Domain Member Computer Local Users Hakkında

Bunlar sistem hesaplarıdır. Bir çok servis bu hesaplara bağlı olarak çalışır kesinlikle silmeyiniz.

Peki computer bazında logon olunmasını nasıl yasaklayabiliriz? Çünkü User bazında LogOnTo kullanıldığında iş çok karşıyor. Exchange gibi işlem yapan uygulamalarda sorun çıkardığı için tüm bu tarz uygulamaların Users tabındaki LogOnTo ya eklenmesi gerekiyor buda hem işlemi hemde kontrolleri çok zorlaştırıyor.

 Tavsiyesi olan varsa çok sevinirim. 

Salih Bey sizim tam olarak amacınız nedir?

Hakan Bey,

A computerda  A user, B computerda B user olduğu bir ortamda, A userının sadece A computerında oturum açabilmesini istiyorum. Yani B userı domain user olduğu halde A computerında (güvenlik nedeni ile) oturum açmaması gerekiyor.

Bunun için LogOnTo denedim ancak Exchange gibi oturum açılması gerekli uygulamaların hepsinin belirlenmesi ve user tabına girilmesi gerekiyor. Çok spesifik ve kontrolü zor oluyor.

Ardından Computer üzerinde userları silerek sadece o bilgisayarın kullanıcısını bırakarak bu işlemi yaptım. Bu şekilde oluyor ancak sadece domain users ı çıkartarak olmuyor. Ayrıca Localden gelen;

NT AUTHORITY\Authenticated User

NT AUTHORITY\INTERACTIVE

sistem userlarıda çıkartmam gerekiyor. Yoksa kullanıcı yine logon olabiliyor. Umarım anlatabilmişimdir.

Şimdiden teşekkürler. 

Hakan Bey,

A computerda  A user, B computerda B user olduğu bir ortamda, A userının sadece A computerında oturum açabilmesini istiyorum. Yani B userı domain user olduğu halde A computerında (güvenlik nedeni ile) oturum açmaması gerekiyor.

Bunun için LogOnTo denedim ancak Exchange gibi oturum açılması gerekli uygulamaların hepsinin belirlenmesi ve user tabına girilmesi gerekiyor. Çok spesifik ve kontrolü zor oluyor.

Ardından Computer üzerinde userları silerek sadece o bilgisayarın kullanıcısını bırakarak bu işlemi yaptım. Bu şekilde oluyor ancak sadece domain users ı çıkartarak olmuyor. Ayrıca Localden gelen;

NT AUTHORITY\Authenticated User

NT AUTHORITY\INTERACTIVE

sistem userlarıda çıkartmam gerekiyor. Yoksa kullanıcı yine logon olabiliyor. Umarım anlatabilmişimdir.

Şimdiden teşekkürler. 

Active Directory ile kullanıcılara sadece sizin belirlediğiniz pc de oturum açtırabilirsiniz. 

Active Directory->İlgili kullanıcı sağ tıklayın -> Özellikler -> Hesap-> Oturum Açma Alanı 
Buradan "Tüm Bilgisayarlarda Oturum açabilir" seçeneği seçilidir standart olarak siz bu seçeneğin altında olan "Aşağıdaki bilgisayarlarda oturum açabilir" seçeneğini seçerek, hangi kullanıcı üzerinde işlem yapıyorsanız o kullanıcıya ait pc adını yazmanız yeterli olacaktır.

İyi çalışmalar. 

Merhaba Güney Bey, Log on to olarak ifade ettiği kısım sizin anlattığınız kısım, yani onu yapmak istemiyor anladığım kadarı ile, size ek bilgi vermek istedim.

Salih Bey sizin isteğinize gelecek olursak, öncelikle her işin doğru bir yapılışı vardır, sizinde isteğinizin doğru yapılışı gerek Güney beyin anlattığı gerekse sizin de zaten bildiğiniz bu kullanıcı bazlı yöntem olup bunda sizin de bahsettiğiniz gibi çok zor bir durum yok. Biz bunu banka gibi 2000 server 5000 den fazla kullanıcı ve kaç tane sistem olduğunu siz düşünün yapıyoruz. Yani Exchange dışında zaten bir tane daha sistem zor sayarsınız diye düşünüyorum. Bu nedenle bu işin doğrusu AD üzerinden yapmak.

