Запретить доступ к USB-накопителям для не-администраторов, но разрешить администраторам
Нам нужно настроить ваши системы так, чтобы администратор входил в систему для доступа пользователей к USB-накопителю (если он подключен к USB-порту), но запрещал пользователям без прав администратора.
Я нашел множество онлайн-статей, описывающих, как заблокировать или запретить пользователям использовать USB-порт для накопителей, т.е. пять способов включить или отключить доступ к USB-накопителю.
С учетом сказанного я не могу определить, работают ли какие-либо из них или все из них по всем направлениям для всех пользователей, включая пользователей с правами администратора или просто пользователей без прав администратора.
Эта запись супер-пользователя подразумевает, что этот параметр предназначен для не-администраторов, но я не совсем уверен, правильно ли я понимаю ответ. Говорится,
"... выберите группу без прав администратора"
Обычно я не администрирую Windows, поэтому я не очень хорошо знаком с тем, как работает редактор групповой политики в отношении настроек, применяемых к конкретным группам или пользователям, и т. Д. Одинаковые разрешения для файлов и папок. Все, что выходит за рамки базового разрешения / отказа, выходит за рамки моего основного опыта.
Один интригующий метод определяет настройку прав доступа к файлам для пары файлов: запретить доступ к файлам для пользователя и система. Я думаю, что этот метод был бы хорошим способом, чтобы позволить администраторам иметь доступ к файлам, при этом отказывая не администраторам; Тем не менее, я обеспокоен тем, что отказ в СИСТЕМЕ вызовет рывок в работе. Мне нужно разрешить admin / SYSTEM, а пользователю / SYSTEM отказано. Это вообще возможно?
С учетом сказанного, я был бы признателен за любую помощь. Мы используем Windows Server 2008 R2 вместе с кучей рабочих станций Windows 8 и 10.
1 ответ
Я говорил с человеком, который выполняет функции нашего системного администратора. Его намерением является создание групповой политики, которая блокирует доступ всех пользователей к USB-портам для накопителей (флэш-накопителей и т. Д.). Затем запретите доступ к этой групповой политике администраторам домена. Таким образом, когда администратор домена получает доступ к этой групповой политике, он не будет применяться к ним.
Мы ждем выходных, чтобы попробовать это на случай, если работа действительно окажет неожиданное негативное воздействие (например, блокировка всех USB-устройств, таких как мыши и клавиатуры), и проверим, работает ли она.
Я отправлю обратно с результатами, когда узнаю.