Newsgroup: it.comp.os.win.win2000
Titolo: disabilitare pannello di controllo

Vorrei sapere se è possibile disabilitare l'accesso al pannello di controllo 
di un utente oppure evitare che cambi lo sfondo. Ho provato con l'account 
users ma ugualmente si riesce ad entrare e cambiare lo sfondo. Un'altra 
cosa. Con l'account users tutti files proprio tutti non sono eseguibili? 
neanche gli script? quindi in "teoria" un virus non dovrebbe funzionare con 
un account users... 



Stai parlando di un pc in un dominio oppure standalone?
-- 
Rossano Orlandini
MCSE MCSA MVP - Windows Server

> Stai parlando di un pc in un dominio oppure standalone?
pc standalone 

 pc standalone 
Users non è un account, è un gruppo speciale che rappresenta gli utenti 
registrati nel sistema. Ti giro una mia vecchia FAQ su come applicare 
delle Policy Locali con Gpedit.msc senza intaccare, ad esempio, l'utente 
Administrator:
Concettualmente una GPO (Group Policy Object) si applica agli utenti
se questi hanno l'attributo di lettura (Read) nella ACL per le
impostazioni della GPO. Di default una GPO si applica al gruppo
speciale Authenticated Users, di cui ovviamente fanno parte anche gli
Administrators.
Innanzitutto, loggati come Administrator ed imposta la tua
configurazione GPO con le cose che ti servono utilizzando lo snap-in
Gpedit.msc. A questo punto anche l'Administrator ne viene "colpito".
Ma in Windows 2000/2003 c'è una cartella nascosta chiamata
GroupPolicy sotto \Winnt\System32. Cliccando di destro su questa
cartella c'è l'etichetta Protezione e vedi i gruppi interessati alla
GPO. Occorre rimuovere (o togliere tutti i permessi, vedi tu) il
gruppo Authenticated Users, togliere la spunta al permesso Read per il
gruppo Administrators e inserire gli utenti locali e/o i gruppi di
utenti locali che ci servono in modo che abbiano almeno il permesso
Read abilitato. Così gli Administrators sono immuni e gli utenti
inseriti subiscono la GPO. Fai logoff e riloggati per vedere le
modifiche.
Una volta fatto questo, se entrando come Administrator in seguito vuoi
modificare delle altre cose della GPO e digiti Gpedit.msc ti dirà
ovviamente che non hai l'accesso per farlo. Allora devi tornare alle
proprietà della cartella in questione, metterti temporaneamente tutti
i permessi, modificare la GPO con lo snap-in e rimodificare i permessi
del gruppo Administrators togliendo il Read.
Esiste anche una comoda variante a questo procedimento, ma ti serve un
altro pc configurato in rete da cui operare. In questo caso, sul
server crei un utente amministrativo (PIPPO) e membro del gruppo
Administrators. Ti colleghi al server con quelle credenziali, apri la
MMC e quindi lo snap-in Criteri di gruppo del server remoto. Modifichi
la policy locale in base alle tue esigenze, e quindi lasci l'utente
PIPPO a "sacrificarsi" per subire i permessi della cartella
GroupPolicy. In tal caso, l'utente Administrator è sempre libero e non
corri il rischio che mentre modifichi la policy locale, soprattutto se
si tratta di parecchi valori, rimani chiuso fuori o perdi parte della
GUI.


 Administrator:
ti ringrazio dei preziosi consigli.
E' una cosa perň un po' laboriosa. Ma non esiste magari un software da 
console
che mi permette di farlo piů velocemente. Sulla macchina principale c'č XP 
pro. 



Non lavorando in dominio, l'unica console disponibile č appunto
Gpedit.msc, l'editor delle policy locali.


 GUI.
mi sono loggato al server come ammistratore (è un server xp e la rete è 
paritetica)
ho fatto MMC ma non trovo lo snap-in criteri di gruppo del server remoto. 



Start/Esegui/MMC/menu Console/Add-Remove Snap-in/Add --> Group Policy
--> cerca l'altro computer nella rete.