Ama bunu yapmak istemiyorsanız önerdiğiniz yöntem kesinlikle kabul edilebilir bir yöntem değildir. 

Alternatif olarak eğer amaç bilgi güvenliği ise bir kullanıcı başka bir kullanıcı bilgisayarında logon olsa bile kullanıcı verilerine ulaşması mümkün değil ki? Eğer ulaşıyorsa ki sizde sanki öyle bir şey sezinledim, herkes ya domain admin yada herkes lokal admin, herkesi lokal admin yapacak GPO yazdığınızı sanmıyorum bunda yola çıkarak herkes domain admin ise bu zaten ciddi bir sorun.

Diyelim ki yok siz bilgi güvenliği içinde değil sadece meraktan veya proje ödevi olduğu için ( ne yazık ki bu şekilde ödevlerini bize yaptırmaya çalışanlar oluyor siz üzerinize alınmayın ) illaki herkes kendi bilgisayarında logon olacak ise bunu GPO ile yapabilirsiniz.

Makinelerin local GPO içerisinde Log on local bölümüne sadece ilgili kullanıcıyı seçmeneniz yeterli olacaktır.

https://technet.microsoft.com/en-us/library/cc756809%28v=ws.10%29.aspx

Ama düşünüyorum da misal 100 tane makine varsa zate bu yapılabilir bir iş değildir.

Özetle bu istediğinizin mantıklı ve kolay bir yolununun olmamasının sebebi normal bir istek olmamasıdır, çünkü tüm normal istekler için çözüm yolları varken bu tarz size veya şirketinize özel durumlar takla ile olur.

Neden derseniz yine bankadan örnek veriyorum 5000 personel var, herkes istediği yerde logon olur ama stajyer, part time ve out source personele bunu yaparız, yani yine bir mantık çerçevesinde olduğu için yönetilebilir, X adet personel için AD üzerine bu ayarı yapmak yeterli oluyor.

Hakan Bey,

Öncelikle ilettiğiniz bilgiler için teşekkür ederim.

Güvenlik amacı kullanıcıların domain admin olmasından kaynaklı değil, kullanıcıların c: veya d: gibi sistem üzerinde bulunan diğer diskler üzerinde veri kaydedebilmeleri sıkıntısından kaynaklanmakta. Bu bağlamda kullanıcı profiline ulaşılamıyor ancak diskler içerisindeki veriler okunabiliniyor.

Belirttiğiniz Local logon iznini test edeceğim birde. 

Tekrar teşekkür eder iyi çalışmalar dilerim. 

Burda yine temelde atlanan bazı noktalar olmalı. Sizden önce bu tip izinler verilmiş olabilir.
Default durumda user başka bir computer'ın share edilmiş alanları dışında sürücülerine yetki atanmamışsa giremez. Network profiline göre şifre sorar yada ulaşılamadı bilgisi alır. Diskler share ediliyorsa doğal olarak ulaşabilir yada gpo ile computer'lar üzerinde yetkilendirme verilmişse ancak ulaşılabilir. Partition'ların securtiy tablarını gözden geçirin. Şayet kullanıcı kendi bilgisayarının ikinci partition'ına yazmasın istiyorsanız bunu da gpo ile dağıtabilirsiniz forumda bunlar konuşuldu. Bunun için öncelikle local admin olmaması gerekiyor tabi yoksa kulağı tersten tutmaya çalışmak oluyor işin mantığı.

Sistemi görmeden tahmin etmişim 🙂 ama İbrahim bey' inde dediği gibi sizin bu modelde sorun var, yani kopuk kopuk kurulumlar olmuş sanırım, temelden bir active directory ve kullanıcı - grup tasarımı yapılması lazım, aksi halde bu şekilde ara yama çözümler ile bir yere kadar ilerleyebilirsiniz, bir yerden sonra herşey çorba olur veya çok efor sarf edip az iş yapmaya başlarsınız.