問題タブ [group-policy]

会社のドメイン コントローラを NT 4.0 から Windows 2008 Server にアップグレードしました。最初に NT 4.0 から Windows 2003 Server へ、次に 2003 Server から 2008 Server へのインプレース アップグレード パスを使用しました。元の NT 4.0 ドメインの名前はCompanyでした。新しいドメインはCompany .local です。ユーザーとコンピューターの情報が適切に移行されたことを確認しました。新しいドメインは 1 週間稼働しており、問題はほとんどありません。

私が現在抱えている問題は、一連のユーザーに対して GPO ユーザー ログイン スクリプトを設定することです。GPO を正しく設定したと思いますが、ログイン後にクライアントでスクリプトが実行されません。

調査の結果、ドメイン コントローラー \\ ServerName \SysVol\ Company .local\Policies\{GUID}\User\Scripts\Logonに直接移動すると、ログイン後にクライアントからスクリプト (バッチ ファイル) を手動で実行できることがわかりました。

ただし、私の理解が正しければ、このパスはクライアントがログイン sript を実行するときに使用されず、代わりにドメイン (フォレスト?) 名がソースとして使用されます (この場合、ドメインとフォレスト名は同じです): \ \ Company .local\SysVol\ Company .local\Policies\{GUID}\User\Scripts\Logon

クライアントからこのバッチ ファイルを手動で実行すると、「ファイルを開く - セキュリティの警告」ダイアログが表示され、クライアントが発行元を確認できないと主張します。上記の 2 つのパスは基本的に同じ場所ですが、別のパスでアクセスするだけです。

\\ ServerNameではなく \\ Company .local経由でアクセスしたときに、クライアントが独自のドメインコントローラーからのコンテンツを信頼しない理由は何か考えはありますか? 考えられる原因を探す必要がある他の場所はありますか?

アプリケーション/セキュリティ/システム以外のイベント ログで「必要に応じて上書き」設定を行うにはどうすればよいですか? 具体的には、これを Powershell および Windows Powershell ログに適用したいと考えています。また、今後追加される可能性のあるその他のログにも適用したいと考えています。これは、サーバー 2003 と 2008 の両方に適用する必要があります。

私の会社では、かなりの数のクライアント ラップトップを現場に出しています。これらのラップトップは、Windows Vista Home Edition を実行しています。

私は最近、ユーザーがシステム時刻を調整する機能を無効にする方法を見つけられるかどうか尋ねられました。

• 私が最初に考えたのは gpedit を使用することでしたが、ホーム エディションでは使用できないことがわかりました。

• 次に、使用できるレジストリ編集を探しましたが、空白を描きました。gpedit のユーザー権限関連のビットには、レジストリ設定が含まれていないようです。

システム時刻は、ラップトップで実行されるソフトウェアから自動的に調整されます。これは、ユーザーが日付/時刻を調整する機能を無効にできる方法が必要であることを意味しますが、プログラム (そのユーザーのコンテキストで実行されている) が調整できるようにする方法が必要です。

gpedit をホーム エディションで動作させる方法を知っている人はいますか?

(当社のソフトウェアは .Net ベースで、自動更新機能を備えているため、必要に応じてソリューションで活用できます)。

アップデート：

ローカル セキュリティ設定は、Vista Home エディションでも利用できません。

USB フラッシュドライブのフォーマット を無効にするスクリプトまたは設定 (自動実行ファイル) を作成できますか? (Win XP、Windows エクスプローラー > フォーマット経由)

write-protectionについては承知していますが、ファイルの変更を完全に防止したくはありません。代わりに、グループ ポリシーの設定で何ができるでしょうか?

編集：本当に私が求めているのは、USBドライブの起動時に変更して、ドライブXをフォーマットしないようにWin XPに指示できるレジストリ設定です。

すべてのユーザーに FullTrust アクセスを許可する必要があるネットワーク共有に .NET アセンブリがいくつかあります。グループ ポリシーを使用してこれを行う最善の方法は何ですか?

このユーザーが PC をシャットダウンできないことを示すグループ ポリシーがあるユーザーと一緒にローカル アプリケーションを実行しています。

そして、私はあなたのコードを使用しますが、ユーザーとパスワードで自分のアプリになりすますように頼むとき。次のエラーを受け取りました

System.Management.ManagementException: ローカル接続にユーザーの資格情報を使用することはできません

よろしく

IE6 には、オートコンプリートを有効にできるレジストリ キーが隠されていましたが、パスワードではなくユーザー名に対してのみ有効でした。

このキーは IE8 では無効になりました。ユーザー名とパスワードのオートコンプリートを有効または無効にできますが、2 つのうちの 1 つだけではありません。

私が探しているのは、ユーザー名のオートコンプリートを有効にし、パスワードのオートコンプリートを無効にする方法です。

IE8でこれを行う方法はありますか?

Windows Server 2003マシンのGPO（ユーザー構成）から構成設定を取得するWindowsアプリケーションをインストールしました。GPOは、アプリケーションに固有のいくつかのレジストリキーをクライアントのレジストリに設定します。

アプリケーションを介してクライアントマシンでこれらのレジストリ設定を変更した場合、次回ログインしたとき、またはその他の時点で、これらのレジストリ設定はGPOによって上書きされますか？

変更内容がWindowsServerのGPO設定によって上書きされないようにします。

どうすればこれを達成できますか？

Windowsグループポリシー設定「パスワードは複雑さの要件を満たす必要があります」に従って、パスワードの複雑さを強制するC＃プログラムを作成しています。具体的には、そのポリシーがローカル マシン (ドメインの一部ではない場合) またはドメイン セキュリティ ポリシー (ドメイン メンバーの場合) で有効に設定されている場合、ソフトウェアは独自の内部セキュリティのために複雑なパスワードを適用する必要があります。

問題は、その GPO 設定を読み取る方法がわからないことです。Google 検索によると、.NET Framework の System.DirectoryServices ライブラリと Windows Management Instrumentation (WMI) の 2 つの API のいずれかを使用して GPO 設定を読み取ることができますが、これまでのところ成功していません。

どんな洞察も役に立ちます。

アカウントに「サービスとしてログオン」権限があるかどうかをプログラムで確認することは可能ですか。これを手動でセットアップして確認する方法は知っていますが、C# コードから確認したいと思います。

特定のサーバーだけでなく、ドメイン レベルでこの権限が有効になっているかどうかを確認する必要があります。

編集:ユーザー「サービスとしてログオン」がドメイン グループ ポリシー レベルで定義されているかどうかを調べています。