Politicas para bloqueo de carpetas compartidas

alexisdro10 · #1 (**permalink**) 09/05/2009, 06:31

Hola Chicos, alguien me podria ayudar porfavor, tengo una red de 400pcs y estas pcs estan conectadas a un servidor de dominio, tambien tengo un fileserver windows server 2003 donde estan todas las carpetas compartidas para el uso de estas pcs, lo que deseo hacer es que mediante alguna politica de active directory o alguna manera que no sea localmente ya que son muchas pcs, yo les prohiba a los usuarios del dominio crear carpetas compartidas localmente en sus pcs de tal manera que solo usen las que estan en el fileserver, esto mas que nada por un tema de seguridad.

ademas ya probe desactivar la opcion de publicar carpetas compartidas de active directory y eso no funciona para nada incluso fui probando con el gpedit y tampoco funciono.

estaba pensando el hecho de bloquear el click derecho en la carpeta/propiedades/compartidos, pero aun no me da la solucion que busco.

Saludos.

bufom · #2 (**permalink**) 09/05/2009, 08:49

Bienvenido al foro alexisdro10

Porque no le mandas al dominio una cuota basica en su disco duro local esto evitara que creen y guarden files localmente asi que tendras que usar el servidor de ficheros que tienes!!!
Tambien hay una politica que limita el tamaño maximo de un Perfil de usuario en AD

suerte...

alexisdro10 · #3 (**permalink**) 10/05/2009, 21:23

vale gracias ahora lo probare.

Saludos.

alexisdro10 · #4 (**permalink**) 11/05/2009, 05:57

Hola Bufom he estado viendo lo que me aconsejas pero esto permite que el usuario solo tenga el espacio especificado para grabar y eso, pero para mis necesidades incluso dándole el tamaño que deseo para su usuario en el dominio localmente siguen compartiendo carpetas que es lo que quiero evitar y obviamente esto solo me complica ya que estas pcs algunas tienen correos y teniéndolo con un espacio reducido así no lo van a poder descargar, por eso me inclinaba mas en la dirección de buscar alguna política para prohibir la publicación de carpetas compartidas pero me he leído todas las políticas y no se cual es la que me puede ayudar obviamente como indico antes las opciones de capetas compartidas no funcionan las deshabilite y no paso nada, también trate con las propiedades de carpeta pero el tema es que yo también necesito accesar por el c$, bueno al final estaba buscando la manera de bloquear la opción click derecho/propiedades/compartido pero aun no se como se hace eso.

Saludos.

AleSanchez · #5 (**permalink**) 12/05/2009, 19:12

Lo que tenés que hacer, es que los usuarios no tengan permisos de Administrador o Usuarios Avanzados para los equipos locales.

Saludos.

Alfon · #6 (**permalink**) 13/05/2009, 01:10

Efectivamente, lo que dice AleSanchez es la solución. Si tus usuarios tienen privilegios solo de Usuario, no podrás hacer nada. además es la práctica de seguridad más recomendable, sobre todo en entornos de grupo de trabajo, para evitarte muchos problemas. Eso sí, tendrás que ir máquina por máquina.... pero es un proceso sencillo y rápido.

bufom · #7 (**permalink**) 13/05/2009, 07:58

OJO son 400 equipos dentro de un dominio, si bien es cierto y disculpa por no preguntar es que como bien dice AleSanchez y Alfon esos usuarios deben de pertener al grupo de "usuarios" y no ningun grupo de "Administradores" pues si pertenecen a este ultimo pues tendran todos los privilegios sobre el equipo en cuestion!!!
Ahora puedes evitar que creen carpetas compartidas por medio de plantillas administrativas dentro de la raiz de las politicas de grupo del AD...existe una que esta en:
Configuracion de usuario>Plantillas administrativas>Componentes de Windows>Microsoft Management Console>Complementos restringuidos o permitidos>Carpetas compartidas

suerte...

bufom · #8 (**permalink**) 13/05/2009, 08:28

Cita:

