[решено] Запретить форматирование флешек и разделов жёсткого диска локальному пользователю

[morozoff]

Уважаемые форумчане! Проблема в следующем, есть компьютер на котором две учётные записи Ученик и встроенный Администратор, и каждый из них может форматировать флешки и разделы жёсткого диска. Так вот, как запретить Ученику, пользователю с правами пользователь, выполнение данной операции, ведь в XP пользователь не мог этого сделать?? Заранее спасибо.

[Morpheus]

morozoff, у вас UAC включён?
При попытке отформатировать раздел пользователь и так получает запрос UAC, если он пароля администратора не знает, он ничего не отформатирует.

[morozoff]

UAC включён, однако никакого диалога не возникает, пользователь свободно может отформатировать раздел, либо через контекстное меню, либо через команду format.

[Morpheus]

morozoff, точно раздел HDD, не флешку? У меня запрос выводится, проверил.
С флешками всё сложнее. Там надо запрещать запись на сменные носители, но она запрещается для всех пользователей. Как запретить для одного не очень представляю.
Хотя нет, можно и одному запретить.

Загружаемся под админом.
В редакторе реестра подгружаем куст C:\Users\user\ntuser.dat.
Добавляем параметры в подгруженный куст:

[...\Software\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}]
"Deny_Write"=dword:00000001

Выгружаем куст.
Загружаемся в пользователя, проверяем.

[Petya V4sechkin]

morozoff, Пуск -> в поле поиска secpol.msc -> Локальные политики -> Параметры безопасности -> у параметра "Устройства: разрешено форматировать и извлекать съемные носители" значение "Администраторы"?

[morozoff]

Спасибо одной проблемой меньше, с флешками разобрался по совету morozoff, Пуск -> в поле поиска secpol.msc -> Локальные политики -> Параметры безопасности -> у параметра "Устройства: разрешено форматировать и извлекать съемные носители" значение "Администраторы"? »
С разделами жёсткого вопрос открытый, попробую ещё на чистой системе в виртуальной машине проверить, может у меня с UAC проблемы?

[Morpheus]

Пуск -> в поле поиска secpol.msc -> Локальные политики -> Параметры безопасности -> у параметра "Устройства: разрешено форматировать и извлекать съемные носители" значение "Администраторы"? »
Хм, а у меня сие не срабатывает. Да и в описании там
Устройства: разрешить форматирование и извлечение съемных носителей

Этот параметр безопасности определяет, кому разрешено форматирование и извлечение съемных NTFS-носителей. Эта возможность может быть предоставлена:

администраторам
администраторам и интерактивным пользователям

По умолчанию: данная политика не определена и такая возможность есть только у администраторов.
может у меня с UAC проблемы? »Выключите, перезагрузитесь, включите.

[morozoff]

Morpheus,Выключите, перезагрузитесь, включите. »
пробовал не помогло. UAC везде работает нормально, однако при нажатии в контекстном меню кнопки форматировать, никаких запросов не выдаёт, а просто открывает окно выбора настроек форматирования. Сегодня ставил в виртуальной машине и пробовал там, эффект тот же, пользователь свободно форматирует любой раздел, кроме системного. Ставил Windows 7 Professional X86 SP1 и Windows 7 Ultimate X86 SP1 оригинальные образы. Я уж вообще не знаю как быть? Спасибо всем тем, кто старается помочь!

[Vadikan]

morozoff, извините, что не буду вникать в суть проблемы (этим уже заняты другие), а подскажу обходной путь. Удалите букву диска :) Если нужно подключать администраторам автоматически, mountvol /?

См. также Зачем диску нужен идентификатор (http://www.outsidethebox.ms/12526/#_Toc303347306)

P.S. Но вообще запрос UAC должен появляться, конечно (а если UAC выключен, то просто отлуп о недостатке прав). Под пользователем выполните whoami /groups и выложите рез-т команды.

[morozoff]

Под пользователем выполните whoami /groups и выложите рез-т команды. »
Вот предоставляю результат команды.
На счёт mountvol буду пробовать и отпишусь.

[Vadikan]

morozoff, с членством в группах все ок. Для проверки войдите администратором, запустите командную строку с полными правами и выполните:
net user User /add
Далее,
1. Войдите под пользователем User
2. Пуск - Поиск - PSR, включите запись.
3. Откройте окно Компьютер
4. Попробуйте отформатировать раздел.
5. Сохраните запись, после чего прикрепите ее или выложите на файлообменник.

[morozoff]

Сохраните запись, после чего прикрепите ее или выложите на файлообменник. »

[Vadikan]

Чудеса :) Пропущенные снимки экрана, скорее всего, означают, что действия выполнялись с полными правами. Вам PSR предупреждение выдавал об этом?

В той же учетной записи Пуск - Поиск - cmd - правой кнопкой мыши - Запуск от имени администратора. Что происходит?

Сообщите, совпадает ли контрольная сумма (http://www.outsidethebox.ms/10527/) дистрибутива с оригиналом.

[morozoff]

Пропущенные снимки экрана, скорее всего, означают, что действия выполнялись с полными правами. Вам PSR предупреждение выдавал об этом? »
Нет PSR ничего не выдавал.В той же учетной записи Пуск - Поиск - cmd - правой кнопкой мыши - Запуск от имени администратора. Что происходит? »
Был выдан запрос на ввод пароля Администратора Контролем учетных записей.
ru_windows_7_ultimate_with_sp1_x86_dvd_u_677463.iso

CRC32: 6E797678
MD5: 21A69779195F3E651A186DA1A27CFE7D
SHA-1: D224888CFA62847FAA3505630A206BDCD10A9930

Это имя образа и то, что выдала мне программа HashTab , сходится с MSDN

И я вот тут ещё выкладываю видео своих действий при форматировании, может быть так будет понятнее. Заранее извиняюсь за качество.
http://narod.ru/disk/52467270001.2ef8454a41b4bba83f8b2d3aa4fe9fbb/%D0%9A%D0%B0%D0%BA%20%D1%8F%20%D0%B4%D0%B8%D1%81%D0%BA%20%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%82%D0%B8% D1%80%D0%BE%D0%B2%D0%B0%D0%BB.avi.html

[Petya V4sechkin]

ставил в виртуальной машине и пробовал там, эффект тот же, пользователь свободно форматирует любой раздел, кроме системного
Такого не может быть в принципе.

[morozoff]

Такого не может быть в принципе. »
Да я уже понял.
Проблему решил переустановкой системы, после переустновки всё стало, как сказал Vadikan, Но вообще запрос UAC должен появляться, конечно (а если UAC выключен, то просто отлуп о недостатке прав).»
Скорее всего у моего знакомого после чистки реестра чистильщиком повредилась какая-то запись в реестре и после этого была такая проблема. Про то, что он чистил реестр он рассказал мне поздно, и я угробил массу своего времени на поиск решения. Это ещё раз доказывает, что чистильщики реестра не приводят ни к чему хорошему, они не оптимизируют реестр, а угробляют. :angry:
Сегодня ставил в виртуальной машине и пробовал там, эффект тот же, пользователь свободно форматирует любой раздел, кроме системного. »
Да действительно такая проблема есть в VMware Workstation 7 версии, так как в VirtualBox запрос UAC выдаётся.
Спасибо всем за старания помочь в решении темы.