Active Directory: установка программ пользователями

Здравствуйте, очень интересует один вопрос:
Надо разрешить некоторым пользователям установку программ с правами администратора, дело в том, что
Есть политика: в пользователях и в компьютерах - Адм. шбалоны -> Установщик windows -> "всегда устанавливать с повышенными правами", она работает только для пакетов msi
С другой стороны можно решить вопрос добавив этих пользователе в группу (конф. пк -> настройки -> параметры панели управления -> локальные пользователи и группы :
есть локальная группа windows "опытные пользователи", но она разрешает устанавливать только те программы, которые не влияют на реестр и файловыую систему
Есть группа локальных администраторов, которая отвечает поставленной задачи, но при этом даёт в остальном слишком большую свободу, а что самое главное, даёт право выводить ПК из домена.
Так вот вопрос: Как решить подобную ситуацию, что бы пользователь мог ставить программы с правами администратора, но при этом не мог бы изменять остальные настройки, например, параметры сетевой карты, или вывод ПК из домена.
Очень жду вашего мудрого совета, и очень прошу не писать, что нельзя давать даже некоторым пользователям прав на установку, дело в том, что сейчас это нужно сделать именно так.

0

В чем разница между "программа поменяет настройки через реестр" и "пользователь поменяет настройки через реестр"? И для того и для другого нужны админские права и только.
Нельзя давать даже некоторым пользователям прав на установку.

0

Здравствуйте, очень интересует один вопрос: Надо разрешить некоторым пользователям установку программ с правами администратора, дело в том, что Есть политика: в пользователях и в компьютерах - Адм. шбалоны -> Установщик windows -> "всегда устанавливать с повышенными правами", она работает только для пакетов msi С другой стороны можно решить вопрос добавив этих пользователе в группу (конф. пк -> настройки -> параметры панели управления -> локальные пользователи и группы : есть локальная группа windows "опытные пользователи", но она разрешает устанавливать только те программы, которые не влияют на реестр и файловыую систему Есть группа локальных администраторов, которая отвечает поставленной задачи, но при этом даёт в остальном слишком большую свободу, а что самое главное, даёт право выводить ПК из домена. Так вот вопрос: Как решить подобную ситуацию, что бы пользователь мог ставить программы с правами администратора, но при этом не мог бы изменять остальные настройки, например, параметры сетевой карты, или вывод ПК из домена. Очень жду вашего мудрого совета, и очень прошу не писать, что нельзя давать даже некоторым пользователям прав на установку, дело в том, что сейчас это нужно сделать именно так.

Добрый день,

Лучше всего вам подойдет вариант помещения пользователей в группу локальных администраторов на их компах.
При попытке вывода из домена у вас потребует пароль администратора ДОМЕНА, причем тут локадмин?
Насчет параметров сетевой карты - сделайте так чтобы пакеты отбрасывались если у мака ip не тот что задан. Или просто копайте в сторону смены IP на заданный при каждом логине пользователя.

0

Сообщение от Vanish При попытке вывода из домена у вас потребует пароль администратора ДОМЕНА

Да? а у меня не требовал... я видимо как то не по правилам делал.

0

1. msi-пакеты прекрасно накатываются посредством групповых политик
2. по поводу смены ip и вывода ПК из домена. вопрос прекрасно решается административно: ставите, во-первых, получение ip по dhcp, делаете резервацию по mac. а потом подозреваемых можно в оснастке dns отследить, менялся ip или нет. При чем тут "административно"? Потому что при обнаружении злоупотребения правами, пишется служебка начальнику нарушителя. А уж если ПК из домена выведен, то обратное присоединение исключительно по служебку начальнику от нарушителя

0