faq-o-matic.net » Gruppenrichtlinien

Windows-Bibliotheken per GPO verwalten

Heiko Bernd — Wed, 16 Nov 2011 05:23:00 +0000

Seit Windows 7 und Server 2008 R2 hat Microsoft sogenannte Windows Bibliotheken (Windows Libraries) im Grundzustand für Bilder, Musik, Dokumente und Videos eingeführt. In den Bibliotheken werden nun Daten an einem Ort zusammengefasst, unabhängig davon wo sich der tatsächliche Speicherplatz befindet. In der Standardeinstellung gibt es pro Bibliothek zwei Pfade, deren Daten in den Bibliotheken angezeigt werden.

Abbildung 1

In Abbildung 1 ist die Bibliothek Dokumente gezeigt. Der erste Pfad ist benutzerbezogen und verweist auf %userprofile%\Documents. Der zweite Eintrag verweist auf den Ordner %public%\Documents und wird den meisten Admins Sorgen bereiten, wenn mehrere Benutzer an diesem Computer arbeiten und darüber Daten ausgetauscht werden – besonders problematisch bei Terminalservern. Auch in deutschsprachigen Windows-Versionen werden diese Pfadangaben verwendet, erkennbar in Abbildung 3, wenn man in die Adresszeile klickt.

Abbildung 2

Abbildung 3

Analog gelten auch immer zwei Pfade für die anderen Bibliotheken Bilder, Musik und Videos:

Bilder
- Eigene Bilder = %userprofile%\pictures
- Öffentliche Bilder = %public%\pictures
Dokumente (Abbildung 1, 2 und 3)
- Eigene Dokumente = %userprofile%\documents
- Öffentliche Dokumente = %public%\documents
Musik
- Eigene Musik = %userprofile%\music
- Öffentliche Musik = %public%\music
Video
- Eigene Videos = %userprofile%\videos
- Öffentliche Videos = %public%\videos

Leider hat Microsoft anscheinend vergessen, eine zentrale Konfigurationsmöglichkeit der Bibliotheken über Gruppenrichtlinien (GPO) zur Verfügung zu stellen. Man vermisst dies bei zentralisierten Netzwerken mit Windows-7-Clients ebenso wie bei der Einrichtung von Terminalservern unter Windows Server 2008R2. Dabei kann es durchaus sinnvoll sein, für verschiedene Benutzergruppen an einen zentralen Bilder- oder Video-Ordner im Netzwerk umzuleiten, dabei gibt es ein paar Stolpersteine zu beachten. Im einfachsten Falle möchte man einfach nur bei allen Benutzern den Eintrag zu Öffentliche Bilder, Öffentliche Dokumente, Öffentliche Musik und Öffentliche Videos entfernen.

Prinzipiell lassen sich die Bibliotheken ganz einfach über das Kontextmenü konfigurieren, siehe Abbildung 1. Dabei werden die Einstellungen in die Dateien

Documents.library-ms
Music.library-ms
Pictures.library-ms
Videos.library-ms

im Pfad

%userprofile%\AppData\Roaming\Microsoft\Windows\Libraries

abgespeichert und werden im Windows Explorer in Deutsch und ohne Dateiendung angezeigt. Die Dateien sind nur zu sehen, wenn man versteckte Dateien anzeigen lässt. Wer will, kann diese Dateien auch mit dem Notepad einmal öffnen. Ich finde es zu umständlich, mit Skripten die richtigen Pfade in den Dateien anzupassen. Daher hier ein anderer möglicher Weg zum Ziel …

Abbildung 4

Vorbereitungen

Man erstellt sich eine zentrale Freigabe im Netzwerk \\server\libraries und platziert dort die vier Dateien Documents.library-ms, Music.library-ms, Pictures.library-ms und Videos.library-ms von irgendeinem Benutzerprofil. Per Kontextmenü passt man sich diese Vorlagen nach den Wünschen an und speichert diese ab, z.B. ohne Öffentliche Dokumente (%public%\documents), Bilder, Musik und Videos. Dass entsprechende Leserechte für die Freigabe, den Ordner und die Dateien konfiguriert werden, setze ich jetzt voraus.

Die Umsetzung

Wir erstellen uns eine Gruppenrichtlinie, die die vier Standard-Dateien im Benutzerprofil mit den Vorlagen aus der zentralen Freigabe vom Server ersetzt. Die Einstellungen in der Gruppenrichtlinie finden wir über Benutzerkonfiguration, Einstellungen, Windows-Einstellungen, Dateien:

Abbildung 5

Hier erstellt man ein neues Dateiobjekt mit der Aktion Ersetzen. Für das Beispiel der Bibliothek Dokumente verwendet man als Quelle

\\server\libraries\documents.library-ms

Für Zieldatei verwendet man den Eintrag

%Userprofile%\AppData\Roaming\Microsoft\Windows\Libraries\documents.library-ms

Man beachte, dass man NICHT über die Durchsuchen-Schaltfläche an die Dateien *.library-ms gelangt. Hier ist Eintippen oder Kopieren/Einfügen angesagt. Unter Gemeinsame Optionen ist eingestellt: „Im Sicherheitskontext des angemeldeten Benutzers ausführen (Benutzerrichtlinienoption)“. Damit ist die Konfiguration abgeschlossen. Viel Erfolg!

