Wer darf was auf den Firmen-Computern?

Transkript

1 Infrastruktur Gruppenrichtlinien Foto: Fotolia / stockwerk Tipps & Tricks zu Gruppenrichtlinien Wer darf was auf den Firmen-Computern? Mit Gruppenrichtlinien schützen Administratoren die Infrastruktur des Unternehmens. Administratoren wollen von vornherein ausschließen, dass Mitarbeiter mit ihren Computern der IT-Infrastruktur des Unternehmens schaden. Deswegen legen sie fest, welche Benutzer oder Benutzergruppen welche Rechte auf den Computern im Netzwerk haben. Dazu bedienen sie sich der sogenannten Gruppenrichtlinien. Im Idealfall kann damit jeder Benutzer nur auf diejenigen Funktionen eines Computers zugreifen, die er für seine Tätigkeit im Unternehmen braucht. Organisiert werden die Gruppenrichtlinien in Gruppenrichtlinienobjekten (GPOs). Zu unterscheiden sind domänenweite Gruppenrichtlinien und lokale Gruppenrichtlinien. Über domänenweite Gruppenrichtlinien verwalten die Administratoren in Domänen-Netzwerken alle Clients auf zentralen Servern. Das geschieht in den Windows-Server-Betriebssystemen in der Gruppenrichtlinienverwaltung. Die lokalen Gruppenrichtlinien lassen sich über den Editor gpedit. msc an Computern einstellen, auf denen die Professional- Varianten von Windows in stalliert sind. Sie gelten nur für den jeweiligen Computer, eine zentrale Verwaltung findet in diesen Arbeitsplatz-Netzwerken nicht statt. Falls sich lokale und domänenweite Gruppenrichtlinien widersprechen, gelten die domänenweiten Gruppenrichtlinien. Die folgenden Tipps lassen sich ebenso domänenweit wie lokal umsetzen. Nur befinden sich im Gruppenrichtlinien- Editor für Domänen die Ordner Softwareeinstellungen, Windows-Einstellungen und Administrative Vorlagen im Unterschied zum Editor für lokale Gruppenrichtlinien jeweils in den Ordnern Richtlinien. Je nachdem ob Sie die Gruppenrichtlinie unter dem Knoten Computerkonfiguration oder Benutzerkonfiguration anlegen, wirkt sich diese entweder auf den Computer oder 98 9/2014 com! professional

2 Gruppenrichtlinien Infrastruktur auf den konkreten Benutzer aus. Die Richt linien unter den Knoten sind nicht immer identisch. Richtlinien aktualisieren Problem: Sie haben Gruppenrichtlinien eines Client-Computers geändert und möchten, dass diese sofort wirksam werden, ohne dass sich der Benutzer von der Domäne ab- und wieder anmelden muss. Lösung: Öffnen Sie den Ausführen-Dialog des Clients und geben Sie den folgenden Befehl ein: Die Editoren für lokale und domänenweite Gruppenrichtlinien ähneln sich in ihrer Ordnerstruktur. 1 gpupdate /force Das Kommandozeilenprogramm gpupdate.exe lädt daraufhin die aktuellen Gruppenrichtlinien vom Domain Controller. Der Schalter /force bewirkt, dass alle Einstellungen des Active Directory angewandt werden, auch wenn sich dort nichts verändert hat. Beachten Sie aber, dass durch den Befehl nicht alle Einstellungen übernommen werden können, etwa wenn Software installiert wurde und diese eine Neuanmeldung oder einen Neustart benötigt. Programme blockieren Problem: Benutzer sollen bestimmte Programme nicht ausführen dürfen. Lösung: Navigieren Sie im Gruppenrichtlinien-Editor unter dem Punkt Benutzerkonfiguration in den Ordner Administrative Vorlagen, System. Öffnen Sie anschließend