Jump to content

Bestimmte Programme vom Autostart mit GPO verhindern


Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Empfohlene Beiträge

Hallo liebe Leute,

 

ich möchte über die GPO auf windows 2008 Server bestimmte Programme vom Autostart, die manche Mitarbeiter bei sich im Autostart eingerichtet haben, verhindern, bzw. verbieten.

 

Ich möchte nicht, dass der Benutzer selber, die Programme im Autostart einrichtet.

 

Vielleicht gibt's auch eine Möglichkeit, bestimmte Programme vom Autostrat zu verhindern.

 

Ich danke Euch in Voraus für die Hilfe und die Tipps.

 

Gruß

 

Nizo

Link zu diesem Kommentar

Hallo nizo,

 

das Problem ist, dass es viele unterschiedliche Orte gibt, an denen ein Programm zum automatischen Start sich hineinschreiben kann. Eine Standardlösung wird es daher wohl eher nicht geben können.

 

Warum sollen die Mitarbeiter ihre Programme nicht automatisch starten lassen? Oder sollen sie manche Programme überhaupt nicht starten können?

 

Grüße,

Robert

Link zu diesem Kommentar

Ich möchte nicht, dass die Benutzer foldgenden Programme (Skype, Outlook, Batch Dateien) im Autostart haben, weil sie den Rechner beim Anmelden langsamer machen.

 

Gibt es dafür eine Lösung?

 

Ja, per Group Policy Preferences Beispieleinträge zum löschen erzeugen. Dann wird bei der Übernahme der GPP der Eintrag gelöscht und somit auch nicht ausgeführt.

 

Alternativ könntest Du natürlich den Autostart im allgemeinen mit NTFS Berechtigungen absperren.

Link zu diesem Kommentar

Hallo Sunny,

 

Alternativ könntest Du natürlich den Autostart im allgemeinen mit NTFS Berechtigungen absperren.

das funktioniert aber nur für Programme in der Autostartgruppe im Startmenü. Sobald die Programme das aber anders lösen, dann kommt man mit der NTFS-Lösung nicht weit...

 

Grüße,

Robert

bearbeitet von Robi-Wan
Zitat hinzugefügt für Klarheit
Link zu diesem Kommentar
Ja, per Group Policy Preferences Beispieleinträge zum löschen erzeugen. Dann wird bei der Übernahme der GPP der Eintrag gelöscht und somit auch nicht ausgeführt.

 

Alternativ könntest Du natürlich den Autostart im allgemeinen mit NTFS Berechtigungen absperren.

 

Ich kann nicht alle anderen vom System im Autostrat Programme löschen. Ich möchte nur bestimmte Programme verhindern.

 

Der User hat Vollzugriff Rechte auf Autostart in seinem Profile.

Link zu diesem Kommentar
Mensch, ist das so schwierig sich selbst eine Verknüpfung einzurichten und die per GPP zu löschen? Schau dir das Bild an: http://www.gruppenrichtlinien.de/Bilder/gpp_01.png Registrierung als Stichwort.

 

Ich habe nich vielleicht nicht richtig ausgedrückt.

 

Es gibt WS haben DATEV, UPS und SFirm32 darauf, die sind immer im Autostrat, sogra als Dienst.

 

Ich möchte kein UNC Laufwerk einrichten. Ich möchte es nur bestimmten App im Autostrat erlauben.

 

Können Sie mir bitte helfen?? Ich bitte es zu merken, ich bin kein Expert wie Sie.

 

Ich danke im Voraus für die Tipps bzw. Hilfe

 

Gruß

 

Nizo

Link zu diesem Kommentar

Hallo nizo,

so wie du es dir vorstellst, geht es leider nicht.

Du kannst nicht definieren, welche Programme NICHT gestartet werden dürfen.

