Как запретить доступ к диску?

[troublegum Профиль]

Господа такой вопрос: Есть Вин2000 или ВинХР, не суть важно, есть диск С: с NTFS, есть локальные пользователи комп. и есть пользователи домена, комп. входит в домен.

Надо сделать так чтобы некотрые комп. входящие в домен были девственно чисты (т.е никаких пользовательских файлов и папок на диске быть не должно, при этом нельзя менять "политику" домена) после того как за ними посидят пользователи домена.

Я решил эту проблему так локальные админы - полный доступ, и группа все только читение. Но это решение работает только при одном условии из прав на доступ к диску надо исключить группу System т.е. саму ОС! Хотя данное решение работет, и пользователи домена не имеют доступ к корню. Но возникает резонный вопрос: А чем вообще грозит исключение группы System? Всем кто ответит зарение спасибо!

[GifteD]

troublegum

[GifteD]

[GifteD]

troublegum
Странно, до сих пор считал, что если у пользователя права на уровне user, что по умолчанию, то писать он может только в свой профиль.
Домен в сети присутствует?

[GifteD]

[GifteD]

troublegum
Есть нюансы Перекрывает конечно, на все 100% не гарантирую но основные параметры точно, на то она и политика.
Сорри за туфталогию, но...
Мое мнение, любой пользователь должен быть зарегистрирован, если у нас нет такой возможности, мы создаем допустим пользователя для гостей с минимальными правами для системы (и не гарантируем толерантность), если политику для остальных нам менять нельзя, то все равно же можно создать дополнительную OU для такого пользователя(ей), перекрыть общую политику на неё.

[troublegum Профиль]

Хорошо, а как все это сделать через OU?

[GifteD]

troublegum
Создаешь Organizational Unit "GuestUsers"
Создаешь пользователя GuestUsers, переносишь его в это OU, назначаешь на это OU политики(у).

[Darkin Профиль]

И добавляешь их в группу "Гости домена". После них, если не принимать меры, даже профиль не сохраняется