rechts Angegebene Windows-Anwendungen nicht ausführen. Setzen Sie die Option auf Aktiviert und klicken Sie neben Liste der nicht zugelassenen Anwendungen auf die Schaltfläche Anzeigen. Geben Sie die Programmnamen ein, wie sie im Task-Manager erscheinen, etwa notepad.exe für den Windows-Editor oder cmd.exe für die Eingabeaufforderung. Wenn ein Benutzer künftig ein gesperrtes Programm auszuführen versucht, erhält er die Meldung, der Vorgang sei aufgrund von Beschränkungen abgebrochen worden. die Gruppenrichtlinie Dateidownloads zulassen und aktivieren Sie diese. Wählen Sie anschließend unter Optionen im Dropdown-Menü neben Dateidownloads zulassen den Eintrag Deaktivieren aus. Richtlinien verwalten Problem: Sie wollen Domänengruppenrichtlinien eines Servers mit Windows Server 2003 oder 2008 R2 von einem Computer mit Windows 7 aus verwalten. Lösung: Der Computer mit Windows 7 braucht dafür die Gruppenrichtlinien-Verwaltungskonsole GPMC (Group Policy Management Console). Sie lässt sich über die RSAT (Remote Server Administration Tools) installieren. Laden Sie die RSAT für 32- und 64-Bit-Betriebssysteme hier herunter: soft.com/fwlink/?linkid= Nach der RSAT-In stallation muss die GPMC noch aktiviert werden: Öffnen Sie in Windows 7 das Fenster Funktionen aktivieren oder deaktivieren über den Ausführen-Dialog und den Befehl optionalfeatures. Aktivieren Sie unter Remoteserver-Verwaltungstools, Featureverwaltungstools den Eintrag Tools für Gruppenrichtlinienverwaltung. Danach starten Sie die GPMC über den Ausführen-Dialog mit dem Befehl gpmc.msc. Hinweis: Da Sie eine Lizenz von Windows Server 2003 oder 2008 R2 haben, können Sie unbegrenzt viele Kopien der GPMC im Unternehmen einsetzen. Downloads verbieten Problem: Sie wollen verhindern, dass Benutzer Dateien über den Internet Explorer herunterladen. Lösung: Navigieren Sie zu dem Ordner Administrative Vorlagen, Windows-Komponenten, Internet Explorer, Internetsystemsteuerung, Sicherheitsseite, Internetzone. Öffnen Sie in der rechten Fensterhälfte Programme blockieren: Es lässt sich eine Gruppen richtlinie erstellen, die es Benutzern verbietet, bestimmte Programme zu starten. Ausschaltknopf neu belegen Problem: Computer sollen nicht heruntergefahren werden, wenn Benutzer den Ausschaltknopf am Gehäuse drücken. Lösung: Navigieren Sie unter Benutzerkonfiguration zum Ordner Administrative Vorlagen, Startmenü und Taskleiste. Aktivieren Sie rechts die Richtlinie Ein-/Aus- com! professional 9/

3 Infrastruktur Gruppenrichtlinien Schalter im Startmenü ändern und wählen Sie darunter in der Dropdown-Liste eine andere Aktion aus, etwa Abmelden oder Ruhezustand. Der Computer führt dann die eingestellte Aktion aus, sobald der Ausschaltknopf betätigt wird. Gruppenrichtlinien zurücksetzen Problem: Sie haben Richtlinien-Einstellungen in den sensiblen Standard-Gruppenrichtlinien Default Domain Controllers Policy und Default Domain Policy vorgenommen. Dabei ist Ihnen ein Fehler unterlaufen. Sie möchten die Standard-Gruppenrichtlinien wiederherstellen. Lösung: Starten Sie auf dem Server das Programm dcgpofix. exe. Öffnen Sie es über den Ausführen-Dialog mit dem Befehl dcgpofix.exe. Nach Bestätigung des Befehls setzt das Programm die Standard-Gruppenrichtlinien