Newsgroup: it.comp.os.win.win2000
Titolo: Servizi Terminal Win 2000 Server

Vorrei far accedere ai servizi terminal di Windows 2000 Server un utente 
appartenente al gruppo "Domain Users" e regolarmente autenticato in AD.
Il client respinge la connessione con un messaggio del tipo:
"Il sistema non consente l'accesso interattivo alla sessione a causa dei 
criteri di impostazione locali".
Se includo l'utente in altri gruppi, tipo "Backup Operators" o altri con 
privilegi più ampi l'accesso avviene regolarmente.
E' possibile che un comune utente del dominio non possa accedere ai servizi 
terminal senza dovergli preventivamente assegnare privilegi maggiori ?
Grazie, Andrea

Grazie, Andrea
Certo. Occorre consentire all'utente il privilegio di accesso locale.
Se si tratta di un solo utente, la cosa piů veloce č andare nello
snap-in della Local Security del server Windows 2000 e nel menů Local
poicies/User Right Assignment aggiungere l'account dell'utente nella
policy di Logon Locally.
Ciao
Memmo

 terminal senza dovergli preventivamente assegnare privilegi maggiori ?
Oppure, a integrazione di quanto scritto da Memmo, crea un gruppo (ad
esempio "Utenti TS") e concedi a questo gruppo il diritto di logon. Poi
rendi membri del gruppo gli utenti che vuoi far accedere tramite TS.
Preferisco fare cosi' per consentire/negare in modo semplice e veloce il
permesso di accesso.
--
Ciao
Gerardo Fransecky

Vi ringrazio entrambi, le indicazioni erano precise ed ho fatto un passo
avanti.
Tuttavia mi ritrovo questo benedetto utente di dominio che accede al desktop
del server al quale vorrei impedire l'accesso ad alcui programmi,
specialmente gli strumenti di amministrazione del server.
L'utente che ha avuto accesso al server, secondo la procedura da voi
descritta, non ha alcun limite ed č potenzialmente dannoso.
Come posso fare per nascondergli risorse e programmi per renderlo
inoffensivo ?
Ho letto qualcosa sui profili, ma non so come  crearli.
Grazie di nuovo.
Andrea.


wrote:

In questo caso, devi avvalerti delle Group Policy (Criteri di gruppo,
in italiano). Ossia creare una OU (Unitŕ organizzativa) nella gestione
di Active Directory, spostare l'utente in questione e poi gestire i
privilegi e le cose che puň fare questa OU tramite Group Policy.
Spiegarlo in due righe non č semplice. Se sei a digiuno di Active
Directory, dai un'occhiata alla guida di Windows 2000 oppure leggiti
il capitolo 22 (Group Policy) del Resource Kit di Windows 2000 Server.
Ciao
Memmo

 Memmo
Seguendo le tue indicazioni, ho creato la mia unità organizzativa e,
modificando opportunamente i modelli, ho raggiunto il mio scopo.
L'utente che ho chiamato "libero" accede ad un desktop misero misero...
In pratica ho negato l'accesso alle risorse di sistema, a quelle di rete, ho
nascosto tutti i programmi eccetto Winword, Excel e Publisher.
Tutto contento mi metto a simulare un utente a lavoro e scopro che dal menu
File->Apri di Winword e/o Excel si possono tranquillamente ispezionare,
scrivere e cancellare tutte le cartelle del disco del Server.
Eppure dal desktop, tentando di accedere alle risorse del computer, un
messaggio mi avverte correttamente che l'operazione non può essere eseguita
perché l'amministratore l'ha negata.
Dove ho sbagliato ?


wrote:

Purtroppo questo è un limite delle Group Policy in ambiente Terminal
Server  :-)
Anzichè negare l'accesso diciamo alla partizione C:, esiste la voce
nelle Group Policy dove puoi nascondere i drive e poi magari mapperai
tramite script una partizione/cartella dove l'utente avrà accesso.
Oppure, alla "vecchia maniera", bisogna lavorare a livello di permessi
NTFS su file e cartelle, oppure nascondendoli e fare una policy che
impedisca all'utente di visualizzare i file/cartelle nascosti e di
sistema.
Ciao
Memmo