Sunny61

Muss die Aufgabe denn wirklich mit dem Dom Admin ausgeführt werden? Das ist zuerst zu hinterfragen. Und grundsätzlich kann man Tasks ja auch mit GPPs schön verteilen.

Für den Server 2016 gab es auch ein xls von Microsoft dazu, in dem den die Dienste genannt waren, die man deaktivieren konnt. Auf das xls wird zwar noch verlinkt, aber es ist nicht mehr existent. Hier ist der Original Artikel: https://docs.microsoft.com/de-de/windows-server/security/windows-services/security-guidelines-for-disabling-system-services-in-windows-server

Bei 8 MA an 5 Rechnern könnte man auch einfach alle 8 an jedem Rechner einmal anmelden lassen. Outlook vollständig einrichten und auch alle anderen Programme konfigurieren und testen.

Natürlich werden die ausgerollt, Enterprise und Education bekommen die auch noch. :) https://docs.microsoft.com/de-de/lifecycle/products/windows-10-enterprise-and-education https://docs.microsoft.com/de-de/lifecycle/products/windows-10-home-and-pro

Bei einer Ordnerumleitung wird, außer man hat es anders konfiguriert, sofort synchronisiert. Probier es aus und du weißt es. Wie soll er etwas schreiben können wenn es keine Schreibrechte gibt? Setz dich hin und fang an zu testen. Anschließend kommst Du dann mit dem Ergebnis.

Wie soll er schreiben können wenn das Profil schreibgeschützt ist? Entweder Du löscht das Userprofil täglich beim Shutdown oder beim Abmelden, oder du machst eine Ordnerumleitung und löscht daraus jede Nacht all das, was nicht auf der White List steht.

Weshalb ist das LW über die IP verbunden? Probier doch mal folgendes: Testbenutzer anlegen, kommt der Fehler, dann das Profil auf dem TS wegschmeißen und das LW via Namen neu verbinden. Kommt jetzt der Fehler wieder?

Irgendwann hab ich angefangen gleich zu Beginn Betrag x als Vorauskasse zu verlangen. Zu 99,9% war das Problem dann keines mehr.

Und hier steht recht deutlich: Was soll der WSUS dann von selbst machen? Ein weiteres Update downloaden? Der WSUS ist dumm, wenn Du ein Update zur Installation freigibst, wird es gedownloadet und den Clients angeboten. Falls es der Update Agent vom Client möchte, holt er es sich und installiert es. Nicht mehr und nicht weniger.

An welcher Stelle genau liest Du raus, dass KB5000808 NICHT über den WSUS zur Verfügung gestellt wird? Vielleicht sehe ich es nicht, aber ich lese nichts von NICHT über den WSUS. Auch wenn es NICHT über den WSUS angeboten wird, man kann es ja, sofern es im MU-Catalog zu finden ist, auch direkt in den WSUS importieren.

Wenn Du in https://support.microsoft.com/de-de/topic/hinweise-zu-inhaltlichen-änderungen-bei-software-update-services-und-windows-server-update-services-im-jahr-2021-kb894199-0c540f4f-60c8-7dc2-23c9-48153749966d danach suchst, findest Du die Klassifizierung in der das Update zu finden ist.

Man darf auch Nein im Leben sagen. ;) Automapping ist wie ein Blinker, geht, geht nicht. Also umstellen, fertig.

Etwas anderes hatte ich auch nicht erwartet, leider.

Von welcher Windows 10 Version sprechen wir hier? ich tendiere hier eigentlich immer etwas hinten dran zu sein. BETA-Tester dürfen gerne andere für mich machen, muss ich nicht mehr haben. :)

Was spricht dagegen, die Dateien in den Autostart zu packen?

Norbert spricht vom WSUS direkt, Du kannst dort ja Updates von WU/MU Online direkt importieren. Das geht wohl auch per Script, hab ich selbst noch nicht probiert: https://www.windowspro.de/wolfgang-sommergut/updates-manuell-wsus-importieren-ie-powershell EDIT: Import von Updates direkt in den WSUS: https://www.wsus.de/updates-importieren/

Wenn dein BAT nicht ausgeführt wird, und das ist genau das, was ich hier raus lese, leg das Script direkt lokal ab, pass den Pfad im GPO an und probiere es erneut. Findet sich eigentlich irgendein Hinweis im Eventlog? Es gibt übrigens auch ein eigenes Eventlog für GPOs.

In einem *.bat per powershell.exe -deineParameter die Ausführung von PS-Scripten erlauben und in der nächsten Zeile rufst Du dein Script auf. So sollte es funktionieren. Alternativ kann man natürlich auch über das Signieren von PS-Scripten nachdenken und nur noch signierte Scripte zulassen. Und natürlich die Scripte *VOR* der Ausführung lokal auf den Computer bringen.

Schau dich hier mal um: http://www.dieseyer.de/vbs-erklaeren.html Die Befehlszeile in eine txt schreiben, den Inhalt auslesen und aufrufen. Ausprobieren, keine Ahnung ob das so funktioniert.

Du schreibst es selbst sehr deutlich. Lies dir das doch einfach mal ganz laut vor, dann fällt sicherlich der Groschen. ;)

Lies mal: https://www.mcseboard.de/topic/220255-abmeldeskript-powershell-via-gpo-funktioniert-nicht/?do=findComment&comment=1421561

Schreibe vor jeder Zeile einen Eintrag ins Eventlog: https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.management/write-eventlog?view=powershell-5.1 BTW: In der Aufgabenplanung kann man übrigens auch beim Trennen einer Benutzersitzung ein Script ausführen.

Leg das Script lokal in ein Verzeichnis und probier es erneut. Evtl. ist die Verbindung schon gekappt und es wird nichts ausgeführt. Um zu prüfen ob das Script ausgeführt wird, kannst Du dir ja zuerst eine TXT im o.g. Verzeichnis erstellen lassen. Als Inhalt evtl. den Inhalt des o.g. Verzeichnisses auflisten lassen.

Ich hab das gerade mal schnell getestet. Aufgabe erstellt, Programmname: C:\Windows\System32\gpupdate.exe Parameter: /force Gespeichert und ausgeführt. Kein Commdfenster oder ähnliches zu sehen. Wenn man natürlich C:\Windows\System32\cmd.exe mit Parametern gpupdate /force ausführt, wird ziemlich sicher ein 'schwarzes' Fenster aufpopppen. BTW: Weshalb ist ein /force unnötig: https://www.gruppenrichtlinien.de/artikel/gpupdate-vs-gpupdate-force

Alternativ die Aufgabe mit einer Batch starten und darin prüfen ob der UNC-Pfad erreichbar ist. Wenn ja, VB-Script ausführen, ansonsten schlafen legen. ;)