auf den Zustand nach der ersten Domänenerstellung zurück. Von Ihnen erstellte Gruppenrichtlinien objekte sind davon nicht betroffen und bleiben bestehen. Beachten Sie, dass einige Programme bei ihrer Installation die Standard-Gruppenrichtlinien editieren. Wenn Sie diese nun zurücksetzen, funktionieren diese Programme vermutlich nicht mehr und müssen unter Umständen neu eingerichtet oder neu installiert werden. USB-Programme blockieren Problem: Sie wollen verhindern, dass ein Computer Programme von USB-Sticks startet. Lösung: Navigieren Sie im Gruppenrichtlinien-Editor unter Computerkonfiguration zu Administrative Vorlagen, System, Wechselmedienzugriff und aktivieren Sie rechts Wechseldatenträger: Ausführungszugriff verweigern. Festplatten ausblenden Problem: Der Arbeitsplatz eines Benutzers zeigt alle verfügbaren Festplatten an. Der Benutzer soll aber einige Festplatten nicht sehen können. Gruppenrichtlinien-Schulung Auf einer Microsoft-Webseite können sich IT-Spezialisten mit Gruppenrichtlinien und Gruppenrichtlinienobjekten vertraut machen. Zudem finden sie dort nützliche Tools sowie Gruppenricht linien-cmdlets für die Windows Powershell. Lösung: Je nachdem ob es sich um lokale oder domänenweite Gruppenrichtlinien handelt, gibt es zwei Wege, um Laufwerke auszublenden. Im Editor für lokale Gruppenrichtlinien in Windows 7 finden Sie die entsprechende Gruppenrichtlinie unter Benutzerkonfiguration im Ordner Administrative Vorlagen, Windows-Komponenten, Windows Explorer. Im Gruppenrichtlinien-Editor für Domänen unter Windows Server 2012 R2 finden Sie die Einstellung unter Benutzerkonfiguration im Ordner Administrative Vorlagen, Windows-Komponenten, Datei-Explorer. Öffnen Sie jeweils rechts die Richtlinie Diese angegebenen Datenträger im Fenster,Arbeitsplatz ausblenden. Wählen Sie anschließend aus dem Dropdown-Menü darunter die Laufwerke aus, die Sie ausblenden wollen. Beachten Sie: Trotz der eingerichteten Gruppenrichtlinie können Benutzer noch auf die Laufwerke zugreifen, etwa mit der Eingabeaufforderung oder mit Drittprogrammen. Windows 8 in den Desktop booten Problem: Nach der Anmeldung zeigt Windows 8 die Kacheloberfläche an. Das Betriebssystem soll aber direkt in den Desktop booten. Lösung: Öffnen Sie unter Benutzerkonfiguration den Ordner Administrative Vorlagen, Startmenü und Taskleiste. Wählen Sie rechts die Richtlinie Beim Anmelden anstatt der Startseite den Desktop anzeigen aus und aktivieren Sie diese. Windows 8: Mit Gruppenrichtlinien stellen Sie Windows so ein, dass es statt der Kacheloberfläche in den Desktop bootet. Gruppenrichtlinien sichern Problem: Sie möchten ein Backup all Ihrer domänenweiten Gruppenrichtlinien erstellen, um sie bei Bedarf wiederherstellen zu können /2014 com! professional