 

 

Wenn es aber doch so wichtig ist, kannst du es genau umgekehrt machen und definieren, welche Programme mitgestartet werden sollen und andere aus dem AutoRun löschen-

 

So kannst du z.B. (wie oben beschrieben) per NTFS-Berechtigung den Benutzern den Schreibzugriff auf die Autostart-Ordner verweigern, bzw, dessen Inhalt löschen.

 

Das Selbe gilt für die Registry-Schlüssel. Hier alle Anwendungen, bis auf Gewünschte löschen und Schreibzugriff entfernen (wie oben).

Nun kann der User zwar die gewünschten Programme ausführen, kann aber keine weiteren hinzufügen. Wenn der User Adminrechte hat, kann er aber die Berechtigungen ändern, sofern er weiß, wie das geht...

Bei Diensten musst du unerwünschte Dienste deaktivieren/deinstallieren, andersherum geht es hier nicht.

Grundsätzlich reicht die Vorgehensweise aber für Programme, wie z.B. Outlook, Skype und diverse Batch-Files.

 

Also, meine Idee als Kurzfassung:

Der Benutzer hat immer Leserechte im Autorun-Ordner, sowie in den betreffenden Registry-Keys.

Du als Admin löschst dann unerwünschte Programme und lässt gewünschte drin, bzw. startes die auf eine andere Art.

 

Wenn der User dann aber keine Schreibrechte hat, kann er keine neuen Programme hinzufügen, durch die Leserechte kann er aber vorhandene ausführen.

 

Ich hoffe, das hilft dir mit deinem Problem weiter.

Ansonsten, wenn du noch Fragen hast oder Hilfe bei der Ausführung brauchst, frag einfach.

 

Gruß

Dominique

 

PS.:

 

Wenn es sich um sehr viele Benutzer handelt und du nicht an allen PCs die gleichen Schritte durchführen möchtest, führe das Löschen der Anwendungen an den beschriebenen Stellen und das Setzen der Berechtigungen am Besten mithilfe eines Anmeldeskripts durch.

Auch hier: Wenn du Hilfe bei der Ausführung brauchst, einfach fragen :-)

 

BTW: haben die besagten User Admin-Rechte?

bearbeitet von Dominique01520
Link zu diesem Kommentar

Vielen Dank.

 

Wenn ich die NTFS-Berechtigung von dem Autostrat unter dem Domain-User Profile an schaue, dann hat er Vollzugriffrechte. Unter All User oder Default, hat der PC-Benutzer nur Lese Rechte.

 

Das bedeutet, ich muß zuerst auf alle PCs die Domain-Benutzer die Leseberichtigung einrichten.

Ist es os richtig?

 

Wenn ja, wie kann ich es denn mit GPO machen? Wird es durch Script?

 

Mit Script bin ich leider nicht so fit :(

 

Könntest Du mir bitte dabei helfen? Solche Sckripte an mich per email oder hier im Forum anhängen? Ich wäre Dir sehr dankbar.

Link zu diesem Kommentar
Domain-User Profile an schaue, dann hat er Vollzugriffrechte. Unter All User oder Default, hat der PC-Benutzer nur Lese Rechte.

Das bedeutet, ich muß zuerst auf alle PCs die Domain-Benutzer die Leseberichtigung einrichten.

Das ist richtig so.

Per Script musst du die Berechtigungen so anpassen, dass auf alle Ordner nur Leserechte bestehen, außer die Domain-Admins, die haben Vollzugriff.

 

Dann können die Benutzer keine Programme mehr dort ablegen.

Nur die Admins können Programme ablegen, löschen oder ändern.

