想请教各位 v 友们，如何实现给用户提供完整软件运行权限的前提下又禁止其获取本地数据？

[imaginefish]

目前单位有一台高配置 Windows 主机，存放有一些重要数据，但是这台电脑经常需要提供给临时用户使用。
现在的需求如下：

• 提供用户所有已经安装软件的运行权限
• 禁止用户以任何形式获取本地数据

个人能想到的获取本地数据的方式有两种，一种是通过网络传输，一种是移动硬盘拷贝。
目前思路是新建一个 Windows 普通用户，然后通过配置用户策略组加防火墙之类的方式，禁止网络访问和 USB 端口使用，但是不知是否能够具体实现。并且其中还有一个难点，因为某些专业软件的运行需要加密狗（ dongle ），所以还必须开放一个 USB 端口给这种特定的 USB 设备。在此向各位 V 友提问，望不吝指教。

[muzuiget]

建议不要折腾，直接上虚拟机，或者分点预算再买一台低配物理机专用。

[3dwelcome]

@muzuiget 估计楼主的意思是，公司的专业软件需要访问本地重要数据，但重要数据不能被用户给复制走。

虚拟机和物理机貌似都不能解决问题。

[ho121]

用远程桌面，限制可以复制到远程主机，但不能从远程主机复制。

但如果远程主机可以开微信，还是可以漏出去

[Tink]

Remote Apps

[imaginefish]

@3dwelcome 是的，简而言之就是这样的需求，感谢解释

[imaginefish]

@ho121 是的，还是无法防止用户通过网络向外发送数据

[polaa]

这不行那不行 干脆旁边站个人看着吧

[Mithril]

给他一个专门的 Windows 用户，去掉数据文件夹的访问权限。然后开 EFS 加密。
如果你担心他用系统服务获取数据，就直接给那个文件夹设置只有你的用户可以访问。

[mingl0280]

用啥远程桌面，开受限用户啊，然后打开组策略里面的“所有可移动存储类：禁止所有访问”，最后防火墙配好（非管理员用户是无法修改系统防火墙设置的）。最后用个箱子把机箱锁上，里面插好加密狗，只留电源按钮在外面就得了。

[mingl0280]

对了记得把启动项选择设上密码并删除 WinRE

[imaginefish]

@mingl0280 哈哈哈哈想到过这种方案，但是没有具体实现过，感谢大佬指教，但是禁止所有可移动存储类访问后，加密狗还能用吗

[imaginefish]

@Mithril 的确可以这样，但是限制了我们存放数据的位置，使用起来不灵活。并且登录的普通用户如果使用的软件需要访问该数据文件夹，可能就没有权限了，如果有，用户可以通过软件导出到其他位置，然后拿到数据。

[lakehylia]

组策略禁止安装软件不就行了。怕用户插盘的话就拿个大箱子锁上。正所谓武功再高也怕菜刀，天灾再强网络异常。

[mingl0280]

@imaginefish 加密狗不是可移动存储类。那个东西一般是智能卡那个类别下的东西。