Требуется сделать "кассовый комп"
Требуется его заадминистрить вусмерть - запускается только 1Ска. никкой работы под админом. максимально урезанные права на все что можно.
в принципе это все понятно как сделать.
.
но!
.
"наружу" комп общается только файлами обмена. никакой сети. обмен только через флешку.
.
ХОЧЕТСЯ:
чтобы можно было втыкать только флешку - ничего другого кроме этой флешки, усбишного сканера и усбишной клавы в портs УСБ чтобы "не читалось". Вдобавок хочется, чтобы (на уровне ОС!) можно было втыкать только вполне определенную флешку (серийный номер флешки? ид? или еще как).
.
что подскажет многоуважаемый пипл? как ограничить перечень устрйоств которые инсталлирует система при втыкании усб-чегототам?

Как то у нас админ все флешки всем запретил... Там какой-то файлик надо удалить, и чтоб у юзера не было прав на системные папки естественно. И еще можно при старте в реестре прописать не старт explorer.exe а свой файлик (как вирусы обычно делают) Ну или хотя бы просто автостартовать 1с, а при выходе всю систему выключать нафиг :)

(1) вот как запретитьт флешки, но разрешить например сканер ШК?

За бабосы - годный ещё со времен, когда в политиках виндовоза не хватало штатных средств порулить USB девайсами - DeviceLock:
http://www.devicelock.com/ru/dl/

цитатко:
"
<...>
Для каждого пользователя или группы задать свой "белый" список устройств, доступ к которым будет всегда разрешен. Устройства можно идентифицировать по модели и по уникальному серийному номеру.
<...>
"

За бесплатно - изучить структуру реестра в части
HKLM\SYSTEM\CurrentControlSet\Enum\USB
HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR

Примеры для порулить подсмотреть можно тут:
"Анатолий Демидович.
USBMaster. Рулим флешками в офисе":
http://procoder.info/index.php/all/10/161-usbmaster

(2)если без ограничений по s/#, то делается штатными политиками.
Другое дело, что pid, vid, серийник можно флехе поменять без особого труда...

(4) Те, кто могут поменять серийник, могут и разделы реестра изменить. Да и загрузка с USB-диска решает все такие "проблемы".

Самое главное, что всё равно пользователю остаётся диспетчер задач, из которого он может запустить какое-нибудь приложение.

Кроме того, 1С сама по себе "дырявая", так что надо ещё и интерфейс 1С "урезать" до неузнаваемости.

P.S. все комбинации клавиш, кроме Ctrl+Alt+Del перехватываются на ура специальными программами и отключаются, а для этой "магической" нужно переписывать GINA.DLL - у Microsoft на это даже пример есть.

(2) Подменить драйвер на флеш-накопитель?

чтобы исключить флешки - воткни модем жпрс и общайся через почту файлами, а имя ящика, чтобы не выболтать, забудь.. потом можно все усб-дырки залепить жувачкой :)))

(5) Изменить раздел реестра - надо права иметь.
Запуск приложения - можно прибить групповой политикой.

Зависит от производительности компьютера.
основная ОС - линукс запускается и автоматически запускает виртуальную ОС Windows на полный экран. Комбинации клавиш будет перехватывать линукс, который и решает что можно а что нельзя передать виндам.

Вставляем флешку, её перехватывает линукс. Винда обменивается с виртуальной сетевой папкой, связанной с флешкой.

(9) Проще собрать нормальный POS на Linux и вообще не вспоминать, что и куда в Windows "засовывается".
(8) Разделы реестра пользователя всегда доступны на изменение, а запуск сценариев и очень сложно отключить (если бы это отключалось, то вирусов бы не было).

(10) Ограниченным использованием программ можно запретить запуск практически всего (вплоть до explorer). Оставить только голую 1С (даже без возможности выбрать файл для открытия - поскольку explorer отключен). И в придачу к ней - "читателя специальной флешки".

> остаётся диспетчер задач

пользователю можно отключить, а себе оставить...

а еще залить смолой комп внутри, чтобы свой СД привод не вставили

(2) вот это элементарно. кури службу usbstor.

винда какая?
1) поставить запуск usbstor вручную
2) при вставке флешки она запускается, на запуск вешаешь запуск задачи(встроенный планировщик в семерке/висте, nncron в других), которая проверяет флеху и удаляет её из системы с пом. devcon, если чо.

проверку флешки сам сообразишь.

еще, через опу гланды - ставишь 1С в виртуалку, к ней подключаешься с локального же компа по rdp, в гостевой службе отрубаешь usbstor, но даешь использовать usb напрямую. итог - сканеры работают, а диск сопоставляется терминальным клиентом )

Сканер можно тупо сделать невынимаемым. Или пломбу какую-нить сообразить :-)

http://kalyassoft.narod.ru/profy/profy.htm

(17) Все остальные USB слоты эпоксидкой залить