Einstellungen für Gruppenrichtlinien finden

Nils Kaczenski — Wed, 27 Jul 2011 04:28:00 +0000

Und wieder ein Hinweis auf interessanten Lesestoff: Auf dem Blog von Florian Frommherz findet sich ein Artikel, der Vorgehensweisen zur Identifikation von Einstellungen vorstellt, die man per Gruppenrichtlinie verteilen möchte. Wie immer bei Florian ist auch dieser Artikel englischsprachig.

[Florian’s Blog » Finding a specific Group Policy Setting]
http://www.frickelsoft.net/blog/?p=277

“An Taskleiste anheften” per Gruppenrichtlinie

Bent Schrader — Mon, 20 Dec 2010 06:40:00 +0000

Seit Windows 7 und Windows Server 2008 R2 gibt es bekanntlich keine Schnellstart-Leiste (Quicklaunch) mehr. Die neue Taskleiste wurde komplett überarbeitet und wartet mit einer Fülle neuer Funktionen auf. Dazu gehört unter Anderem das “Anheften” von Programmsymbolen bzw. Verknüpfungen, um den schnellen Zugriff auf häufig verwendete Anwendungen zu ermöglichen. Das ist schön und gleichzeitig gut, allerdings gibt es für die automatische Verteilung bzw. Einrichtung keine Gruppenrichtlinie.

Da ich aber nun auch für die aktuellen Betriebssystemversionen ebenfalls eine automatisierte Lösung (auf Basis von Gruppenrichtlinien) brauchte, habe ich ein VBS-Skript geschrieben. Ob nun bei der Anmeldung als Administrator an einem Server in der Domäne oder ob als Benutzer an einem Terminalserver 2008 R2, um manuelle Eingriffe so gering wie möglich zu halten, benötige ich eine automatische Konfiguration für Benutzer-abhängige Einstellungen des Betriebssystems.

Lösung: Das Skript PinTaskbar.zip (Download vom Blog des Autors) löst dieses Problem unkompliziert und mit einem kleinen Trick. Für die Umsetzung und Ausführung sind allerdings ein paar kleinere Vorbereitungen nötig. (Es wird kein Domänencontroller unter Windows Server 2008 R2 benötigt, diese Variante funktioniert bereits mit Windows Server 2003!)

Der Skriptcode:

'* VBS Script zum Anheften von Verknüpfungen an die Taskleiste
'* für Windows 7 und Windows Server 2008 R2 (Deutsch und Englisch)
'* (c) 2010 by B

Dim objArgs
Dim objFolder
Dim objFolderItem, objLNKItem
Dim Itemverb

Set objArgs = WScript.Arguments
Set WSHShell = WScript.CreateObject("WScript.Shell")
Set objEnv = WshShell.Environment("Process")
Set objFSO = CreateObject("Scripting.FileSystemObject")
Set objShell = CreateObject("Shell.Application")

If Wscript.Arguments.Count > 0 Then 

	strFolder = Wscript.Arguments(0)
	strTarget = objEnv("APPDATA") & "\Microsoft\Internet Explorer\Quick Launch\"
	If Right(strFolder,1) <> "\" Then strFolder = strFolder & "\"

	Set objFolder = objFSO.GetFolder(strFolder)

	For Each File In objFolder.Files
		Set objFile = objFSO.GetFile(File)
		If Lcase(objFSO.GetExtensionName(objFile)) = "lnk" Then
			objFSO.CopyFile strFolder & File.Name, strTarget, TRUE	'Zieldatei wird überschrieben!
			Set objFolder = objShell.Namespace(strTarget)
			Set objLNKItem = objFolder.ParseName(File.Name)
			For Each Itemverb In objLNKItem.Verbs
				If Replace(Itemverb.Name, "&", "") = "An Taskleiste anheften" Then Itemverb.DoIt
				If Replace(Itemverb.Name, "&", "") = "Pin to Taskbar" Then Itemverb.DoIt
			Next
		End If
	Next

End If

Die Umsetzung

Ich werde mich in meiner folgenden Anleitung auf zwei Beispiel-Anwendungen von Windows 7 und Server 2008 R2 beschränken – Notepad und das Snipping Tool. Das Skript entpackt man beispielsweise in einen Unterordner der NETLOGON-Ressource, in meinem Fall nach:

\\FQDN\Netlogon\Skripte\

Zu Beginn erstellt man die Verknüpfungen, die später verteilt und an die Taskleiste angeheftet werden sollen:

Diese Verknüpfungen können nun in einen zentralen Ordner für die spätere Verteilung innerhalb der Domäne verschoben werden, in meinem Beispiel nach:

\\FQDN\Netlogon\Taskbar

Wer zwischen verschiedenen Benutzergruppen unterscheiden möchte, kann entweder Unterordner (wie Administratoren und Benutzer) erstellen, oder – und das ist wesentlich eleganter – die Leseberechtigungen für jede Datei für die jeweils relevanten Gruppen setzen oder entfernen. Der Vorteil dieser zentralen Stelle ist, ich muss meine Verknüpfungen nur an einem Ort pflegen und aktualisieren, die Änderungen werden bei der nächsten Anmeldung eines Benutzers neu gesetzt.

