Permitir que o usuário efetue login no OWA, mas não em qualquer PC do domínio?

Question

Estou tentando criar uma conta para um contratante externo para que eles possam ter um endereço de e-mail @domain.com e acessá-lo do OWA, mas não fazer login em nenhum servidor ou PC no domínio.

Eu tentei definir a propriedade Log On To... como um PC inexistente, e isso funciona porque eles não podem fazer login em nenhum PC ou servidor, mas também não podem efetuar login no OWA. Estou relutante em conceder-lhes acesso de login ao servidor de e-mail, pois eu realmente quero negar a eles acesso de login a qualquer PC ou servidor.

Eu também prefiro não usar a diretiva de grupo para concluir isso, pois gostaria que ela se aplicasse a esse único usuário e fosse fácil de desfazer quando / se eles forem embora.

Obrigado!

    

Answer 1

Você deve usar um grupo de segurança para arbitrar esse acesso, mesmo que o grupo só tenha esse contratado como membro. Quando você precisar refazer isso no futuro para um novo contratado, ficará feliz em usar um grupo.

Veja o que eu faria:

• Crie um grupo "Logins interativos de usuários negados" e torne o contratante um membro.
• Crie um Objeto de diretiva de grupo (GPO) vinculado na raiz do domínio chamado "Negar logon interativo"
• No subnó "Atribuição de direitos de usuário" do subnó "Políticas locais" do subnó "Configurações de segurança" do subnó "Configurações do Windows" do nó "Configuração do computador" eu adicionaria a permissão "Negar logon local" para Grupo "Usuários negados Logon interativo".

Isso seria fácil de remover se você precisasse, e fosse fácil de aplicar a outros usuários (por meio de associação ao grouo) no futuro.