Как ограничить доступ к USB-токенам на терминалке Windows Server 2019?

Question

[Григорий Бондаренко]

Имеется сервер удалённых рабочих столов на Windows Server 2019. В сервер вставлены USB-токены с печатьями фирм. С ними нужно работать только бухгалтерам, которые накладывают печати на бухгалтерские документы в Медке. Но кроме бухгалтеров в терминалке работает куча народу. Как запретить использовать токен всем пользователям, кроме бухгалтеров?

Answer 1

[Drno]

Это конечно не ответ - но запаролить токены и раздать пароли ток бухам?)

Comments

[rPman]

вообще то пометил бы ответ, но пароли у бухгалтеров на долго не останутся, ибо повесят на монитор на стикере, но решение идеологически верное

[Ивор Барханский]

rPman, сканер пальца, например, на монитор не наклеишь. Да, заморочиться, денег потратить, но можно достаточно уверенно привязаться к человеку. А подделывать слепки пальца хоть и можно, но это крайне гиковская непростая задача.

Answer 2

[Alexey Dmitriev]

Отключить через локальные политики или GPO доступ к usb устройствам всем, кроме нужных аккаунтов/групп

Answer 3

[Владимир Коротенко]

Нормальная практика создать виртуалку только для бухов и пусть токены носят с собой

Comments

[rPman]

Виртуалка, единственный адекватный способ разрулить права доступа к токенам на сервере терминалов windows

Носить с собой было бы хорошо, но токен может не пробрасываться через терминальное подключение, есть отдельные решения по пробросу usb по сети но это так себе решение...

Answer 4

[rPman]

Если usb-токен это флешка с файлами (а скорее всего это так, но давно я встречал странные варианты), то можно разрулить через права доступа к файлам, отформатировав флешки под ntfs и настроив права доступа на корневой каталог только на группу бухгалтеров

Answer 5

[AntHTML]

А что за токены и умеют ли они пробрасываться через RDP/сеть
Вообще по хорошему в сервак должны вставляться только лицензирующие HASPы
А всякие банковские/налоговые цифровые подписи сейчас законом приравнены к реальной бумажной подписи человека (бухгалтера)
Поэтому раздать болванки юзерам, сделать проброс по RDP, или чему еще. И сказать юзерам чтобы вставляли токен только когда нужно что-то подписать. Иначе их подписью сможет подписать кто-угодно а отвечать в любом случае будут они

Answer 6

[Александр Черных]

пробрасывать токены по rdp с рабочего места буха

Comments

[Дядька Серёжа]

Rdp не позволяет такое

Answer 7

[Дядька Серёжа]

Худшая идея оставлять токен без присмотра даже на супер изолированном сервере