Windows Serverを管理する人コミュのターミナルサービスを使った、シンクライアント的運用

WS2008をターミナルサーバーとし、
リモートデスクトップやRemoteAPPを使ってシンクライアント的な
環境を作っている方はいらっしゃいますか？

うちの会社でも実験的に取り組み始めましたが、
所詮はサーバーにログインしている状態であるため、
一般のユーザーからも管理者用のソフトなどが見えてしまいます。

ユーザープロファイルなどを利用して、
そういうソフトを隠せないか模索してます。

同じような取り組みをされている方がいらっしゃったら
情報交換しましょう。

コメント(10)

最初
全て
最新の40件

[1] mixiユーザー 03月13日 23:23

WS2003+Citrix Presentation Server 4.5の環境なら作成しています。

自分のところは
１．管理用ソフトのショートカットをAdministratorのスタートメニューへ移動
(C:\Documents and Settings\Administrator\スタートメニュー)

２．ALL Users、Default Userのスタートメニューを整備
(C:\Documents and Settings\All Users\スタートメニュー)
(C:\Documents and Settings\Default User\スタートメニュー)

３．ADのセキュリティポリシーでサーバ側のドライブを非表示に

４．サーバ側のドライブの変わりにNASの共有フォルダをログインスクリプトにてマウント

５．ADのセキュリティポリシーのターミナルサービスのプロパティで移動ユーザプロファイルの設定

ざっくりこんな感じです。ユーザに使わせるのはデスクトップ、マイドキュメント、ネットワークドライブ、限られたソフトって感じにしています。

参考になればと・・・・

[2] mixiユーザー 03月14日 15:17

そこ（ユーザープロファイルいじって云々）を努力するならＶＤＩにしちゃいなよとか、最近はそういう選択肢も有りますね。
金は掛かるけど最適解じゃないかな。

[3] mixiユーザー 03月16日 22:03

ユーザーの下の「スタートメニュー」などのフォルダは、
隠しフォルダになってるんですね。

管理者権限でも見えないものがあるとは・・・

明日は表示のしかたを調べよう。

[4] mixiユーザー 03月21日 20:43

2008は、2003からユーザープロファイルについて結構変更されたようです。

ネットで検索して出てくる情報はまだまだ2003中心で、
2008のものは少ないので難儀しました。

まず、「Documents and Settings」がありません。
Cドライブの真下に「Users」があり、そこにAdministrator以下、
各ユーザーのプロファイルがあります。

Defaultは隠しフォルダになっていて、「ツール」から「フォルダオプション」で
表示させることができました。

全員のクイック起動メニューの中に「サーバーマネージャ」があるので困っていましたが、
「InternetExplorer」のフォルダの中にあったのを削除しました。

どうして、クイック起動がIEの中なんだろう・・・？

さて、各標準ユーザープロファイルの中の「スタートメニュー」を見てみましたが、
標準ユーザーに見せたくない、Administrator向けの「管理ツール」群が見当たりません。
実際には全員に表示されてるんですが・・・

「管理ツール」というフォルダは存在するんですが、
その中にあるはずの（実際のデスクトップ上では表示されている）管理ツール群は無く、
空っぽになっています。

全員に表示される、ということは、もしかして「All Users」の方に格納されているのかな？
と思いましたが、Usersフォルダの中には「All Users」が見当たりません。

なんでだと？と思いながらとりあえず「C:\Users\All users」とアドレスを打ち込むと、
それまで見えてなかった「All Users」というショートカットのフォルダが開きました。
このショートカットは、実際には「C:\Program Data」というフォルダの方へリンクされています。

この中に、「全員に見えてしまっているAdministrator用管理ツール軍」のアイコンがありました。
これを、Administratorのプロファイルの方へカット&ペーストして、一安心です。

[5] mixiユーザー 03月21日 21:07

さて、まだ問題は残っています。

標準ユーザーからでも、「ファイル名を指定して実行」　に　「tsadmin.msc」　と入力すると、
ターミナルサーバマネージャが見えてしまうのです。

サーバーマネージャの中の１メニューだと思っていましたが、
こういう入り方も出来るんですね。

これでは、サーバーマネージャを隠した意味が無い・・・

どうやら、tsadminはsystem32の中にある模様。

では、sytem32のフォルダ自体にアクセス制限をかけて
標準ユーザーが手を出せないようにしてしまおうか！？
とも考えましたが、はたしてそれをやっちゃっていいものか・・・

妙なところに害が出たら困るので、うかつに手を出せずにいます。

system32って、いったい何を集めたフォルダなんでしょう？？

[6] mixiユーザー 03月21日 21:21

Windows OSが提供するドライバとか、APIのDLLを集めたフォルダ→system32

もちろんそこを一部ユーザーにアクセス不可にするとOS上の様々なプログラムに影響が出る事は間違いないですし、勉強には良いかもしれませんけど、OS標準で配置されているフォルダやファイルを標準の場所から消したり、移動したりするのはその時点で会社で使うサーバ上ではあまりお勧め出来ない操作です。設定手順書をいちいち全部に残さなきゃいけないのも面倒ですし。

そこが諦められないんだったら、まじでＶＤＩとか使って仮想ＰＣでシンクライアント展開するか、そもそもシンクライアント展開しない方がお勧めですよ。

[7] mixiユーザー 03月21日 21:45

> 標準ユーザーからでも、「ファイル名を指定して実行」　に　「tsadmin.msc」　と入力すると、

グループポリシーオブジェクトを使用し、
「制限および許可するスナップイン」
で制限すれば OK。

設定方法は要件に合わせて、AD からとローカルからのどちらが最適か十分に検討すること。
WTS を使いこなすには、この辺に精通していないと辛いですね…。

[8] mixiユーザー 03月22日 01:06

>>6
VDI・・・　将来的には本格的なシンクライアントになるのかも。
今やっていることも、実は半分は実験的な意味合いが強い取り組みなんですね。

だから、完璧には出来なくともまあいいんです。
どこまで出来るかを確かめている段階でもあるので。

すぐに有償サービスに手を出すことは無いでしょうけど、
将来的には完成度の高いシンクライアントシステムに移行してゆくことでしょう。

そのころにはWindowsServerの標準機能で
そういうことができるようになっているといいな～　　2012年ぐらいには・・・

>>7
グループポリシーで制限できるんですか！
これは良いことを聞きました。ありがとうございます。

他にもいろんなスナップインに制限をかける必要がありそうですね・・・
調べてみます。

実は、まだ弊社はAD環境ではないんです。
でもそろそろ移行した方がいいかな～という意見が上層部にあり、
そっちの調査もしなくちゃいけないんですよ。
（全然出来てない・・・　アワワ）

[9] mixiユーザー 03月22日 02:47

ん? AD 無いのにシンクラ?
アカウントの管理とユーザーごとの権限振り分けが死ぬほどめんどいですよ。
覚悟しといてください。
将来 AD 導入したときもプロファイル移行手段考えないといけないんで、出来れば先に入れといた方が…。

[10] mixiユーザー 03月22日 10:36

2008サーバーの中にユーザーを作って、リモートデスクトップのグループに入れて使っています。

今のところユーザーは十人強（全社員ではない）、
Administrator以外はすべて標準ユーザーです。
あくまで実験的な導入なので。

Sambaサーバーの権限付けは別の担当者がやっております。

ま、将来のAD以降の際には、プロファイルは移行できなくてもいいかな、と思ってます。

ログインすると、みんなのコメントがもっと見れるよ