Windows 2003 Terminal Einrichtung

[Dolph_Lundgren]

Servus!
Ich habe ein kleines Problem mit der Einrichtung des Terminal Servers!
Ich versuche es irgendwie zu erklären:
Grundlage ist ein Server 2003 Standard R2. Auf ihm liegen mittlerweile sämtliche Terminal Dienste installiert und ist als Terminal Server (mehr oder weniger) eingerichtet. Der Terminal Server ist in einer Domäne eingebunden, die auf einem Server 2008er Standard liegt. Terminal-Client Lizenzen (CALs) sind auf dem Terminal Server auch installiert. Remote per "mstsc" von Clients (Windows 7) aus gehen funktioniert auch von jedem Domänen Mitglied. Testweise ist auch ein Office 2003 Professional installiert, welches auch von mindestens 3 Leuten gleichzeitig zu öffnen geht. Alles soweit schick!
Problem dabei ist jetzt, dass keinerlei Beschränkungen da sind. Man hat die pure Win 2k3 Oberfläche, sprich auch sämtliche Zugriffe auf dem Terminal Server hat und alles nach Belieben verändern kann. Das soll ja nicht der Fall sein! Ich möchte zum Beispiel, dass ein bestimmter Kollege halt nur Word, Excel und den IE öffnen kann und sonst weiter nichts. Also die Festplatte zum Beispiel soll komplett tabu sein. Und da hört es einfach bei mir auf! Ich bin einfach gerade komplett überfordert und weiß nicht mehr weiter!

Ich hoffe, dass mir hier einer helfen kann! Danke schon mal im Voraus!

 

[GreyhoundHH]

Das machst Du am besten über entsprechende Gruppenrichtlinien. Als Einstieg hilft:

How to lock down a Windows Server 2003 or Windows 2000 Terminal Server session
http://support.microsoft.com/kb/278295/en-us

Per default sollten normale Domänen-Benutzer aber keine vollen Rechte auf dem TS haben. Check das mal bitte in der Benutzerverwaltung. Die User (bzw. deren Domänen-Gruppe) sollte bei den lokalen Benutzern und nicht Admins eingetragen sein.

 

[Dolph_Lundgren]

Danke! Das hat mir schon mal ein ganzes Stück weiter geholfen! Über Arbeitsplatz komme ich nicht auf C: rauf. Aber wenn ich einen Schritt weiter denke, klicke ich auf irgendeiner Verknüpfung auf dem Desktop/in der Taskleiste auf Eigenschaften, dann auf Ziel suchen und komme dann doch wieder auf C:.

BTW: Die Domäne liegt doch auf einem 2003 Standard R2. Auf dem 2008er liegt der File-, SQL- und Exchange-Server.

Ergänzung (16. Dezember 2010)

Wie kann ich ihm aber nun sagen, dass der eine Benutzer nur das haben soll und der andere etwas anderes?
Beispiel: Kollege 1 darf nur Word und Chef darf Word & Excel.

 

[GreyhoundHH]

Dann müssten für die Benutzer einzelne Gruppenrichtlinien gebaut werden, die genau das erlauben/verbieten. Alternative wäre, per NTFS-Berechtigungen den Zugriff auf die .exe's der Programme zu sperren...

 

[Dolph_Lundgren]

Kurze Frage: Wo füge ich die Gruppenrichtlinien ein? Und wo sag ich ihm dann dort, welche Programme geöffnet werden dürfen und welche nicht Mit Logon Scripte funktioniert das nicht oder?

 

[GreyhoundHH]

Die Gruppenrichtlinien konfigurierst Du über das entsprechende Snap-In der MMC.

Auf der Seite, die ich oben genannt hatte, geht unten ein Link weiter auf:
http://www.microsoft.com/downloads/...ff-9a6e-40c7-b64e-7920e6ae6a0d&DisplayLang=en
Dort gibt es noch erweiterte Funktionen, so z.B. auf Seite 23 "Software Restriction Policies".

Ich würde Dir aber raten, jemand dazu zuholen, der sich damit auskennt. An der Stelle sollte man besser keinen Mist bauen und wissen, worauf man die Richtlinien loslässt...

 

[Dolph_Lundgren]

Ist ja alles nur erstmal Spielerei, Information Test! Wir werden uns hüten, das gleich beim ersten Mal produktiv zu machen. Bin halt noch Azubi! Wir wollen das halt im 1. Quartal 2011 evtl. umsetzen. Richtlinien hat mein Chef schon oft gemacht, nur hat er noch nie einen Terminal Server eingerichtet.

 

[GreyhoundHH]

Na dann fröhliches Testen

Es ist in jedem Fall viel Konfigurations-Arbeit, um das alles wasserdicht hinzubekommen. Wenn Du dich an das Dokument von Microsoft hälst, kommt man schon ein gutes Stück voran. Aber die Software-Restriktionen später sind nochmal speziell. Da habe ich persönlich auch erst wenig mitgemacht.

 

[Frightener]

Soll das wirklich noch ein 2003er werden, oder ist der nur zum Testen? Ich würde gleich auf 2008R2 gehen, da hast Du mit RemoteApp viel mehr Möglichkeiten.