![如何在登录终端服务时限制文件系统](https://linux22.com/image/509668/%E5%A6%82%E4%BD%95%E5%9C%A8%E7%99%BB%E5%BD%95%E7%BB%88%E7%AB%AF%E6%9C%8D%E5%8A%A1%E6%97%B6%E9%99%90%E5%88%B6%E6%96%87%E4%BB%B6%E7%B3%BB%E7%BB%9F.png)
我需要完成的任务是:通过一次登录,当用户实际在大楼内时,我需要他们看到所有内容。当他们使用相同登录的终端服务时,他们不应该能够看到网络上的文件系统。我可以锁定运行终端服务的 PC,因为这是它的唯一用途。
细节:
带有终端服务的Windows/2003 Server。
每个用户(例如,johndoe)只需登录一次。
当 johndoe 在办公室的办公桌上登录网络时,他可以根据组策略查看网络文件。
当 johndoe 从建筑物外登录终端服务时,我们不想让他看到网络。使用 2x 制作已发布的应用程序,但该应用程序具有允许用户查看网络的“功能”。
在 termina 服务上发布的应用程序(仅)是一个与 windows 登录绑定的文档管理系统,所以我不能给他们两个登录名。
只需一次登录,当他们在大楼里时,我需要他们看到一切。当他们使用终端服务时,他们不应该能够看到网络。我可以锁定运行终端服务的 PC,因为这是它的唯一用途。
答案1
问题还不够清楚。
用户在办公室时是否登录终端服务器和远程工作时?还是仅在远程工作时?
如果用户仅远程登录终端服务,则解决方案是应用环回策略应用于您的终端服务 OU。Greg 的回答则包含您要在该 GPO 中应用的策略设置类型。
另一方面,如果您的用户在远程和办公室时登录终端服务器,并且必须使用同一个用户帐户登录,那么您将陷入困境。如果是这种情况,我认为没有适合您的配置,而不会陷入恶意黑客攻击。也许值得考虑创建一个地点在 AD 中为您的 VPN 客户端添加一个策略,然后对该站点应用策略以限制网络浏览,但如果用户连接到终端服务器,我认为这将不适用。不过,这是我能想到的唯一可能让您获得正确结果的途径。
答案2
我相信您想要使用链接到终端服务器的 GPO,它指定:
管理模板\Windows 资源管理器:
- 隐藏驱动器
- 防止从“我的电脑”访问驱动器
(如果网络资源被分配到驱动器号)
管理模板\Windows 资源管理器:
- “我的网络位置”中没有整个网络
- 删除“映射网络驱动器”和“断开网络驱动器”
管理模板\开始菜单和任务栏:
- 从开始菜单中删除“网上邻居”
- 从开始菜单中删除“运行”
管理模板\桌面:
- 删除“网上邻居”
这可能可以帮您入门。您可能还想应用其他限制。