Брандмауэр windows в домене
 

Приветствую. У меня поднят домен на базе 2008R2, рабочие станции windows xp sp3, недавно обнаружил, что пользователи каким-то макаром могут останавливать и запускать системную службу брандмауэр windows/ics, тип запуска назначать не разрешается, а делать пуск или стоп можно, когда с другими службами такой фокус не проходит. Пользователи доменные, с назначенными правами просто пользователи домена, но локально им присвоен статус опытные пользователи, для совместимости с некоторыми программами. Меня это очень удивило, что именно со службой брандмауэра такой косяк. На уровне групповой политики OU обе службы (в 2008r2 они разделены) брандмауэр windows и ics (shared access) стоят по умолчанию. Попробовал установить для этих служб значения автоматически и прописать права на запуск итп, просто добавил к учётным записям администраторы, система и интерактивный, которые стояли там по умолчанию этого пользователя и разрешил ему только чтение. Проблему победил, теперь этот пользователь не мог запускать и останавливать службу, но через несколько дней появилась другая проблема, ни на один из компьютеров к которым была применена эта политика не возможно было зайти по сети (через SMB), брандмауэр как бы подвисал и блокировал подключения, служба не могла стартовать и её невозможно было запустить даже войдя с учётной записью администратора домена, а в журнале ошибок возникало такое сообщение:
Тип события: Ошибка
Источник события: Service Control Manager
Категория события: Отсутствует
Код события: 7023
Дата: 05.04.2010
Время: 17:21:40
Пользователь: Н/Д
Компьютер: ***
Описание:
Служба "Брандмауэр Windows/Общий доступ к Интернету (ICS)" завершена из-за ошибки
Класс настроен на использование идентификатора безопасности, отличного от используемого вызывающей стороной

Вернул в политике OU настройки по умолчанию, всё заработало нормально, но снова появилась брешь, что пользователи могут запускать и останавливать службу брандмауэра. Подскажите, как закрыть эту брешь на уровне политики OU, чтобы вышеперечисленных глюков не было?

Ну чо, так никто ничего и не знает?

Max2k,

а что вы хотите, собственно? поиск не дал результатов?
начните с этого:

Power Users can:
Stop and start system services which are not started by default.

A member of the Power Users group may be able to gain administrator rights and permissions in Windows Server 2003, Windows 2000, or Windows XP

7023 Event Id

p.s. в любом случае давать PU пользователям - не самый удачный вариант
для совместимости программ лучше использовать политики реестра и файловой системы