PKS系统操作站安全设置

当操作站组态完成后，要对操作站进行安全设置以保护操作站安全运行，以及限定不同级别的操作员的不同操作级别。

一、编写站启动批处理文件

1、以Administrator用户登录Windows系统。

2、建立一个c:\\Winnt\\System 32\\Repl\\Import\\Scripts路径。

3、用文本编辑器编写一个批处理文件，内容如下：

rem *******************************************

rem   change to station directory

rem *******************************************

cd Program Files\\Honeywell\\Experion PKS\\client\\station

rem *******************************************

rem   the following line need only be included

rem   if you are on the Server PC

rem   and also using automatic logon.

rem   It delays Station startup to let the

rem   Server start completely first.

rem *******************************************

sleep 70

rem *******************************************

rem   start station with "full screen lock" and always on top

rem   and all "Station" menu options inactive.

rem   stnsetup.stn is optional, delete if not

rem   required.

rem *******************************************

start station.exe [stnsetup.stn] -sslxc

cd \\Program Files\\Honeywell\\TPS\\Base

start signon

如果是Server可保留sleep 70，以保证各种服务能够起来后再进入；但若是普通Station则可去除。

所有rem的句子均为注释可以删掉也可保留；倒数第三句中的信息“[stnsetup.stn]”需要删掉；如果想要全屏显示则可在倒数第三句后添加-z4，但需要注意设置分辨率，分辨率不合适可能会出现屏幕下方无法覆盖。

注：倒数第三行-sslxc的语法为：-s[f][l][x][s][c]

-sf  站操作界面只能运行于全屏状态且总在最前面。

-sl  站操作界面只能运行于全屏状态且总在最底层。

-sx  屏蔽“Exit”菜单

-ss  屏蔽“Setup”菜单

-sc  屏蔽“Connect”菜单

4、将编辑好的文档取名为start_station.bat保存在c:\\winnt\\system32\\repl\\import\\scripts\目录下

二、分配自动登录的用户帐号

批处理文件start_station.bat做好后，需要为它分配一个自动登录的用户帐号，这样只要系统启动就会以该用户登录自动进入Station界面。

1、如果该操作站加入到了Windows的域（domain），则要对与用户进行设置：

A、选择Start > Settings > Control Panel >Administrative Tools > Active Directory Users and Computers。

B、在目录树中选择Users 则在右侧显示域用户列表。

C、右键点击想要分配的用户名，在弹出菜单中选择Properties。

D、在Profile标签处输入start_station.bat。

E、点击Close退出Properties对话框；退出Active Directory Users and Computers。

2、如果该操作站没有加入到了Windows的域，则需要对本地用户进行设置：

A、选择Start > Settings > Control Panel > Administrative Tools > Computer Management。

B、点击Local Users and Groups，选择Users。

C、双击想要分配的用户帐号，弹出Properties对话框；将Password never expires选中；点击Apply。

D、点击Profile并在Logon Script Name处输入start_station.bat，点击Apply。

E、点击Close退出Properties对话框；退出Computer Management。

三、禁止操作员用户关机

如果不允许操作员用户关闭机器则需作此设定，否则一般不作此设定。

1、选择Start > Settings > Control Panel > Administrative Tools > Local Security Policy。

2、选择Local Policies > User Rights Assignment；双击Shutdown the system出现本地安全策略对话框。

3、取消所要修改的用户组的Local Policy Setting选择，点击 OK即可。关闭Local Policy Setting。这一修改会影响到该用户组中所有用户。

4、选择Start > Run，输入regedit并点击OK打开注册表编辑器。

5、将如下的键值设为“0”

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\WindowsNT\\CurrentVersion\\Winlogon\\ShutdownWithoutLogon

6、退出注册表编辑器。

四、禁止操作员用户通过任务管理器等访问应用程序

如果不想让操作员用户访问任务栏等则将其禁止。具体步骤如下：

1、在Windows中找到相应的文件，如：\winnt\\system32\askmgr.exe（\\winnt\\explorer.exe以及\\winnt\\iexplore.exe），并右键单击该文件。

2、再弹出菜单中选择Properties > Security，点击Add

3、选择想要修改的用户，点击Add和OK

4、选择刚才添加的用户，点击Deny for full control，点击OK，再弹出的"Do you wish to continue?"对话框中，点击Yes即可。

如果还有其它文件，重复以上操作即可。一般情况下设完这三个文件即可。

五、设置系统自动登录

1、启动注册表编辑器。

2、在如下键值双击打开，输入想要使用的用户名：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\WindowsNT\\CurrentVersion\\Winlogon\\ DefaultUserName 

3、选择Edit > New > String Value，并输入 DefaultPassword，将其值修改为前面对应用户的密码。

4、选择Edit > New > String Value，输入AutoAdminLogon，并将其值设为“1”。

5、退出注册表编辑器。

六、禁止操作员用户锁死计算机

如果在前面设置自动启动时，没有为该用户设置密码，则需要设置此步。

1、选择Start > Run，输入 mmc 并点击OK即可打开控制台界面。

2、选择Console > Add/Remove Snap-in，弹出Add/Remove Snap-in对话框。

3、点击Add弹出Add Standalone Snap-in对话框。

4、从列表中选择Group Policy并点击Add，保持所有默认值点击Finish。

5、点击Close关闭Add Standalone Snap-in对话框；点击OK关闭Add/Remove Snap-in对话框。

6、在控制台窗口中，打开Console Root > Local Computer Policy > User Configuration > Administrative Templates > System > Logon/Logoff。

7、在右侧窗口中双击Disable Lock Computer弹出Disable Lock Computer Properties对话框；选择Enabled并点击Apply即可。

8、按下 CTRL + ALT + DEL组合键验证，并点击Cancel。

9、点击OK退出Disable Lock Computer Properties对话框。

10、关闭MMC（控制台）。