Nun muss nur noch eine (oder mehrere, abhängig von den unterschiedlichen Verknüpfung-Sets) geeignete Gruppenrichtlinie(n) auswählen und die Ausführung des Skripts PinTaskbar.vbs konfigurieren (Benutzerkonfiguration, Windows-Einstellungen, Skripts, Anmelden):

Wichtig: Als Skript-Parameter ist das Verzeichnis (\\FQDN\Netlogon\Taskbar) anzugeben, in dem sich die Verknüpfungen befinden, ohne Parameter beendet sich das Skript ohne Aktion.

Achtung: Das Skript funktioniert nur für die Betriebssysteme Windows 7 und Windows Server 2008 R2. Für die Ausführung via Gruppenrichtlinien sollte die WMI-Filterung genutzt werden, um Fehler auf Systemen mit älteren Betriebssystemversionen zu vermeiden. Der WMI-Filter für Windows Server 2008 R2 und Windows 7 lautet:

select * from Win32_OperatingSystem where Version like “6.1%”

Funktionsweise: Das Skript selber ist relativ simpel und klein. Wie beschrieben, erwartet es einen Übergabeparameter – nämlich das Quellverzeichnis der Verknüpfungen, in meinem Beispielfall also:

\\FQDN\Netlogon\Taskbar

Aus diesem Verzeichnis kopiert das Skript nun alle LNK-Dateien (*.lnk) in das Zielverzeichnis:

%APPDATA%\Microsoft\Internet Explorer\Quick Launch\

Dabei zeigt die Umgebungsvariable %APPDATA% auf das Benutzerverzeichnis (Profil) %SystemDrive%\Users\Benutzername\AppData\Roaming. Somit werden die Verknüpfungen immer in das richtige Benutzerprofil kopiert und von dieser Stelle an die Taskleiste angeheftet. Das Skript funktioniert dabei sowohl für die Sprache Deutsch als auch für Englisch (andere Sprachen müssen in Zeile 30 oder 31 des Skripts geändert bzw. hinzugefügt werden). Damit ist die Abarbeitung auch schon beendet.

Wer mag, kann das Skript gern ändern bzw. seinen eigenen Anforderungen anpassen.

Terminalserver: Den Protected Mode des Adobe Reader X abschalten

Nils Kaczenski — Tue, 23 Nov 2010 06:19:00 +0000

Adobe hat vor einigen Tagen die neue Version 10 seines Adobe Reader veröffentlicht (Marketingname: Adobe Reader X). Eine der wichtigsten Neuerungen ist der “Protected Mode” (“Geschützter Modus”), der eine Art Sandbox um verdächtige Dokumente bildet. Ähnlich wie die geschützte Ansicht in Office 2010 verhindert dieser Modus den Übergriff von möglichen Schadfunktionen in PDF-Dokumenten auf das Computersystem des Benutzers. Eine sehr sinnvolle Funktion also.

Nur leider hat das ein paar Haken: Der Protected Mode funktioniert nämlich in einer ganzen Reihe von Situationen nicht. Dazu gehört dummerweise auch der Einsatz auf Terminal Servern mit Citrix – und anscheinend auch mit dem bordeigenen RemoteApp. Ruft man dort den Adobe Reader X auf, so meldet er beim Start:

Update 24. März 2011: Bent Schrader hat herausgefunden, dass in Version 10.0.1 der beschriebene Workaround nicht mehr notwendig ist.

[Adobe Acrobat Reader X auf einem Terminalserver - Bent's Blog]
http://bent-blog.de/windows/terminalserver/adobe-acrobat-reader-x-auf-einem-terminalserver/

Adobe dokumentiert diese Einschränkungen auch auf seiner Webseite. Dort sind allerdings die Remote Desktop Services (früher: Terminal Services) von Windows 2003 bis 2008 ausdrücklich als kompatibel angegeben. Zumindest im Zusammenhang mit RemoteApp tritt der Fehler allerdings auch auf, nicht nur mit Citrix.

[Protected Mode Troubleshooting | Adobe Reader]
http://kb2.adobe.com/cps/860/cpsid_86063.html

In seiner FAQ gibt Adobe lapidar an, man könne den Protected Mode auch über die Registry abschalten – welchen Key man dafür verwenden muss, darf der geneigte Admin dann selbst rausfinden. Auch sonst sind diese FAQ leider eher ein Eingeständnis, dass man den neuen Modus nicht so richtig toll implementiert hat.

[Protected Mode FAQ - Security and Information Assurance - Adobe Learning Resources]
http://learn.adobe.com/wiki/display/security/Protected+Mode+FAQ

Den Protected Mode zentral abschalten – GPP-Methode

Dabei ist es gar nicht so schwer, den Protected Mode zentral abzuschalten. Da es sich grundsätzlich aber um eine sinnvolle Funktion handelt, empfehle ich das folgende Vorgehen nur für Umgebungen, in denen der neue Modus ein Problem darstellt – eben beispielsweise RemoteApp-Umgebungen.

