Как скопировать групповую политику?

Question

[MaxxDamage]

Доброго времени суток. На компьютере (Windows Server 2008 R2 Standard) имеется учётная запись с ограниченными через политики правами. Можно ли как-то скопировать эти права на другую учётную запись, чтобы не настраивать вручную? С gpedit работал мало, поэтому сам не нашёл

Comments

[Роман Безруков]

1. сервер в домене или в рабочей группе?
2. учетка локальная или доменная ?

[MaxxDamage]

1. Рабочая группа
2. Локальная

[Роман Безруков]

MaxxDamage,
Существующая учетка указана где-то внутри локальной политики (видимо, в "Назначение прав пользователя"). Там обычно фигурирует список учеток и/или локальных групп. Соответственно, либо добавляете новую учетку в этот список, либо добавляете ее в нужную локальную группу (если группа присутствует в политике)

[MaxxDamage]

Роман Безруков, в назначении прав что-то не нашёл. Но есть файл .msc где все политики этой учётной записи, но вот как её пристроить к другой, я не понимаю

[Роман Безруков]

MaxxDamage, msc - это файл консоли Microsoft Console, а не файл политики.

в назначении прав что-то не нашёл.

плохо смотрели, права назначаются через группу и т.д. Сравните права и группы на обеих учетках, исправьте расхождения при необходимости

[MaxxDamage]

Роман Безруков, так вот я и не понимаю, как посмотреть права именно на данную учётку?
В группах она всего в двух состоит, "пользователи" и "пользователи удалённого рабочего стола". Новую учётку при создании сразу загнал в эти группы, но права у неё обычные.
Опять же, где искать? Редактор локальной групповой политики, или Локальная политика безопасности?

Answer 1

[LAG_LAGbI4]

в лучших традициях вопросом на вопрос.
а откуда уверенность, что учётка ограничена правами через политики? просто, чтобы увидеть эти ограничения нужно зайти в остастку, где будет отображён пользователь, которого ограничили, и там же можно добавить другого. а если в оснастку на заходить, то откуда уверенность???

Comments

[MaxxDamage]

А через что ещё можно ограничить доступ к Проводнику, кнопке Пуск, и т.д. и т.п., если не через политики? Не, конечно можно поизвращаться через реестр, но этот не тот случай. Есть файл .msc где все политики этой учётной записи, но вот как её пристроить к другой, я не понимаю

[LAG_LAGbI4]

MaxxDamage, попробуй для начала нового пользователя добавить в те же группы.

[MaxxDamage]

LAG_LAGbI4, добавил ещё при создании, их всего две - "Пользователи" и "Пользователи удалённого рабочего стола", и всё.

[Роман Безруков]

MaxxDamage,

А через что ещё можно ограничить доступ к Проводнику, кнопке Пуск, и т.д. и т.п

например, административные шаблоны - компоненты Windows (и в компьютерной секции, и в пользовательской)

[MaxxDamage]

Роман Безруков, ок, а это можно так же скопировать? Как я уже говорил выше, имеется файл .msc с настройками существующей учётки. Нужно чтобы у новой, были точно такие же ограничения.

[Роман Безруков]

MaxxDamage, у вас локальная политика - файлы политик лежат в c:\Windows\System32\GroupPolicy\...можно на соседний комп скопировать
тупой вопрос: учетку создали, в группы добавили - после этого перелогинивались?

[MaxxDamage]

Роман Безруков, не на соседний, на этом же нужно

Учётку создал, в группы добавил - и после этого вообще впервые ей залогинился.

[Роман Безруков]

MaxxDamage, почитайте и проверьте у себя Множественные локальные GPO (MLGPO)
возможно, на вашего "правильного" пользователя подобная политика навешана

[MaxxDamage]

Роман Безруков, ок, ну вот создал я для нового пользователя эту локальную GPO. А как уже существующую прикрутить к этому пользователю?
В статье нашёл только про перенос между компьютерами

[Роман Безруков]

MaxxDamage, обычно для таких случаев создается локальная группа, на эту группу навешивается политика, а в группу добавляются нужные пользователи
можно выгрузить все локальные политики (как описано в статье), распарсить через LGPO.exe и посмотреть применяемые настройки

[MaxxDamage]

Роман Безруков, как обычно делается, понятно. Как посмотреть настройки - тоже знаю. Вопрос в том, можно ли их применить, а не руками делать, так же как на существующей. Я этого пытаюсь добиться с самого начала.

[Роман Безруков]

MaxxDamage,

Import GPO settings from a file and apply the policy to a specific local user:
lgpo /u:username "C:\tmp\Registry.pol"

Подробнее тут

[MaxxDamage]

Роман Безруков, да, оно, спасибо
Скопировать получилось, немного не так как хотел, но не суть

Answer 2

[Сергей Миронов]

Политики хранятся в файлах в system 32 и в programdata.
В реестре конечно можно смотреть, но локально политики управляются оснасткой gpedit.msc
Выгрузить текущую политику можно с помощью gpresult /h gpresult.htnl и потом изучить содержимое файла.
А чего вы взяли что ограничиваются права политиками?
На сервере обычно за это отвечает оснастка ADUC.
Нужно посмотреть права учётной записи и назначенные группы и аналогично указать значения групп и доступов для второй учётной записи.

Comments

[MaxxDamage]

Ограничения были через локальные GPO. Уже скопировал с помощью lgpo