 --> cerca l'altro computer nella rete.
ok grazie. Domani provo. Non sono un amm. di rete ma mi tocca fare a me 
perché non c'è nessuno. Quindi
sto facendo pratica :)
Per caso hai da consigliarmi un testo magari delle dispense da scaricare 
sull'amministrazione di
reti paritetiche o cmq per gestire accessi, utenti,...con win 2000 e XP? se 
è roba da scaricare ancora meglio.
per il momento la rete funziona meglio di prima quando c'era un vero tecnico 
laureato e per giunta specializzato...se specializzato si può chiamare uno 
che come client teneva dei 98! 

 --> cerca l'altro computer nella rete.
ok adesso così funziona almeno in parte. Però collegandomi da Xp o da 2000 
devo usare l'account Administrator se ne uso un altro creato ad hoc PIPPO 
appartenente ad Administrators non funziona. Adesso pensavo che se uso 
Administrator su XP
non intacco Amministratore di XP però intaccherò Administrator dei client 
2000? 



L'utente Pippo è da creare sulla macchina a cui ti vuoi collegare,
utente membro anche del gruppo Administrators. L'Administrator in
questione è sempre quello della macchina a cui ti colleghi.


 questione è sempre quello della macchina a cui ti colleghi.
ho creato l'utente pippo sulla macchina PCX che mi serviva bloccare e l'ho 
messo
appartenente ad Administrators. Poi ho creato un utente Pippo appartenente 
ad
Amministratori anche sulla macchina dove è installato XP pro. Ho aperto la 
console, aggiunto
lo snap-in criterio di gruppo e cercato il PCX. L'ho aggiunto e fin qui 
tutto ok. Poi sono andato
a disabilitare pannello di controllo. In effetti l'utente che accede a PCX 
non può più accedervi.
Cmq se accedo con Administrator continuo a subire gli effetti 
dell'inibizione. Ho sbagliato qualche passaggio?
Altra cosa posso spegnere tutti i client da remoto in un solo colpo? pensavo 
di usare VNC...se si può
fare in altre maniere e più semplicemente mi farebbe piacere saperlo...cmq 
VNC potrebbe essere interessante
per controllare i pc in rete...che ne dici? oppure è meglio usare 
qualcos'altro? 

qualcos'altro? 
Sì, VNC è leggero e molto comodo. Ti consiglio UltraVNC, più
prestazionale.


> Ma hai controllato i permessi sulla cartella GroupPolicy?
ma devo farlo computer per computer? e loggandomi come Administrator?

ma devo farlo computer per computer? e loggandomi come Administrator?
Intendo la cartella GroupPolicy che sta sul pc che vuoi bloccare. E'
una policy locale, risiede solo là.


 una policy locale, risiede solo là.
sì l'avevo fatto però probabilmente ho dimenticato qualcosa. Cmq sul 
computer locale
(cartella GroupPolicy)
che permessi devo dare? 



Rimuovi Administrator e Authenticated Users, inserisci gli altri
utenti o gruppi a cui darai Read (Lettura).


 utenti o gruppi a cui darai Read (Lettura).
di nuovo grazie. Oggi provo.
Scusa se ti chiedo ancora una cosa dal momento che mi sembri super 
competente.
Ma queste cose per approfondirle posso trovarle su qualche manuale (magari 
online)? ho fatto un giro in libreria ma non ho trovato
niente di interessante. A parte i volumi della collana di certificazione che 
però costano un occhio!
In biblioteca mi sono preso due volumi di win 2000 della Jackson (Practical 
win 2000
server) ma sono fatti veramente male. Le cose che non servono ci sono e 
quelle che servono no! 



Io preferisco la documentazione in inglese. Su Amazon, trovi buoni
libri editi da Syngress e Sybex. Un "must" per le GPO è sicuramente
"Group Policy, Profiles, and IntelliMirror for Windows 2003, Windows
XP, and Windows 2000" di Jeremy Moskowitz.
In italiano, dai eventualmente un'occhiata alle pubblicazioni di
Mondadori-Microsoft Press, vedi qui
http://librinformatica.com/trade/productlist/458/


 utenti o gruppi a cui darai Read (Lettura).
perfetto grazie! funziona benissimo... 



Bene  :-)
Ciao!