Der zu ändernde Key in der Registry ist folgender:

[HKEY_CURRENT_USER\Software\Adobe\Acrobat Reader\10.0\Privileged]
"bProtectedMode"=dword:00000000

Dieser Wert muss auf 0 (null) stehen, damit der Protected Mode abgeschaltet ist. Nun helfen die GPP (Group Policy Preferences) dabei, diese Einstellung auf alle RemoteApp-User auszurollen. Man suche sich also eine Gruppenrichtlinie (GPO) heraus, die für die betreffenden Benutzerkonten gilt (bzw. man erzeuge eine neue). Dort öffnet man die Benutzerkonfiguration/ Einstellungen/ Windows-Einstellungen/ Registrierung. Hier fügt man ein neues Element hinzu und trägt dort Folgendes ein:

Speichern, GPO schließen, fertig. Eventuelle getrennte Benutzersitzungen auf dem RemoteApp-Server muss man nun einmal zurücksetzen, damit die User sich tatsächlich neu anmelden. Danach sollte die GPP-Einstellung greifen und der Reader ohne Protected Mode starten.

Prüfen kann der Benutzer dies über die Einstellungen (im Menü “Bearbeiten”). Dort ist auch die Stelle, wo er die Einstellung manuell ändern kann.

Den Protected Mode zentral abschalten – ADM-Methode

Norbert Fehlauer hat folgende ADM-Datei geschrieben. Damit lässt sich der Vorgang auch über “klassische” Gruppenrichtlinien ausführen.

Update 9.12.2010: Christoph Langer hat uns auf einen Fehler in der ursprünglichen ADM-Version hingewiesen. Die unten stehende Fassung ist korrigiert.

; ADM Template Author: Norbert Fehlauer

Class User
    CATEGORY !!CAT_AdobeReaderX

        POLICY !!Pol_ProtectedModedeaktivieren
            #IF VERSION >= 4
                SUPPORTED !!Supportedon_AdobaReaderX
            #ENDIF

            EXPLAIN !!Expl_AdobeProtectedMode
            KEYNAME "Software\Adobe\Acrobat Reader\10.0\Privileged"

            PART !!Part_ProtectedModedeaktivieren Checkbox
                VALUENAME "bProtectedMode"
                DEFCHECKED
                VALUEON NUMERIC 0

                VALUEOFF NUMERIC 1

            END PART

        END POLICY ;Pol_ProtectedModedeaktivieren

    END CATEGORY ;CAT_AdobeReaderX

[STRINGS]

CAT_AdobeReaderX="Adobe Acrobat X"
Expl_AdobeProtectedMode="Für weitere Informationen siehe: http://learn.adobe.com/wiki/display/security/Protected+Mode+FAQ"
Part_ProtectedModedeaktivieren="Protected Mode deaktivieren"
Pol_ProtectedModedeaktivieren="Protected Mode deaktivieren"
Supportedon_AdobaReaderX="mindestens Adobe Reader X"

UAC: Den Explorer mit Admin-Rechten starten

Nils Kaczenski — Mon, 08 Nov 2010 10:42:40 +0000

Nach einer langen Phase der Kritik haben sich die meisten Windows-Admins und -Anwender an die Benutzerkontensteuerung (User Account Control, UAC) gewöhnt. Das Sicherheitsfeature moderner Windows-Versionen leistet einen durchaus sinnvollen Beitrag zum Schutz des Betriebssystems. An einigen Stellen erhöht es – verglichen mit den Vorgängern Windows XP und Windows Server 2003 – sogar den Bedienkomfort, wenn man ohne Administratorrechte angemeldet ist.

Natürlich gibt es dabei auch einige Dinge, die weniger befriedigend sind. Dazu zählt die Arbeit mit dem Windows-Explorer, wenn man Dateien in geschützten Systembereichen bearbeiten muss. Der Explorer ist nämlich der erste Anwenderprozess, den das System bei der Anmeldung startet, denn er stellt die Benutzeroberfläche dar. Alle weiteren Explorer-Fenster sind dann “Kind-Prozesse” und erben somit die Berechtigungen des “Ur-Explorer”. Die Folge: Aus dem Explorer kann man keine Prozesse mit erhöhten Rechten starten.

Die eingebaute Abhilfe ist wenig überzeugend: Versucht man, als Administrator unter UAC-Schutz auf einen geschützten Speicherbereich (wie etwa das System- oder das Programme-Verzeichnis) zuzugreifen, so bietet der Explorer an, höhere Rechte bereitzustellen. Im Hintergrund erledigt er das aber auf unerwartete Weise, denn er fügt das gerade angemeldete Benutzerkonto mit vollen Zugriffsrechten der Berechtigungsliste des Ordners bzw. der Datei hinzu. Das führt schnell zu unübersichtlichen Rechtestrukturen und liegt i.d.R. nicht in der Absicht des Admins.