4 Gruppenrichtlinien Infrastruktur Lösung: Starten Sie auf dem Domain Controller über den Service-Manager die Gruppenrichtlinienverwaltung. Öffnen Sie unter der jeweiligen Domäne das Kontextmenü des Eintrags Gruppenrichtlinienobjekte und wählen Sie Alle sichern. Danach wählen Sie einen Speicherort aus und geben darunter optional eine Beschreibung für die Sicherung ein, etwa Alle GPOs. Wenn Sie später ein Gruppenrichtlinienobjekt wiederherstellen wollen, öffnen Sie erneut das Kontextmenü des Ordners Gruppenrichtlinienobjekte und wählen Sicherungen verwalten. In der Liste zeigt Windows alle Versionen der Gruppenrichtlinienobjekte an. Wenn Sie ältere Versionen ausblenden wollen, aktivieren Sie die Option Für jedes Gruppenrichtlinienobjekt nur die neueste Version anzeigen. Klicken Sie anschließend auf ein Gruppenrichtlinienobjekt, das Sie wiederherstellen möchten, und dann auf Wiederherstellen. Aktive Richtlinien anzeigen Problem: Sie möchten auf einem bestimmten Computer-Client überprüfen, welche Gruppenrichtlinien für den dortigen Benutzer gelten. Unnötige Meldungen: Wartungscenter-Nachrichten schalten Sie mit einer Gruppenrichtlinie aus. Lösung: Dazu benötigen Sie den sogenannten Richtlinienergebnissatz. Er ist in Windows bereits vorinstalliert. Öffnen Sie ihn am betreffenden Computer über den Ausführen-Dialog mit dem Befehl rsop.msc. Der Richtlinienergebnissatz startet daraufhin automatisch im Protokollierungsmodus und zeigt die geltenden Gruppenrichtlinien des eingeloggten Benutzers auf dem Computer an. Die Ansicht des Richtlinienergebnissatzes ähnelt dabei dem Gruppenrichtlinien-Editor. Links sehen Sie die Hauptknoten Computerkonfiguration und Benutzerkonfiguration. Darunter zeigt der Richtlinienergebnissatz aber nur diejenigen Gruppenrichtlinien an, die für den eingeloggten Benutzer beziehungsweise den Computer gelten. Vorlagen, Startmenü und Taskleiste aus. Öffnen Sie rechts die Gruppenrichtlinie Wartungscentersymbol entfernen. Setzen Sie die Option auf Aktiviert. Internet Explorer schützen Problem: Benutzer sollen im Internet Explorer keine Sicherheitseinstellungen verändern können. Lösung: Öffnen Sie den Ordner Administrative Vorlagen, Windows-Komponenten, Internet Explorer, Internetsystemsteuerung. Aktivieren Sie danach die Gruppenrichtlinien Datenschutzseite deaktivieren, Seite,Erweitert deaktivieren und Sicherheitsseite deaktivieren. Skript beim Abmelden ausführen Sichern Sie die Gruppenrichtlinienobjekte am besten regelmäßig. Problem: Immer wenn sich ein Benutzer abmeldet, soll ein bestimmtes Skript ausgeführt werden. Unnötige Meldungen entfernen Problem: Sie wollen die teils unnötigen Meldungen des Wartungscenters im System-Tray entfernen. Lösung: Wählen Sie im Gruppenrichtlinien-Editor den Ordner Administrative Aktive Richtlinien anzeigen: Mit dem Richtlinienergebnissatz rsop.msc lassen sich schnell die aktiven Gruppenrichtlinien eines Computers anzeigen. com! professional 9/

5 Infrastruktur Gruppenrichtlinien Handbuch für IT-Spezialisten Für IT-Spezialisten stellt Microsoft ein Gruppenrichtlinien- Handbuch zu Office 2010 bereit. Es erklärt, wie Sie Ihre Office-Installationen mit Gruppenrichtlinien anpassen. Sie können es unter folgendem Link herunterladen: aspx?id=16760 Skripte beim Abmelden ausführen: Über Gruppenrichtlinien geben Sie hier Skript-Dateien an, die bei der Abmeldung des Benutzers automatisch ausgeführt werden sollen. Lösung: Navigieren Sie im Gruppenrichtlinien-Editor unter Benutzerkonfiguration zu dem Ordner Windows-Einstellungen. Wählen Sie Skripts (Anmelden/Abmelden) und klicken Sie rechts doppelt auf Abmelden. Für Powershell-Skripte klicken Sie oben auf den Reiter PowerShell-Skripts. Um Powershell-Skripte auszuführen, benötigen