 

Ein Script könnte so aussehen:

REM JEDER bekommt nur Leserechte, die Domain-Admins bekommen Vollzugriff.
echo J | cacls "%USERPROFILE%\Startmenü\Programme\Autostart" /P Jeder:R Domänen-Admins:F
echo J | cacls "%ALLUSERSPROFILE%\Startmenü\Programme\Autostart" /P Jeder:R Domänen-Admins:F

Und:

REM Hiermit löscht du ALLE Dateien in den Autostart-Ordnern.
REM am besten erstellst du dann vielleicht die benötigten Programm-Shortcuts neu.
Del /S /Q "%USERPROFILE%\Startmenü\Programme\Autostart\*"
Del /S /Q "%ALLUSERSPROFILE%\Startmenü\Programme\Autostart\*"

 

In English sollte das glaube ich so aussehen:

REM sets the permissions to everyone can only read, Admins have full access
echo Y | cacls "%USERPROFILE%\Start menu\Programs\AutoRun" /P Everyone:R Domain-Admins:F Administrators:F
echo Y | cacls "%ALLUSERSPROFILE%\Start menu\Programs\AutoRun" /P Everyone:R Domain-Admins:F Administrators:F
REM genauso mit dem delete-Befehl.
REM ich kenne aber die englischen Bezeichnungen und Pfade nicht genau.

 

du musst dir das Script anpassen (Pfade und Benutzergruppen etc.)

und es danach als Anmeldeskript im AD hinterlegen.

 

Für die Registry gilt das gleiche und kann in etwa so aussehen:


subinacl /subkeyreg hkey_current_user\software\microsoft\windows\current version\run /grant=jeder=R
subinacl /subkeyreg hkey_current_user\software\microsoft\windows\current version\run /grant=Domänen-Admins=F
subinacl /subkeyreg hkey_current_user\software\microsoft\windows\current version\run /grant=Administratoren=F

 

Das ist nur ein Beispiel. Am besten schaust du dir die einzelnen Befehle und Ordnerpfade an , passt sie deinen Bedürfnissen entsprechend an und bindest Sie dann ein.

Google vielleicht auch nach Cacls, subinacl, und del.

 

Der Benutzer hat aber wahrscheinlich eh keine Admin-Rechte auf den Registry-Pfad unter HKey_local_machine, deswegen habe ich nur current_user geschrieben.

Wenn doch, dann musst du das auch anpassen.

 

Alles, was du hier von brauchst zusammen in eine Bat-Datei schreiben und abspeichern, dann in dem SCRIPTS Ordner kopieren und als Anmeldeskript angeben.

 

------------

 

Bitte sag Bescheid, wenn es Windows Vista oder Windows 7-WS gibt, da funktioniert der CACLS-Befehl nicht!

Kannst du noch sagen, um wie viele Benutzer es sich ungefähr handelt?

 

Wenn es viele Benutzer sind und/oder du auch Win7/Vista hast und du eine Menge Programme im AutoRun lassen willst, dann würde ich sagen, wir steigen ganz auf E-Mail Verkehr um, dann brauche ich etwas genauere Infos, was die Programme und die Workstations angeht und kann dir ein Script fertig machen.

Wenn es dich interessiert, hätte ich noch ein paar Links zu Anmeldeskripts / Batchskripts.

 

Das Ergebnis können wir dann hier posten, dann hat jeder etwas davon.

 

Gruß

Dominique

bearbeitet von Dominique01520
Link zu diesem Kommentar

Wenn ich die NTFS-Berechtigung von dem Autostrat unter dem Domain-User Profile an schaue, dann hat er Vollzugriffrechte. Unter All User oder Default, hat der PC-Benutzer nur Lese Rechte.

 

Das bedeutet, ich muß zuerst auf alle PCs die Domain-Benutzer die Leseberichtigung einrichten.

Ist es os richtig?

 

Wenn ja, wie kann ich es denn mit GPO machen? Wird es durch Script?

 

Über eine GPO kannst Du die Berechtigungen natürlich auch eintragen: Eingeschränkte Gruppen

Link zu diesem Kommentar
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Schreibe einen Kommentar

Du kannst jetzt antworten und Dich später registrieren. Falls Du bereits ein Mitglied bist, logge Dich jetzt ein.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung jetzt entfernen

  Only 75 emoji are allowed.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor-Fenster leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

×
×
  • Neu erstellen...