Wenn man nun versucht, den Explorer per Rechtsklick ausdrücklich als Administrator zu starten, erhält man zwar eine UAC-Abfrage, aber der Vorgang ist wirkungslos. Auch ein derart gestartetes Explorer-Fenster ist in Wirklichkeit nämlich ein “Kind-Prozess” des ersten Explorers, der nun mal ohne Adminrechte läuft.

Thomas Vuylsteke hat nun eine Methode vorgestellt, mit der sich das Problem umgehen lässt. Es ist allerdings normalerweise nicht für Client-Rechner geeignet, sondern zielt eher auf Server, an denen Admins direkt etwas durchführen müssen. Auch dort hat das Vorgehen seine Schattenseiten, die man kennen sollte.

Windows bietet schon lange die Möglichkeit, Explorer-Fenster in einem eigenen Prozess zu starten. Sie verbirgt sich in den “Ordner- und Suchoptionen” des Explorers:

Wer dies allerdings aktiviert und nun erwartet, einzelne Explorer-Fenster mit Administratorrechten starten zu können, sieht sich getäuscht. Denn diese Einstellung funktioniert anders, als viele es erwarten. Es ist eine Grundsatzeinstellung, die im Wesentlichen den “Ur-Explorer” (also den Explorer-Prozess, der bei der Anmeldung die Bedienoberfläche darstellt) einerseits und alle danach geöffneten Explorer-Fenster andererseits voneinander trennt. In der Folge gibt es dann genau zwei Explorer-Prozesse: Der erste stellt das GUI dar und läuft ohne Adminrechte. Den zweiten Prozess erzeugt Windows, wenn der Anwender nach der Anmeldung das allererste Mal ein Explorer-Fenster öffnet. Alle danach folgenden Explorer-Instanzen leiten sich dann von diesem ersten manuell gestarteten Explorer ab und übernehmen dessen Prozessberechtigungen.

Wer also diese Einstellung setzt, muss danach zuerst alle offenen Explorer-Fenster schließen. Dann kann er per Rechtklick einen neuen Prozess mit Adminrechten starten – und siehe da, alle folgenden Explorer haben nun auch Adminrechte.

Vorsicht aber: Das bedeutet, dass auch alle Prozesse, die man von diesem Admin-Explorer aus startet, über volle Adminrechte verfügen! Effektiv bedeutet das, dass man auf diese Weise sehr weitgehend auf den Schutz durch UAC verzichtet. Als Standard-Maßnahme ist dies also nicht geeignet!

Für ein bestimmtes Einsatz-Szenario ist diese Technik aber eben gut geeignet: Für Administratoren, die auf Dateiservern Berechtigungen ändern müssen. Um den Vorgang für diesen Fall zu erleichtern, hat Thomas ein pfiffiges Verfahren entwickelt, das mit Hilfe von Group Policy Preferences die Voreinstellung automatisch ausrollt. Näheres siehe in seinem Posting:

[Using Windows Explorer together with UAC | ADdict]
http://setspn.blogspot.com/2010/11/using-windows-explorer-together-with.html

BGInfo per Gruppenrichtlinien ausrollen

Nils Kaczenski — Wed, 03 Nov 2010 06:01:00 +0000

BGInfo ist ein sehr nützliches kleines Werkzeug von Sysinternals, das Informationen zum lokalen Computersystem ins Windows-Hintergrundbild einblendet. Viele Admins nutzen es gern auf Servern, um schnell feststellen zu können, mit welchem System sie eigentlich gerade verbunden sind. Gerade bei der Remote-Administration einer größeren Umgebung über RDP-Verbindungen ist das sehr hilfreich, denn sonst verliert man schnell den Überblick.

Es gibt mit den Group Policy Preferences eine sehr effiziente Methode, BGInfo automatisch auf alle Server ab Windows Server 2003 zu installieren und die Ausführung zu automatisieren.

Der Trick besteht darin, dass man die BGInfo-Dateien (BGInfo.exe und eine Konfigurationsdatei) zentral auf einem internen Server ablegt. Per Group Policy Preferences (GPP) kopiert man sie dann lokal auf die Server und sorgt für die Ausführung. Hierzu erzeugt man – ebenfalls über GPP – zunächst den Zielordner und abschließend den Link im Startmenü/Autostart, der BGInfo dann bei der Anmeldung mit der passenden Konfigurationsdatei ausführt.

Dabei ist es praktisch, dass man die Vorgaben für solche Group Policy Preferences sehr einfach ex- und importieren kann. Näheres dazu hat Florian Frommherz in folgendem Artikel beschrieben:

[Importieren und Exportieren von Group Policy Preferences - Aktives Verzeichnis Blog]
http://blogs.technet.com/b/deds/archive/2009/03/25/importieren-und-exportieren-von-group-policy-preferences.aspx

Update 15. November 2010: In der vorherigen Fassung der XML-Dateien war ein kleiner Fehler enthalten. Dort war die Aktion für die zu verteilenden Dateien auf “Aktualisieren” gesetzt. Sie muss allerdings auf “Ersetzen” stehen, damit die Dateien, wenn man sie auf dem Dateiserver aktualisiert, auch tatsächlich auf allen von den GPP betroffenen Servern ausgetauscht werden. Die heute erneuerte Fassung der Download-Datei berücksichtigt dies. (Danke für den Hinweis an Matthias Zoss!)

