

[kadosh]

Non riesco a capire dove sia il problema. Se ti crei tanti utenti quanti ne vuoi e poi li personalizzi, sia usando la nuova veste grafico di XP dal pannello di controllo con Utenti e gruppi, sia dalla MMC con i vari prodotti esistenti non mi sembra così problematico, ma forse non ho capito bene il problema.

[Plettro]

Il "problema" è che se creo un utente dal pannello di controllo come dici tu..non riesco da lì a imporre tutte le numerosissime restrizioni che ti metterebbe a disposizione gpedit...
...e se riavviando provo a impostare qualcosa direttamente loggato col nuovo utente la cosa perde di significato, come hai già sottolineato.
Siccome sò di esprimermi male...provo a riassumere il problema:
come si fà da amministratore del mio PC (che non volevo confondere ;-)con amministratore di sistema in una rete sorry) a creare un utente ristretto e scegliere quali restrizioni applicare, sfruttando la console criteri di gruppo- modelli amministrativi ??? E' uno strumento potente (provare per credere) MA non potevano mettere un menu dove scegliere a chi applicare le modifiche apportate azz!!!
Kad ti ringrazio davvero della pazienza e del tempo...
Ciao

[piercing]

plettro... io non riesco a capire...

ipotizziamo che tu sei l'amministratore...

come amministratore crei quanti utenti vuoi.... e ognuno di questi utenti che crei li puoi associare ad un gruppo predefinito.

Mi pare che il gruppo USERS sia proprio quello che fa il caso tuo.

Quindi crei l'utente BAMBINO, lo associ al gruppo USERS (e non Administrators) e BAMBINO potrà fare molto poco... senza che ti metti a giocare con le policy.

Un gruppo non è altro che un insieme di policy predefinite.

Ciao...

[Plettro]

Ok, ho capito il suggerimento...creo l'utente...lo assegno a un gruppo predefinito...questo gruppo ha policy predefinite che magari mi vanno pure bene e quindi il problema (quello che vedo solo io purtroppo) è risolto.
Allora propongo una domanda in modo diverso ma secco: qualcuno conosce (e usa) il comando "gpedit.msc"? Qualcuno sà indicarmi che cavolo è stato inserito a fare in XP e come si può usare ?!?

[Nicola]

Ci si può modificare le policy di un gruppo, SE ti logghi come Administrator o come utente dell'omonimo gruppo

Ciao

[Andrea87]

Ci si può modificare le policy di un gruppo, SE ti logghi come Administrator o come utente dell'omonimo gruppo
Ciao

Si ma da quello che ho capito io lui attraverso gpedit riesce a modificare solo le policy dell'utente da cui ha lanciato il comando questo comporta che l'utente con le policy ristrette può tanquillamente lanciare di nuovo gpedit e modificare le proprie restrinzioni . invece lui vuole loggarsi come administrator e imporre all'utente "bambino" delle restrinzioni attraverso il comando gpedit e impedire all'utente bambino di eseguire gpedit e modificare le proprie regole.

Ora che ci penso però potresti loggarti come "bambino" modificare le restrinzioni, poi tornare administrator andare nel file gpedit.msc e renderlo eseguibile solo dall'administrator. Il fatto è che paradossalmente lo so fare su linux ma nn so come si fa su windows

[Nicola]

Ora che ci penso però potresti loggarti come "bambino" modificare le restrinzioni, poi tornare administrator andare nel file gpedit.msc e renderlo eseguibile solo dall'administrator. Il fatto è che paradossalmente lo so fare su linux ma nn so come si fa su windows

Sarebbe un po' strano che un utente possa modificare le sue policy anche se se sembrerebbe proprio così anche se nn sn sicuro (mai provato).

Cmq non giudicando l'apparenza dei fatti e considerando per logica che si PUO' limitare un user da Administrator l'utente poi non puo' levarsi le limitazioni.

E cmq per non far usare i file .MSC basterebbe sempre usare le restrizioni o cmq usare il filesystem NTFS

Ciao

[piercing]

Sono sicuro del fatto che Plettro abbia creato l'utente BAMBINO a propria immagine e somiglianza (e che quindi è un Administrator), ed ovviamente ogni amministratore può cambiare le policy.

Se l'utente viene creato nel gruppo giusto (e comunque NON è un Amministratore) il problema non dovrebbe più sussitere.

Partire da un utente Amministratore e settare tutte le policy è un lavorone, perchè le cose da vedere sono moltissime. Proprio per questo esistono i gruppi predefiniti, che poi magari possono essere rieditati aggiungendo e levando solo qualche flag.

Ciao

[Plettro]

Ciao,
innanzitutto...Andrea87...hai capito alla perfezione quello che voglio dire! E quello che tu sai fare su Linux è esattamente quello che vorrei mi aiutaste a fare su windows.
Decidere da solo le cose che voglio negare all'utente bambino, non sapere solo che l'utente è limitato per la maggior parte delle modifiche al sistema e alle proprietà.
Ho provato a creare un utente limitato e quindi NON a mia immagine di amministratore (Piercing avevi ragione...) e loggato così gpedit non si lancia (e quindi anche tu Nicola vedi confermato il tuo ragionamento logico).
Continuo quindi con altrettanta logica, spero: usare gpedit significa farmi ricadere addosso (a me amministratore, unico in grado di lanciarlo)questa o quella restrizione scelta senza poter indicare a chi o a quale gruppo imporla !! Bella roba!
Eppure la guida in linea cita chiaramente: "Le impostazioni di Criteri di gruppo consentono di definire i vari componenti del desktop dell'utente che l'amministratore di sistema deve gestire, ad esempio i programmi disponibili agli utenti, i programmi visualizzati sul desktop dell'utente e le opzioni del menu di avvio. Per creare una specifica configurazione del desktop per un gruppo di utenti, utilizzare lo snap-in Criteri di gruppo."
MAHH!! ...se uno si affida alla guida Microsoft è un lavorone davvero
CIAOOO

[Plettro]

Ciao,
mi permettete un up del mio thread, vero?...magari l'argomento non è dei più interessanti ma volevo riprovare a proporlo. Grazie
...tra l'altro mi sono accorto che molti dei trucchi che si leggono in riviste specializzate, agenti sul registro, sono riproducibili con gpedit...