على ويندوز XP:كيفية إنشاء مستخدم لديه حق الوصول للقراءة فقط إلى واحدة معينة الدليل ؟

Question

اسمحوا لي أولا:أنا أعرف أن أي مستخدم الذي يريد تشغيل البرنامج (أو حتى تسجيل الدخول), يجب أن يكون الوصول إلى (ربما على الأقل) نظام Windows الدلائل المكتبات المشتركة في %ProgramFiles%, ولكن أود أن تكون قادرة على الوصول إلى Skype ، على سبيل المثال ، عن طريق تشغيل الأمر مع المحرومين المستخدم و التأكد من أنه لا يمكن الوصول إلى أي الملفات غير الضرورية.

أخشى أن الطريقة الوحيدة للقيام بذلك هو تحديد جميع غازيليون الدلائل حيث كنت تخزين الملفات التي لا تريد هذا المستخدم إلى الوصول ثم قم بإنشاء مستخدم جديد المجموعة التي يمكن الوصول إلى هذه الدلائل ، أو تشغيل سكايب و Azureus في VM.

هل هناك طريقة أفضل ؟

Answer 1

عادة حسابات أعضاء مجموعة المستخدمين على الأقل ، التي لديها إمكانية الوصول إلى العديد من الأشياء.هل يمكن أن تجعل الحساب عضوا في أي مجموعات أو مجموعة الضيوف وهي مقيدة للغاية.

إن المشكلة الحقيقية هي أن البرنامج المميز (الأمن الداخلي الكائن الذي يتتبع ما أمن الهويات تشغيل العملية) سوف يحتوي على الجميع و مصادقة المستخدمين والمجموعات التي لديها حق الوصول للقراءة إلى الكثير من الأشياء.لا توجد طريقة إنشاء حساب دون تلك المجموعات.يمكنك إزالة الوصول الجميع و مصادقة المستخدمين الجماعات أن معظم كل شيء ، ولكن سيكون هناك الكثير من العمل لتتبع كل هذه.

أود أن أقول أن إنشاء مستخدم قياسي أو ضيف الوصول إلى حساب غير موثوق بها برامج سيكون الكثير آمنة بما فيه الكفاية.إلى الدعم الذاتي التحديثات للحفاظ على الملفات ذات الصلة في نفس المكان, أقترح عليك تثبيت هذه البرامج مباشرة في ملف تعريف حساب المستخدم سوف تكون قيد التشغيل ، مثل C:\Documents and Settings\skype\Program Files\Skype

إذا كنت ترغب في الحصول على حقا الهوى ، يمكنك استخدام رمز مقيد إما جعل الجميع مصادقة المستخدمين ، إلخ.مجموعات نفي فقط (حتى لا تمنح أي الوصول) أو إنشاء مقيد سيد قائمة.هذا سوف يكون من الصعب تنفيذها لأن هناك كائنات عمومية البرامج التي سوف نتوقع الوصول إلى أن المجموعة لديها إمكانية الوصول إلى عادة خيارا آمنا.

انظر CreateRestrictedToken وظيفة.

هناك أيضا مفتوح المصدر سطر الأوامر البرنامج قمت بصنع برنامج لإنشاء المقيدة الرموز المهمة الكائنات على الطاير لهذا الغرض: UlimitNT

Answer 2

sudown هو الحل. إنها مقاربة سودو-مماثل (كما هو معروف من لينكس) لتشغيل المستخدم والمحرومين، ولكن وجود إمكانية لتعزيز لحساب إداري (مع كلمة السر) عند الحاجة.

وأنا افترض أنك يمكن تأمين الجهاز بحيث يمكن للمستخدم تسجيل فقط على، ولا حتى بدء سكايب مع حقوقه، ولكن بدء سكايب من قبل "تشغيل باسم" مع sudown.

Answer 3

والى جانب ذلك باستخدام VM هل يمكن أن ننظر إلى استخدام رمل. انظروا سندبوإكسي الثعلب مثال على ذلك.

Answer 4

وببساطة استخدام واجهات برمجة التطبيقات دوري أبطال آسيا (العينات في MSDN)