Folgendermaßen kann man vorgehen:

Download einer Vorlage für GPP von unserer Seite (inklusive Konfigurationsdatei):
Note: There is a file embedded within this post, please visit this post to download the file.
Anpassen der Pfade in den XML-Dateien:
Im Wesentlichen reicht es aus, die Datei “Files BGInfo.xml” aus dem Zip-Archiv mit Notepad zu öffnen und an zwei Stellen den Pfad “\\server\share\BGInfo\” an die lokalen Gegebenheiten anzupassen. Speichern, fertig.
Erzeugen eines GPO-Objektes, das später an die OU mit den Servern gekoppelt wird.
Öffnen des GPO, dort dann den Ordner Computerkonfiguration/Einstellungen/Windows-Einstellungen/Dateien erweitern.
Die XML-Datei “Files BGInfo.xml” aus dem Explorer kopieren (per Zwischenablage). In den Detailbereich des GPO wechseln, Rechtsklick, Einfügen. Es sollten nun zwei Einträge dort stehen.
Nun den Ordner “Ordner” im GPO öffnen. Die Datei “Folders BGInfo.xml” im Explorer in die Zwischenablage kopieren und wie zuvor in den Detailbereich des GPO unter “Ordner” einfügen. Dort sollte dann ein Eintrag stehen.
Schließlich in den Ordner “Verknüpfungen” auf dieselbe Weise die Datei “Links BGInfo.xml” einfügen.
Ablegen der Dateien BGInfo.exe und der BGI-Konfigurationsdatei auf dem Server in der Freigabe, die man in Schritt 2 in die XML-Datei eingetragen hat.
Das war’s.

Das so entstandene GPO nun mit der OU verküpfen, in der die Computerkonten der Server gespeichert sind. Von da an sollten alle Server beim nächsten Logon das BGInfo-Hintergrundbild anzeigen. Für Server unter Windows Server 2003 muss man ggf. noch die CSEs für GPP hinzufügen, die neueren Systeme enthalten dies bereits.

Wer die BGI-Datei bearbeiten möchte, kann sie direkt mit BGInfo.exe öffnen. Dort kann man z.B. auch Skripte einbinden, die zusätzliche Informationen erzeugen. Die nötigen Skriptdateien legt man dann auch auf dem Server ab und bindet sie unter "Dateien" im GPP ein.

x86: [Download details: Group Policy Preference Client Side Extensions for Windows Server 2003 (KB943729)]
http://www.microsoft.com/downloads/en/details.aspx?FamilyId=BFE775F9-5C34-44D0-8A94-44E47DB35ADD&displaylang=en

x64: [Download details: Group Policy Preference Client Side Extensions for Windows Server 2003 x64 Edition (KB943729)]
http://www.microsoft.com/downloads/en/details.aspx?FamilyId=29E83503-7686-49F3-B42D-8E5ED23D5D79&displaylang=en

[BgInfo]
http://technet.microsoft.com/de-de/sysinternals/bb897557.aspx

[faq-o-matic.net » BGInfo um eigene Datenfelder erweitern]
http://www.faq-o-matic.net/2007/09/05/bginfo-um-eigene-datenfelder-erweitern/

Outlook: Automatischen Versand erlauben

Nils Kaczenski — Wed, 27 Oct 2010 04:49:00 +0000

Manche Programme klinken sich in Outlook ein, um Mail zu versenden. Dazu gehören z.B. viele ERP-Programme, die auf diese Weise Mails an Kunden schicken können. Das ist nicht nur sehr effizient, sondern ergibt auch gleichzeitig den Vorteil, dass solche Mails in den “Gesendeten Elementen” von Outlook auftauchen.

Da gibt es allerdings einen kleinen Haken: Standardmäßig lässt Outlook dies nicht ohne Weiteres zu. Denn natürlich lässt sich sowas auch hervorragend missbrauchen, um ohne Zutun des Anwenders einfach mal so Mail im Hintergrund zu versenden. Vor vielen Jahren, als es die Outlook-Sicherheitsstufe noch nicht gab, war das auch unter Viren- und Wurmautoren eine sehr beliebte Methode.

Wie stellt man es nun an, wenn man seiner Anwendung das Senden mit Outlook gestatten will?

Dazu hier eine Warnung:

Mit der hier beschriebenen Methode kann man das Senden durch externe Applikationen nur pauschal erlauben. Es gibt hier keine Möglichkeit, den Versand auf bestimmte Anwendungen einzugrenzen. Effektiv hebelt man also den Outlook-Sendeschutz damit aus!

Manchmal fragt Outlook nicht nur einmal, sondern doppelt –
je nachdem, was die Anwendung gerade versucht …

So geht’s:

Zunächst muss man für die jeweilige Outlook-Version die passenden ADM(X)-Dateien einbinden, mit denen sich das Programm per Gruppenrichtlinie steuern lässt. Für Office 2010 findet ihr die Download-Hinweise an folgender Stelle; für ältere Versionen schaut bitte auf dem Download-Server von Microsoft.

