win2003组策略的问题

[sunlysn]

公司采用2003架设的DC，所有客户机全部加入域，但是其中一个部门几个人对电脑比较了解，经常不接受控制乱搞。
1：一直用本地用户登录系统，虽然没有给他们域用户本地管理员的权限，给的是power user,同时也修改了本地管理员的帐号和密码，但是现在网上破XP管理员密码的软件狂多啊～，一张安装碟上都集成有。他们破解后，就用管理员账户登录，就开始为所欲为了。
2：在域组策略上设置的管理员隐藏共享；自己创建的了另一个管理员账户；本地管理员密码均被他们修改，连远程桌面和远程控制都被删除了。
3：想通过组策略禁止所有本地账户登录，只有2000的才支持，2003的组策略不支持.
4：网上流传通过修改组策略上的“受限制的组”来分配其成员，在本地计算机组上不起作用。
5：没有建ISA，所以无法通过这个逼迫他们登域。
求各位大哥大姐们了～～～～～
去老总那里告状，多没面子，对于我们搞技术的，多伤自尊。

[sunlysn]

如果把 windows/sys32下的sam的读写权限只分配给域管理员，能否阻止他们在DOS下，或者用其他工具修改管理员密码？

[xman_78tom]

只要可以使用 winpe 启动计算机，基本上可以对本地系统作任何修改。除非计算机上禁止使用光驱、U 盘启动（设置 BIOS 密码，禁止用户修改 BIOS 可以做到，但是用户同样也可以给 BIOS 放电）。

从技术手段上限制用户必须登陆域几乎是不可能的。任何的技术手段都有破解的方法（即使有 ISA，使用二级代理同样可以不登陆域即可访问外网）。

有时候行政手段更有效。这个好比有了防盗门，同样需要警察和法律。

[空心兜兜]

[Quote=引用 2 楼 xman_78tom 的回复:]
只要可以使用 winpe 启动计算机，基本上可以对本地系统作任何修改。除非计算机上禁止使用光驱、U 盘启动（设置 BIOS 密码，禁止用户修改 BIOS 可以做到，但是用户同样也可以给 BIOS 放电）。

从技术手段上限制用户必须登陆域几乎是不可能的。任何的技术手段都有破解的方法（即使有 ISA，使用二级代理同样可以不登陆域即可访问外网）。

有时候行政手段更有效。这个好比有了防盗门，同……
[/Quote]

up

[sunlysn]

嗷嗷，郁闷啊·

[microsofttyc]

把每台电脑的光驱拆了

[fx290318458]

建议如下：把他们设置为user用户，修改注册表把修改管理员权限设置为只读，同时也对来宾用户的设置为只读，防止他们进行提权，最后把光驱卸掉

[fx290318458]

请详见此网站
http://renpeng.blog.51cto.com/623897/126044/

[sky2133]

拆光驱，把机器锁起来，就不怕优盘了

[千分散尽还复来]

楼主太好好好人了;管技术可以,管人不太好.

[Ki1381]

罚款是最有效的。

拆光驱不一定有用，还有WINPE启动U盘的。。。

[jspta]

支持2楼的，这样就比较困难了。但是放电一样能解决。那就让他们不能直接接触主机咯。