Comment verrouiller les postes de travail tout en prenant en charge les applications existantes qui nécessitent des droits d'administrateur local ?

Vous pourriez trouver des conseils utiles dans l'autre fil de discussion sur ce sujet : Anciennes applications nécessitant des privilèges d'administrateur sous XP

Vous devriez alors être en mesure de définir les autorisations nécessaires pour le système de fichiers et le registre à l'aide d'un GPO.

Je trouve Moniteur de processus et Microsoft Boîte à outils de compatibilité des applications utile lorsqu'on essaie d'obtenir stup les anciennes applications fonctionnent. Il y a aussi LUA Buglight mais je ne l'ai pas essayé.

Pour ce qui est du verrouillage, je donnerais des droits d'administration locale aux utilisateurs qui savent ce qu'ils font et qui ne vont pas détruire des choses "accidentellement". (ce n'est que mon opinion)

Nous avons développé deux bonnes méthodes pour aider les utilisateurs sans droits d'administration :

1 . Créez un groupe avec des comptes "[user]-adm" et créez-les pour les utilisateurs puissants qui pourraient avoir besoin d'un accès. Ensuite, rendez les comptes actifs pendant quelques heures lorsqu'ils appellent pour demander les droits. Ils peuvent faire un clic droit et utiliser " RUN AS "pour installer avec des droits élevés.

2 . Nous avons créé une tâche planifiée qui charge un fichier batch au démarrage. Si un utilisateur ouvre un raccourci sur son bureau, il exécute le fichier batch (déjà en mémoire pour éviter les mots de passe en open-txt) et l'ajoute au groupe local-admin. Un email est automatiquement envoyé au helpdesk, et une minuterie démarre qui ne le garde actif que pendant une heure. Le ticket du service d'assistance suit l'utilisation, de sorte que tout abus est enregistré. Cette solution a bien fonctionné, mais la première option ci-dessus est plus facile à supporter.

Je pense que vous ne connaissez pas vraiment le fonctionnement de l'application si vous pensez que ces applications ont besoin d'un administrateur pour fonctionner. Les vendeurs de produits vous diront cela parce que c'est une excuse facile, mais c'est presque toujours faux. Je travaille dans un environnement DOD et nous n'avons jamais donné à qui que ce soit des droits d'administration sur leur système, car il y a toujours des moyens de les contourner. Je finis généralement par utiliser Processus Monito r que de nombreuses personnes ont mentionné, mais vous devriez également envisager de lire les documents suivants Le blog "non-administrateur" d'Aaron Margosis Il est consacré à la manière de surmonter ces problèmes et de toujours utiliser le compte le moins privilégié. Je recommande également d'écouter le Podcast Least User Access (LUA) de Microsoft Technet Radio en abordant ce sujet avec Aaron Margosis. Aaron semble avoir un nouvel outil appelé LUA Buglight 2.0 qui est censé aider à surmonter les exigences de la candidature, mais honnêtement, je ne l'ai jamais utilisé.

Accès du moindre utilisateur (LUA)