[faq-o-matic.net » Gruppenrichtlinien für Office 2010]
http://www.faq-o-matic.net/2010/05/17/gruppenrichtlinien-fr-office-2010/

In der Gruppenrichtlinie, die für die betreffenden Benutzerkonten gilt, navigiert man nun zu folgendem Pfad:

Den “Outlook Sicherheitsmodus” stellt man auf den Wert “Outlook-Sicherheitsgruppenrichtlinie verwenden”. Das ist zwingende Voraussetzung, damit die folgenden Einstellungen überhaupt wirksam werden!

Als nächsten Schritt wechselt man im GPO-Editor eine Ebene nach unten in den Ordner “Programmatische Sicherheit”:

Hier sind die passenden Optionen per Doppelklick auszuwählen und mit dem Wert “Automatisch genehmigen” zu konfigurieren. Die meisten externen Applikationen benötigen zwei der Einträge (wie im Bild), nämlich den für das “Lesen von Adressinformationen” und den für das “Senden von E-Mail”.

Auf den Clients ist nun per Neuanmeldung (oder per “gpupdate”) für die Anwendung der Gruppenrichtlinie zu sorgen. Danach sollte der automatische Mailversand funktionieren.

Besonderheiten der AD-Kennwortrichtlinie

Nils Kaczenski — Thu, 24 Jun 2010 07:01:00 +0000

Die Kennworteinstellungen in Active Directory nehmen in der Verarbeitung von Gruppenrichtlinien eine Sonderstellung ein. Zwar ist es in jedem Gruppenrichtlinienobjekt (Group Policy Object, GPO) möglich, Vorgaben für Kennwörter zu hinterlegen. Doch anders, als viele Admins annehmen, wirken sich solche Einstellungen nicht auf Domänenbenutzer aus, wenn man sie auf beliebige OUs verknüpft. In solchen Fällen haben die auf OUs gelegten Kennwortvorgaben nur einen Effekt auf Computerkonten, die in diesen OUs liegen, und konfigurieren dann die Einschränkungen für lokale Benutzerkonten dieser Rechner.

Die einzige Ebene, auf der sich Kennworteinstellungen für Domänenbenutzer festlegen lassen, ist die Domänenebene – damit gelten die Vorgaben immer für die gesamte Domäne. Erst in Windows Server 2008 hat Microsoft mit den “Fine-grained Password Policies” eine Möglichkeit eingeführt, differenziertere Konfigurationen einzusetzen.

Die Besonderheiten gehen aber noch weiter. Entgegen der allgemeinen Empfehlung, die beiden vordefinierten GPOs “Default Domain Policy” und “Default Domain Controllers Policy” nach Möglichkeit unberührt zu lassen und für eigene Richtlinien zusätzliche GPOs zu definieren, sollte man Kennworteinstellungen ausschließlich in der “Default Domain Policy” setzen. Warum ist das so?

Ein wenig bis gar nicht dokumentierter Prozess in Active Directory sorgt dafür, die Kennwortrichtlinien auf die Domäne anzuwenden. Dieser Prozess läuft separat von den normalen GPO-Verarbeitungskomponenten ausschließlich auf dem Domänencontroller mit der Betriebsmasterrolle “PDC Emulator”. Unter anderem überträgt er die Kennworteinstellungen direkt in das Domänenobjekt in Active Directory. Dort kann man sie ohne Zugriff auf die Default Domain Policy direkt auslesen (das Dokumentationswerkzeug José macht sich dies seit Version 3.0 zunutze).

Tatsächlich geht dieser Prozess aber noch einen Schritt weiter. Ändert man auf dem PDC-Emulator die Kennworteinstellungen direkt im Domänenobjekt (dem sog. “Domain Head”), so schreibt Windows die Daten zurück in die Default Domain Policy. Dies ist der einzige bekannte Fall, in dem Windows ein GPO ohne direktes Zutun des Administrators inhaltlich verändert.

Dieser Umstand hat allerdings Folgen, die u.U. unerwünscht sind. Hat man nämlich die effektive Kennworteinstellung nicht über die Default Domain Policy vorgenommen, sondern über ein eigenes GPO, so berücksichtigt der “Rückwärts-Schreibvorgang” dies nicht. Stattdessen überträgt er die Daten in die Default Domain Policy – offenkundig hartkodiert und ohne Logik zur Prüfung, welches GPO denn tatsächlich entscheidend ist.

Damit verschärft sich die Empfehlung: Kennworteinstellungen sollte man ausschließlich in der Default Domain Policy vornehmen!

