Objavljeno: 4.2.2007 13:05 | Avtor: Matic Zupančič | Monitor Januar 2007

Ukrotimo neukročene uporabnike

Gotovo ste se kdaj že srečali z okenskim računalnikom, na katerem ste lahko poganjali samo Internet Explorer, kaj več pa je bilo tako ali drugače onemogočeno. Npr. v predverju kakega hotela ali na kakem sejmu. In če niste ravno računalniški znalec, ki bi poznal vse potrebne zvijače v registru in lokalnih politikah (policy) operacijskega sistema Windows XP, ste se gotovo čudili, kako jim je uspelo računalnik tako dobro "zakleniti", da je postal le še drag brskalnik po internetu.

Predpogoj za namestitev so legalna Okna.

Sanje marsikaterega sistemskega upravitelja so, da bi lahko strankam podjetja ali pa samo dijakom na počitniškem delu dal v (skupno) uporabo računalnik, ne da bi ga skrbelo, da bo zaradi preveč ali premalo veščih uporabnikov trpela varnost vsega podjetja. Brez mučnega iskanja pravih vrednosti v registru in še kje, pravilne priprave diska, ki bi omogočala, da se spremembe datotek ne bi prav zares zapisale v sistem, marveč bi se sistem vsakič zbudil povsem svež in neokrnjen, to doslej ni šlo.

Ker pa se načeloma to vendarle da narediti, so v Microsoftu pripravili brezplačno orodje Shared Computer Toolkit. Namenjeno je enostavnemu upravljanju računalnikov, ki jih uporablja več ljudi, in bi, po pravici povedano, lahko bilo že sestavni del operacijskega sistema. S skoraj nič truda bomo tako v nekaj enostavnih korakih računalnik toliko pripravili, da ga bomo lahko brez strahu pred hipnim sesutjem postavili gostom v uporabo v našem baru, hotelu, strankam v podjetju, šolarjem v šoli in knjižnicah ...

Namestitev je enostavna, izpolnjen mora biti le pogoj, da imamo izvirni Windows XP SP2. Po končani namestitvi lahko poženemo čarovnika, ki nas po korakih pripelje do želenega rezultata - če želimo, si lahko pripravimo tudi do neuporabnosti "zaklenjen" računalnik.

V prvem koraku pripravimo disk, da bo uporabljal Windows Disk Protection, za kar potrebujemo vsaj 1 GB, najbolje pa 10 odstotkov diska, ki ne sme biti dodeljen nobeni particiji. S to možnostjo lahko "zamrznemo" stanje sistemske particije diska in tudi najbolj zlovešče operacije nad datotekami se bodo zapisovale zgolj na tistih 10 odstotkov diska, ki smo ga maloprej pripravili. Tako je po vsakem zagonu računalnika sistem povsem nedotaknjen.

V naslednjem koraku pridejo na vrsto nastavitve, ki se tičejo delovanja celotnega računalnika in so pomembne za varnost. Sistem lahko prisilimo, da si gesla shranjuje v bolj varnem formatu kot LMHash, določimo lahko, da ne shranjuje poverilnic (credentials) domenskih ali Passport računov, da ne odpira dokumentov znotraj Internet Explorerja in še kaj.

Nato je na vrsti ustvarjanje in prirejanje "javnega" (public) računa, ki ga hočemo omejiti. In tu pride tisti najpomembnejši korak. S posebnim orodjem User Restrictions, ki je del Shared Computer Toolkit, določimo, kaj bodo uporabniki, ki bodo uporabljali prej ustvarjeni račun, sploh smeli početi. Po nastavitvi tistih malce bolj dolgočasnih parametrov (privzeta stran v IE in posredniški strežnik) pridejo še najbolj zanimive: skrivanje diskov in drugih nosilcev, določitev časa, po katerem bo uporabnik avtomatično odjavljen iz sistema, kaj bo videl na menuju Start (lahko ga kar precej oskubimo), povsod prepovemo "desne klike", uporabo ukazne vrstice, seznama opravil (Task Manager), uporabo VBA programov v Officu, poganjanje MSN messengerja, ne nazadnje lahko prepovemo celo dostop do spleta.

Vmes smo seveda izpustili še kup možnosti, saj jih je enostavno preveč, da bi jih vse naštevali. Vse, kar nam po shranitvi nastavitev za omejevani račun še preostane, je, da ga preskusimo, vklopimo še Windows Disk Protection in računalnik je dovolj zavarovan, da ga lahko uporabljajo tudi tisti uporabniki, ki so teže ukrotljivi.

Največ užitkov bodo sistemski upravitelji zagotovo doživljali ob omejevanju pravic uporabnikov.