Iniciado por bufom

OJO son 400 equipos dentro de un dominio, si bien es cierto y disculpa por no preguntar es que como bien dice AleSanchez y Alfon esos usuarios deben de pertener al grupo de "usuarios" y no ningun grupo de "Administradores" pues si pertenecen a este ultimo tendran todos los privilegios sobre el equipo en cuestion!!!
Ahora puedes evitar que creen carpetas compartidas por medio de plantillas administrativas dentro de la raiz de las politicas de grupo del AD...existe una que esta en:
Configuracion de usuario>Plantillas administrativas>Componentes de Windows>Microsoft Management Console>Complementos restringuidos o permitidos>Carpetas compartidas

suerte...

alexisdro10 · #9 (**permalink**) 13/05/2009, 21:43

Con mucha pena te digo que no funciono lo que pasa es que no comente al inicio que algunas, bueno varias de estas PCS si bien están como usuarios restringidos en el dominio están unidos al grupo administradores locales, te explico porque ya que estas PCS trabajan con algunos aplicativos que requieren privilegios para algunas carpetas donde se instalan y en usuarios restringidos no funcionan lo que hice es darle permisos a estas carpetas y también a la carpeta de instalación en el regedit para que pueda ingresar y funcionar normal, en la mayoría de pcs funciona pero hay un grupo que no y que requieren ser usuarios administradores locales, pero como observe que si bien son administradores locales igual acepta algunas restricciones del dominio, también pense que se podría restringir así el uso de carpetas compartidas ya probé prohibir el uso de carpetas compartidas en el AD como indicas la vez anterior pero no esta funcionando y no se porque razón.

Saludos y muchas gracias por tu apoyo.

bufom · #10 (**permalink**) 14/05/2009, 09:36

Hay una congruencia o son usuarios restringidos o son usuario administradores por mas políticas que le mandes al dominio si son administradores no las acepta el usuario administrador tiene todos los privilegios por default.

saludos...

andrewmp · #11 (**permalink**) 14/05/2009, 12:06

Algunos programas no necesitan que sean administrador del equipo o del dominio, lo que si necesitan es que el usuario que va a usar la aplicación tenga permisos de ejecución sobre ciertas carpetas..

Lo que podrías hacer es verificar que carpetas toca la aplicación o que aplicativos luego de ejecutado el programa inicial, y darle control al usuario sobre esas carpetas o programas y probar si así te funciona, esto puede ser mucho mas engorroso, pero es mucho mejor que darles permisos de admin ya sea local o a nivel del dominio.

bufom · #12 (**permalink**) 14/05/2009, 12:26

Muy buen acierto adrewmp...

1- si es una aplicacion que se ejecuta local tendrias que iniciar sesion en cada equipo como administrador e irte a la carpeta del aplicativo y darle los permisos correspondientes a ese usuario de esa pc...clic derecho sobre la carpeta permisos realizas una busqueda en el arbol donde aparecen los usuarios y agregas al usuario de ese maquina y listo.

2- si es una aplicacion cliente servidor donde todo esta en un server pues te vas a la carpeta del aplicativo en el server y realizas la misma busqueda y agregas al usuario de active directory para que este tenga permisos de lectura, escritura, etc....sobre esa carpeta.

todo esto si son usuarios del Active Directory y estan dentro del dominio mencionado...

Es base de datos SQL Server?

suerte...

alexisdro10 · #13 (**permalink**) 18/05/2009, 05:52

Amigos que parte de mi explicacion no entendieron que les e dado los permisos necesarios no se olviden que es windows y no necesariamente una solucion se da en todas las pcs, jajaja no se porque pero por mi experiencia es asi, pero la cosa es que antes de escribir al foro es algo obvio que voy a tratar de dar permisos a las carpetas y a los accesos en el regedit en la mayoria funciona pero en un porsentaje menor no como un 15% para una cantidad grande de maquinas es bastante me entiendes.

Saludos a todos y gracias por la intencion de ayudar, pero creo que se a desviado en algo que explique que ya realice.