Sie mindestens Windows 7 oder Windows Server 2008 R2. Klicken Sie danach auf Dateien anzeigen. Ein Ordner öffnet sich. Kopieren Sie Ihre Skript-Datei dort hinein und schließen Sie den Ordner. Klicken Sie anschließend auf Hinzufügen und wählen Sie unter Skriptname Ihr Skript aus. Gruppenrichtlinien enthalten, sind mit derselben Domäne oder Organisationseinheit verknüpft. Es sollen die Gruppenrichtlinien eines bestimmten GPOs gelten. Lösung: Öffnen Sie im Service-Manager des Servers die Gruppenrichtlinienverwaltung. Klicken Sie auf Ihre Domäne beziehungsweise Organisationseinheit und wählen Sie rechts den Reiter Verknüpfte Gruppenrichtlinienobjekte aus. Die angezeigte Rangliste zeigt die Prioritäten aller GPOs an. Der Server arbeitet diese von unten nach oben ab. Die Gruppenrichtlinien des ersten GPO werden also zuletzt umgesetzt und gelten damit vorrangig. Markieren Sie das GPO, dessen Gruppenrichtlinien Vorrang haben sollen, und verschieben Sie es in der Rangliste mit den Pfeilsymbolen links ganz nach oben. Alternativ öffnen Sie in der Rangliste das Kontextmenü des GPOs, dessen Gruppenrichtlinien nicht durch andere überschrieben werden sollen, und klicken auf Erzwungen. Dadurch werden die Gruppenrichtlinien des GPOs nicht überschrieben, auch wenn sich dieses nicht an erster Position der Rangliste befindet. Die Eigenschaft Erzwungen hat also Vorrang gegenüber der Ranglistenposition. Systemsteuerung blocken Problem: Sie wollen Benutzern den Zugriff auf die Systemsteuerung verwehren. Lösung: Navigieren Sie im Gruppenrichtlinien-Editor unter Benutzerkonfiguration in den Ordner Administrative Vorlagen, Systemsteuerung. Wählen Sie rechts die Richtlinie Zugriff auf Systemsteuerung nicht zulassen aus und setzen Sie diese auf Ak tiviert. Die Systemsteuerung lässt sich jetzt nicht mehr aufrufen. Das gilt auch, wenn der Benutzer versucht, sie über den Ausführen- Dialog mit control.exe zu öffnen. Richtlinienobjekte priorisieren Problem: Mehrere Gruppenrichtlinienobjekte (GPOs), die teilweise die gleichen GPO-Prioritäten: Unter Verknüpfte Gruppenrichtlinienobjekte stellen Sie die Priorität von Gruppenrichtlinienobjekten ein /2014 com! professional

6 Gruppenrichtlinien Infrastruktur Organisationseinheit löschen: Diese Meldung erscheint, wenn Sie im Active Directory-Benutzer und Computer eine Organisationseinheit löschen wollen, die dagegen geschützt ist. Organisationseinheit löschen Problem: Eine Organisationseinheit lässt sich unter Active Directory-Benutzer und Computer nicht löschen. Es erscheint ein Hinweis, Sie seien nicht dazu berechtigt oder das Objekt sei vor versehentlichem Löschen geschützt. Lösung: Klicken Sie im Fenster Active Directory-Benutzer und Computer im Menü Ansicht auf den Eintrag Erweiterte Features. Öffnen Sie das Kontextmenü der Organisationseinheit, die gelöscht werden soll, und klicken Sie auf Eigenschaften. Im Reiter Objekt entfernen Sie das Häkchen bei Objekt vor zufälligem Löschen schützen. Jetzt lässt sich die Organisationseinheit löschen. Registrierung schützen Problem: Sie wollen verhindern, dass Benutzer den Registrierungs-Editor aufrufen können. Lösung: Öffnen Sie unter Benutzerkonfiguration den Ordner Administrative Vorlagen, System. Wählen Sie rechts