Групповая политика и драйвера
Содержание лекции: Групповая политика и драйвера
Расшифровка лекции: Групповая политика и драйвера
Полный текст первых минут лекции «Групповая политика и драйвера» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Добро пожаловать на лекцию про Group Policy и драйвера. На этой лекции мы научимся изменять групповую политику Windows так, чтобы простой пользователь мог установить драйвер.
Не только администратор, а простой обычный пользователь мог добавить, установить новый драйвер, которого не существует в операционной системе. Мы зайдем в Computer Management и создадим здесь простого пользователя.
Мне старый интерфейс удобнее, намного быстрее создать пользователя, я только пишу его имя и могу нажать сразу create и все. Все, я создал нового пользователя David и David находится в группе users, то есть у него есть права только простого юзера, а не права администратора.
Он не в группе administrators, он в группе users, то есть у него есть право входа в компьютер, пользования компьютером, но не устанавливать в нем приложение, не устанавливать в нем драйвера.
И я хочу все-таки дать ему право установить драйвер самому. Сейчас мы скопируем какой-то драйвер, например, там какая-то USB-аудиокарта.
И мне не важно, какой это драйвер, сам факт, что он сможет устанавливать новые драйвера, которые не существуют в драйвер-сторе, которые не существуют в системе.
Мы заходим с Дэвидом. Из-за того, что это первый вход, он немножко долгий, он занимает время, потому что компьютер создает профиль по умолчанию для этого пользователя, копирует в него папки, которые должны быть у нового пользователя по умолчанию, и также он создает для него новый registry, поэтому это занимает время, первый вход.
Теперь я хочу немножко увеличить шрифт, а то вот этот весь шрифт очень маленький. У меня большая резолюция 4K, поэтому у меня все мелко. Так, давайте сейчас зайдем в Device Manager и увидим сразу же предупреждение, что простому пользователю можно только читать и смотреть, и ничего не менять.
Видите, если мы захотим там что-то изменить, у нас только есть свойства, у нас нет никаких действий, которые мы можем сделать.
Нам графический интерфейс даже не показывает того, что нам запрещено делать. Если я пойду в CMD и посмотрю на свои права, и посмотрю, кто я такой.
Имя моего пользователя это David, имя моего компьютера это там что-то по умолчанию. Я вижу, что David только в группе users, он не в группе администраторов.
Whoami.slash.all показывает мне все группы, в которых я член. Теперь я делаю pnp-util и добавляю драйвер.
Я только не помню команду наизусть, как ее писать. Можно посмотреть в гугле, можно посмотреть в моих личных записях. AdDriver. Не надо учить команды наизусть.
Можно в любой момент посмотреть их в гугле или в какой-то бумажке. Надо понимать смысл того, что мы делаем. Я говорю, установи мне драйвер с такого-то пути.
И он говорит, да, есть там один драйвер, но я установил ноль. Почему ноль? Потому что access is denied. Мне отказано в доступе. Я простой пользователь, и система отказывает мне в доступе и не дает установить драйвер.
Так, мы сейчас пойдем в Group Policy и поменяем эту настройку. Мы дадим простому пользователю право устанавливать драйвера.
Для этого я должен открыть командную строку с правами администратора. То есть я сейчас не David, а я админ. Видите, who am I slash all показывает, что в этом окне и только в этом окне у меня есть права администратора.
запускаю gpedit. gpedit - это консула для управления групповой политикой. Но это, в принципе, файл настроек для MMC. То есть я могу запустить MMC. MMC - это тоже экзешник. Это инструменты для управления настройками Windows. То есть этот инструментарий MMC был разработан еще там, не знаю, в Windows 2000, еще до XP. И
этот MMC, сейчас пытаются его заменить вот этим новым контроль-панелем и там нету полного функционала. MMC имеет общий характер, в нем ничего конкретного нет и надо в него добавлять инструменты, это как бы базис, на который надо настраивать дополнительные
инструменты конкретные, это как бы основа. Я говорю инструменту mmc.exe, включи этот свой базис и открой с помощью него уже приготовленный конкретный инструмент групповой политики.
Это чтобы вы понимали, что происходит. То есть запускается в mc.exe и ей передается параметр gpedit. Вот, и он открылся.
Это чтобы вы вообще понимали, как работает Windows. Я могу по окончанию файла понять, что это mc и напрямую написать gpedit mc. То есть он сам додумается по окончанию файла, что это надо открываться с помощью mc.
И в конце концов я могу просто написать gpedit без всего. И он сам поймет, что надо открывать с помощью MMC файл MSC.
Понятно? То есть полный путь – это программа MMC. И что открыть? Короткий путь – это только написать имя инструмента, а он по окончанию файла уже додумывается, что ему надо делать.
Так, давайте вернемся к нашей цели. Мы открываем групповые политики. Групповые политики делятся на две группы. Первая на уровне пользователя, вторая на уровне компьютера.
На уровне компьютера это значит, это настройки для всех пользователей, неважно кто зайдет. На уровне пользователя, на уровне юзера это настройки для конкретного юзера, для конкретного пользователя.
Я делаю сейчас настройку на уровне всего компьютера и она будет работать для всех пользователей в этом компьютере. Конечно, этих настроек здесь несколько тысяч и не надо их помнить наизусть, надо их уметь искать в гугле.
И я здесь нашел заранее, allow non-administrators to install drivers, то есть разреши не администраторам установку драйверов для конкретного класса, то есть для устройств, для девайсов, для устройств конкретного класса.
И здесь есть объяснение, что это значит, что если я сделаю enable, простые пользователи смогут устанавливать новые драйвера. Все написано, и я могу зайти в эту настройку и сказать Enabled, то есть включить ее.
И теперь нам остается нажать на Show и посмотреть в этом Show, что это за классы. Если я сделаю Not Configure, то есть ничего не настрою или сделаю Disable, запрещу.
То есть если ничего не настраивать или запрещать, будет одинаковый эффект, в котором только администраторы, только члены группы Administrators смогут устанавливать новые драйвера.
И простой пользователь не сможет. Я делаю enable и должен прописать, какие классы устройств могут быть установлены простым пользователем. Я могу пойти искать их в сайте Microsoft, могу зайти в какое-то устройство и подсмотреть