workstation manager

[Фёдор]

Есть проблема. Внедряем zen 3.2. Вопрос возник :
как запретить пользователю удалять из сетевых служб workstation manager и другие zen'овские службы. Или проверять на их наличие, и в случае отсутствия не пускать в сеть. Если я правильно понял, то если user вошел на станцию локально, то все политики установленные zen'ом
перестают действовать. Что мешает ему удалить zen' кого агента со станции и работать как хочет. Машины Win98 и 2000, где все пользователи администрторы.

[Андрей Тр. aka RH]

Если можно локально войти на станцию, да еще с правами, достаточными для удаления софта, то конечно .. тут можно и всю Виндоуз деинсталлировать, не то что агента / клиента.

А можно и у локальных администраторов обрезать права через Group Policy настолько, что даже будучи администратором не будет доступа к соответствующим системным компонентам. Про 98 ничего хорошего сказать не могу, к сожалению, т.к. везде, где только работал ( и где подобные вещи были критичны ), от нее избавлялись в первую очередь.

[Фёдор]

Может я чего не допонял, но мне казалось, что все политики от zen'а начинают действовать только в том случае, если пользователь залогинился в NDS. А если поставить галку workstation only и войти локально, то политики и остальные полезности действовать не будут. Поправьте меня. пожалуйста, если я не прав.

[Андрей Тр. aka RH]

Совершенно верно, только я так и не понял, в чем, собсно, вопрос. Если не логиниться в новелловскую сеть ( соответственно, не задействуя политики Зен и пр. ), то остается рассчитывать только на Винду. Вот ее и надо настраивать, чтобы пользователи не могли сотворить то, что нежелательно, виндовыми средствами и настраивать. При чем здесь тогда Новелл и Зен ?

Небольшая поправочка. Не "все политики Зена", а только те, что применяются по событию "логин пользователя". Некоторые политики могут применяться, например, при старте системы ( соотв. службы ), т.е. еще до логина ( политики из workstation policy package, например ). ИМХО ежели в этом случае пользователь потом залогинился только в Виндоуз, то будет применяться комбинация локальной политики и Зеновской для рабочей станции, со всеми вытекающими - надо смотреть, что будет в них перекрываться и что получится в результате ( насколько я знаю, установки из user Group Policy обычно имеют более высокий приоритет по сравнению с аналогичными установками, определенными в workstation GP ). Хотя тут надо экспериментировать, конечно.

Небольшая поправочка - 2. Разумеется, про workstation policy package можно говорить лишь тогда, когда рабочая станция импортирована в NDS. В противном случае остаются только политики, применяемые к пользователям .. и без логина в NDS они, конечно, не применяются.

[Фёдор]

С основным вопросом понятно, спасибо. Короче, как в политиках на WIN серверах. Вопрос ко второй поправке: А разве применится хоть что-то на машине, если она не импортирована в NDS?

[Андрей Тр. aka RH]

Вопрос ко второй поправке: А разве применится хоть что-то на машине, если она не импортирована в NDS?

Конечно, применится. Пользовательские политики ( те, что в user policy package ) применяются независимо от того, импортирована ли машина или нет. Импорт - это отдельный, вполне самостоятельный сервис, и никто не заставляет вас его использовать ( как и инвентори, например, remote access, доставку приложений и т.д. ).