[toataim]

nii.. oleks taaskord foorumlaste abi vaja.

nimelt jookseb üks windows server 2012, mille taga on töötajad (domeenis)

nüüd sooviti hakata raha kokku hoidma, seega tuleks mõned külalisarvutid lisada domeeni, et neile saaks peale
panna teatud piirangud.

kas oleks mõistlik panna veel üks server teise domeeniga samasse võrku just külalisarvutite haldamiseks?
idee on eraldada nad töötajates. (ei saa töötajate serverile ligi, piirata masina kasutaja õigusi rohkem, kui töötajatel jne).

kuna ma alles mõtlen seda ideed läbi, seega konsulteeriks foorumlastega, et võib-olla on teistsugu lahendusi ja midagi ilmselt võib märkamata ka jääda.

Ei soovita kulutada, lisatarkvarale (et piirata arvuti kasutamist) ja windowsi enda alt ei anna kõiki õigusi ära võtta(browser settingute muutmist etc)

rõhutatakse ka turvalisust, seega ma ei ole pakkunud, et töötajatega sama domeeni panna külalisarvuteid.

mis oleks mõistlik lahendus?

[terat]

Ei ole teist domeeni vajad. Teed AD's uue OU, lisad vastavasse alamkataloogi arvutid ja kasutajad. Teed aga Group policy managementi lahti ja hakkad aga policyed keevitama arvutite ja kasutajate pihta.

[mahno]

Täpselt nii kuis terat õpetas. AGA. Su külalised on ka everyone ja authenticated users ja domain users jne. Seega. Failiserveris vaatad õigused üle ja annad kellele vaja läbi muude gruppide või siis personaalselt. Muude ressurssidega sama lugu. Või hakkad mingeid deny poliitikaid külalistele aretama.

Muidugi on veel variant, et külaliste arvutid on halduse hõlbustamiseks domeenis, aga sisse logitakse kohaliku kasutajaga. Sel juhul ei ole sisse loginud kasutaja domeeni kontekstis mitte keegi.

Lisaks, kui sul on vaja et su oma töötajatele külalisarvutites rakenduks mingi muu policy kui nende oma tööjaamas, siis võtmesõnaks on group policy loopback processing. St kui tavaliselt rakendatakse kõige pealt arvuti poliitika, siis kasutaja poliitika, siis loopbackiga tõmmatakse veelkord peale arvuti poliitika.