אוקיי, לא הבנתי אותך במדוייק קודם - אשמתי.

למיטב הבנתי (ועברו איזה 7-8 שנים מאז ששיחקתי עם השטויות של מיקרוסופט - טרום עידן ה UAC) - כשאתה רוצה להתקין תוכנה - צריכות להיות הרשאות לכך. למחשב עצמו - יש הרשאות. אם אתה גורם למשתמשים להתקין, למשתמש צריכה להיות הרשאה. אין למשתמש הרשאה - לא תוכל להתקין.

האמת שזה קצת מוזר לי שלמשתמשים האלה יש הרשאה על השירותים של הדומיין (בשביל זה אתה צריך RSAT, לא?) - אבל הם לא אדמינים של המכונה עצמה (שזה חסר משמעות מבחינת אבטחה אם יש להם הרשאה לאפס סיסמאות של משתמשים, וכו')

אז אם אתה רוצה להתקין פשוט על כל המחשבים (למה לא, בעצם?), תעשה את זה על Computer ותחיל את ה GPO על ה OU של המחשבים המדוברים (ובעצם, ההגיון שלי אומר שהמחשבים של צוות ה helpdesk ידועים מראש, ואפשר לשים אותם בתת OU משלהם, מתחת ל OU של כל שאר המחשבים...)

אם המשתמשים הם כן אדמינים מקומיים, וזה רק ה UAC שמציק - זמן טוב לבטל את ה UAC דרך ה GPO. ממילא וירוסים זה לא מונע, ורק מפריע לכל כלי שנכתב לפני עידן UAC, וגם לחלק מאלה שנכתבו אחרי...

נמאס לכם לזכור סיסמאות? לחצו כאן!