die Richtlinie Zugriff auf Programme zum Bearbeiten der Registrierung verhindern aus und aktivieren Sie diese. Beachten Sie, dass diese Richtlinie lediglich die Programme reg edit.exe und regedt32.exe blockiert. Benutzer können weiterhin andere Editoren nutzen, um Einstellungen der Windows-Registrierung zu ändern. Um auch das zu verhindern, aktivieren Sie zusätzlich die Richtlinie Nur zugelassene Windows-Anwendungen ausführen und geben unter Anzeigen die zugelassenen Programme an. Sichere Kennwörter erzwingen Problem: Sie wollen verhindern, dass Benutzer zu simple Kennwörter erstellen können. Lösung: Öffnen Sie unter Computerkonfiguration den Ordner Windows-Einstellungen, Sicherheitseinstellungen, Kontorichtlinien, Kennwortrichtlinien. Aktivieren Sie rechts Kennwort muss Komplexitätsanforderungen entsprechen. Dadurch gilt: Kennwörter müssen mindestens sechs Zeichen lang sein, dürfen nicht dem Kontonamen eines Benutzers entsprechen und nicht mehr als zwei aufeinanderfolgende Zeichen des Kontonamens enthalten. Sie müssen Zeichen aus drei der folgenden Kategorien enthalten: Großbuchstaben von A bis Z, Kleinbuchstaben von a bis z, Zahlen von 0 bis 9, Sonderzeichen wie!, $, #, %. Die Gruppenrichtlinie greift zukünftig, wenn Kennwörter geändert oder neu erstellt werden. Herunterfahren verbieten Problem: Benutzer sollen den Computer weder über das Windows-Startmenü noch das Windows-Anmeldefenster herunterfahren oder neu starten können. Lösung: Öffnen Sie im Gruppenrichtlinien-Editor unter Benutzerkonfiguration den Ordner Administrative Vorlagen, Startmenü und Taskleiste. Aktivieren Sie rechts die Gruppenrichtlinie Befehle Herunterfahren, Neu starten, Energie sparen und Ruhezustand entfernen. Aus Windows heraus kann der Benutzer den Computer nun nicht mehr neu starten oder herunterfahren. Allerdings ist das noch vom Anmeldebildschirm aus möglich. Um das Herunterfahren von der Windows-Anmeldung aus zu deaktivieren, navigieren Sie unter Computerkonfiguration in den Ordner Windows-Einstellungen, Sicherheitseinstellungen, Lokale Richtlinien, Sicherheitsoptionen. Suchen Sie rechts nach der Richtlinie Herunterfahren: Herunterfahren des Systems ohne Anmeldung zulassen und setzen Sie diese auf Deaktiviert. Herunterfahren verbieten: Eine Gruppenrichtlinie verhindert, dass der Benutzer den Computer herunterfahren kann. Startmenü und Taskleiste Problem: Benutzer brauchen die Ordner Bilder, Musik, Eigene Dateien, Netzwerk oder Spiele im Startmenü nicht. Sie wollen diese entfernen und zudem verhindern, dass Benutzer Einstellungen der Taskleiste ändern können. Lösung: Entfernen Sie die Einträge aus dem Startmenü. Navigieren Sie dazu unter Benutzerkonfiguration zu dem Ordner Administrative Vorlagen, Startmenü und Taskleiste. Aktivieren Sie danach rechts bei Bedarf folgende Gruppenrichtlinien: Symbol Bilder aus dem Menü Start entfernen, Symbol Musik aus dem Menü Start entfernen, Symbol Eigene Dateien aus dem Menü Start entfernen, Symbol Netzwerk' aus dem Menü Start entfernen und Menüeintrag Spiele aus dem Menü Start entfernen. Um die Taskleiste zu schützen, aktivieren Sie außerdem noch die Gruppenrichtlinie Alle Robert Schanze rs@com-professional.de Taskleisteneinstellungen sperren. com! professional 9/