Referenz:

[Mark Minasi's Reader Forum - Password Policy and the PDE Emulator]
http://x220.minasi.com/forum/topic.asp?whichpage=1&TOPIC_ID=20647𖹚

Homepage für Öffentliche Ordner in Outlook 2010 anzeigen

Denis Eckler — Thu, 17 Jun 2010 06:33:00 +0000

Wer unter Outlook 2010 HTML-Seiten in Öffentlichen Ordnern anzeigen lassen will, steht vor dem Problem, dass die Schaltfläche zwar vorhanden, aber ausgegraut ist. (Man muss das Recht „Besitzer“ haben, um den Menüpunkt angezeigt zu bekommen.) Wir veröffentlichen über diese Funktion zum Beispiel Kurzanleitungen oder auch Telefonlisten. Die Lösung dieses Problems haben wir zusammen mit dem Microsoft Support Team gefunden.

Es gibt drei Wege, dieses Ziel zu erreichen:

Manuell am Outlook-Client (klicken)
Manuell per Registry-Schlüssel
Automatisch per Gruppenrichtlinie

Variante 1: Manuell am Outlook-Client

Hier geht man über „Datei“ -> „Optionen“ -> „Sicherheitscenter“ -> „Einstellungen für das Sicherheitscenter“

Dort „E-Mail-Sicherheit“, dann den Haken bei „Skript in Öffentlichen Ordnern zulassen“ setzen.

Anschließend kann man unter den Eigenschaften eines Öffentlichen Ordners den Haken „Homepage dieses Ordners standardmäßig anzeigen“ wieder setzen. Hierfür benötigt man „Besitzer“-Rechte auf dem Ordner.

Variante 2: Manuell per Registry-Schlüssel

HKCU\Software\Microsoft\Office\14.0\Outlook\Security

DWORD Entry: PublicFolderScript

Value: 1

Variante 3: Automatisch per Gruppenrichtlinie

ADM-Datei: PFHomepage.adm

CLASS USER

CATEGORY "Erweiterungen"

 POLICY "Outlook 2010 Skript Public Folder"
  KEYNAME "Software\Microsoft\Office\14.0\Outlook\Security"
  PART "Skipts in Öffentlichen Ordnern zulassen" CHECKBOX
  VALUENAME "PublicFolderScript"
  END PART
  PART "Skripts sind nötig, um HTML-Homepages für Ordner anzuzeigen." TEXT END PART
 END POLICY

END CATEGORY

Hier eine "schöne" Fassung der ADM-Datei zum Download (Danke an Norbert Fehlauer):

Note: There is a file embedded within this post, please visit this post to download the file.

Fazit

Und zum Schluss noch der Beweis, dass es wirklich geht

vorher/nachher:

Gruppenrichtlinien für Office 2010

Nils Kaczenski — Mon, 17 May 2010 12:19:18 +0000

Bereits seit zwei Wochen sind die ADM- und ADMX-Dateien verfügbar, mit denen sich Office 2010 zentral über Gruppenrichtlinien steuern lässt. Hier die wichtigsten Links dazu:

Blog-Artikel:
[Office Resource Kit Blog : Office 2010 Group Policy Administrative Template files (ADM, ADMX, ADML) and Office Customization Tool download available]
http://blogs.technet.com/office_resource_kit/archive/2010/05/03/office-2010-group-policy-administrative-template-files-adm-admx-adml-and-office-customization-tool-download-available.aspx
Download des Pakets:
[Download details: Office 2010 Administrative Templates and OCT]
http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=64b837b6-0aa0-4c07-bc34-bec3990a7956
Excel-Übersicht zum Download:
[Download details: Group Policy settings reference for Office 2010]
http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=f2316c00-447c-49b7-810b-68fef63cfb12
Überblick und GPO-Grundlagen:
[Group Policy overview for Office 2010]
http://technet.microsoft.com/en-us/library/cc179176.aspx
Nutzung in der GPMC:
[Enforce settings by using Group Policy in Office 2010]
http://technet.microsoft.com/en-us/library/cc179081.aspx

faq-o-matic.net » Gruppenrichtlinien

Windows-Bibliotheken per GPO verwalten

Vorbereitungen

Die Umsetzung

Verwandte Beiträge:

Einstellungen für Gruppenrichtlinien finden

Verwandte Beiträge:

“An Taskleiste anheften” per Gruppenrichtlinie

Der Skriptcode:

Die Umsetzung

Verwandte Beiträge:

Terminalserver: Den Protected Mode des Adobe Reader X abschalten

Den Protected Mode zentral abschalten – GPP-Methode

Den Protected Mode zentral abschalten – ADM-Methode

Verwandte Beiträge:

UAC: Den Explorer mit Admin-Rechten starten

Verwandte Beiträge:

BGInfo per Gruppenrichtlinien ausrollen

Verwandte Beiträge:

Outlook: Automatischen Versand erlauben

Dazu hier eine Warnung:

So geht’s:

Verwandte Beiträge:

Besonderheiten der AD-Kennwortrichtlinie

Verwandte Beiträge:

Homepage für Öffentliche Ordner in Outlook 2010 anzeigen

Variante 1: Manuell am Outlook-Client

Variante 2: Manuell per Registry-Schlüssel

Variante 3: Automatisch per Gruppenrichtlinie

Fazit

Verwandte Beiträge:

Gruppenrichtlinien für Office 2010

Verwandte Beiträge: