Установка и удаление программ

В домене есть пользователь user. Как разрешить ему устанавливать на собственном компе любые программы? Сейчас при запуске инсталлятора программы через некоторое время появляется сообщение: "Данная установка запрещена политикой...". Пробую следующие операции:
1. Нахожу группу пользователя и устанавливаю ему "Политику ПК"
2. Редактирую политику, пытаясь дать пользователю права на установку программ. Первое, что попалось на глаза, это ключ "Remove Add or Remove Prorgams". Включаю его.

Не помогло. При инсталляции на пользовательской машине под его учетной записью выпадает сообщение о запрете установки. Подскажите, как снять запрет.

Миниатюры

 

0

Насколько помню нужно просто задать тип пользователя в домене "Опытный пользователь" и тогда права на установку и удаление программ появятся, по умолчанию там ставится что то типа "Ограниченный пользователь".
Могу конечно ошибаться, подзабыл уже как это делал точно.

0

То есть необходимо сделать пользователя членом группы "Опытные"? Но я не могу найти ничего похожего на такую группу (в домене). На локальной машине есть Power Users. Мой юзер член этой группы, а в домене даже Administrator. Не помогает.

Добавлено через 16 минут
Добавил его в группу Администраторы домена. Тот же эффект. Причём моя учетная запись и его - полностью одинаковы. Я имею права, а юзер - нет. Возможно, эти права для юзера ещё не вступили в силу.

0

юзера перелогинивал?
rsop.msc на клиентской машине - покажет результирующие политики.
можно как то форсировать применение политики, что то тав с force связано, тоже подзабыл....

о, вот: gpupdate /force

0

Похоже всё как-то связано со временем.
Сейчас юзер имеет все права - как администратор. Хотя я удалил его на локальной машине из всех групп, кроме Users. На контроллере домена он только Пользователь домена.
При этом все программы на локальной машине инсталлируются, помня, по всей видимости, те славные времена, когда пользователь был администратором локалки и администратором домена.
Как можно принудительно актуализировать прописанные юзеру права? Например, делаю его админом и эти права применяются к нему сразу же. Затем делаю его юзером и админовские права тут же теряют силу.
gpupdate /force по смыслу очень похоже на такое "ускоренное" применение политик.

0

оно и есть...
и юзера перелогинить.

0

Сообщение от magirus оно и есть... и юзера перелогинить.

Чудеса, да и только. Выждал полчаса-час. Перелогинился пару раз. Запускал gpupdate /force на локальной машине и на контроллере домена. Пользователь на локалке - в группе Users, в домене - Пользователь домена.
И при всём при этом - программы инсталлируются, есть права на запись\чтение\удаление в папку Prorgams Files (чего изначально не было).
Такой вот непредсказуемый юзер. Правда, есть одна политика, которую я установил на весь контейнер (где прописан юзер). Если час назад у юзера не отрабатывались скрипты из этого контейнера, то теперь отрабатываются. Попробую её отключить, поскольку уже вообще неясно, что творится. В этом AD-ском королевстве.

Добавлено через 52 минуты
Чудеса продолжились.
Удалил "Политику ПК" (были в ней некоторые настройки) и форсировал gpupdate. Юзер потерял все права. Теперь он не может писать и стирать в Prorgam Files, не может инсталлировать программы. Казалось бы, всё дело было в Политике ПК. Как бы не так. Восстанавливаю вновь эту политику. Юзер остался бесправным. Форсирую gpupdate. Без изменений. Делаю юзера админом на локальной машине - эффекта нет. Пару раз полная перезагрузка машины. Бесполезно. Прошло уже минут пятнадцать. В AD-у без изменений. Сейчас сделаю юзера администратором домена. Думаю, все догадались: даже после форсажа пользователь остался бесправным!
Перезагружаю комп юзера: выключаю, жду (дописывая это сообщение) и иду включать. Думаю, эффект будет тем же: юзер будет без прав. Так и есть.

0

ну так ты RSOP смотри после каждого изменения....
пименились/неприменились политики

0

Сообщение от magirus ну так ты RSOP смотри после каждого изменения.... пименились/неприменились политики

Смотрел. И ясно видно: применились. Я в "Политике ПК" прописал несколько настроек и в результирующей они ясно видны. Неясно, почему с одними и теми же настройками/политиками юзер в одном случае имеет права на Program Files и инсталляцию софта, а в другом с точно такими же настройками - нет. Где-то "блуждает" неучтенная манипуляция. Сейчас попробую для юзера сделать отдельное подразделение полностью без настроек...

Миниатюры

 

0

После некоторых размышлений пришел к таким выводам:
1. Есть два способа устанавливать на ПК программы - запуском инстальника и через кнопку "Установка и удаление программ" в меню Пуск -> Панель управления.
2. Политика домена позволяет запретить или разрешить второй способ, не влияя на первый. Настраивается в Административных шаблонах пользователя -> Control Panel -> Add or Remove Program -> Отключить = установка будет запрещена.
3. Если пользователь не прописан на локальной машине, то для первого способа достаточно дать ему доступ на папку Prorgam Files (запись и изменения). В этом случае пользователь с правами "Пользователь домена" может устанавливать проги и писать в эту папку.
4. Если пользователь прописан на машине, то дать права его "доменной копии" невозможно, он просто не виден. Во всяком случае, у меня это не получилось.
Проблема в общем решена, хотя давать права юзеру на запись в Program Files - решение не очень хорошее.

1