GPO: PUA Einstellungen

[Scharping-FVB 11]

Liebes Forum,

 

immer wieder wird bei Windows 10 diese Einstellung herausgenommen:

 

Nun kann ich einfach den Haken setzen, aber ich renne ja nicht jede Woche rum und prüfe das bei 100 Laptops...

 

Ich finde dazu allerdings keine GPO-Einstellung, nur die, mit der der Schieber auf "Ein" gesetzt werden kann:

Computer-Windows Components - Microsoft Defender Antivirus -

Eine Einstellung für die Haken finde ich nicht.

 

Kennt jemand die Einstellungen für die Haken, zumindest für den Haken bei "Downloads"?

 

Viele Grüße

Davorin

[lukas2002 1]

Hallo,

 

das ist verknüpft mit dem Microsoft Edge.

Du musst dir als erstes die Templates vom Microsoft Edge downloaden und die Templates auf dem Domänencontroller hinzufügen.

Danach konfigurierst du die folgenden Einträge in einer Gruppenrichtlinie.

 

Computerkonfiguration -> Administrative Vorlagen -> Microsoft Edge -> SmartScreen-Einstellungen 

-> Microsoft Defender SmartScreen konfigurieren (aktiviert)

-> Microsoft Defender SmartScreen konfigurieren, um potenziell unerwünschte Apps zu blockieren (aktivieren)

-> Überprüfung von Downloads von vertrauenswürdigen Quellen durch Microsoft Defender SmartScreen erzwingen (aktiviert)

 

 

Kann sein das es auch nicht alle Richtlinien sein müssen, aber so funktioniert es auf jeden Fall.

 

 

Gruß

Lukas

[Sunny61 807]

vor 43 Minuten schrieb lukas2002:

Du musst dir als erstes die Templates vom Microsoft Edge downloaden und die Templates auf dem Domänencontroller hinzufügen.

Danach konfigurierst du die folgenden Einträge in einer Gruppenrichtlinie.

Man kann auch auf einem Client oder Memberserver die GPMC.MSC hinzufügen und von dort aus die Gruppenrichtlinien in einer Domain bearbeiten, man muss es dazu NICHT auf deinem DC machen. Nur zur Info.

[Dukel 455]

Man möchte aber die GPOs auf den DC's haben. Aber im Central Store. Aber das geht zu weit OT.

[lukas2002 1]

vor 44 Minuten schrieb Sunny61:

Man kann auch auf einem Client oder Memberserver die GPMC.MSC hinzufügen und von dort aus die Gruppenrichtlinien in einer Domain bearbeiten, man muss es dazu NICHT auf deinem DC machen. Nur zur Info.

Diese Aussage verstehe ich nicht wirklich. Wie möchtest du den bitte die ADMX Templates auf den Domänencontroller in den Central Store kopieren ohne was an dem Berechtigungskonstrukt zu machen???

 

[Sunny61 807]

vor einer Stunde schrieb Dukel:

Man möchte aber die GPOs auf den DC's haben. Aber im Central Store. Aber das geht zu weit OT.

Nein, das möchte ich nicht mehr.

vor 38 Minuten schrieb lukas2002:

Diese Aussage verstehe ich nicht wirklich. Wie möchtest du den bitte die ADMX Templates auf den Domänencontroller in den Central Store kopieren ohne was an dem Berechtigungskonstrukt zu machen???

Du hast in dem von mir zitierten Posting allerdings nicht vom Central Store gesprochen. Mit den vielen verschiedenen Windows 10 Versionen und der vorhandenen Windows 11 ist es IMHO besser die Clients wieder von Clients aus mit GPOs zu beglücken, die Server von Servern aus.

 

BTW: Natürlich kann ich von jedem Client/Server aus ADMX-Templates in den Central Store kopieren, berechtigte User vorausgesetzt. Technisch ist es möglich.

BTW2: Eine Frage wird mit mehreren Fragezeichen nicht fragiger.

[Scharping-FVB 11]

vor 3 Stunden schrieb lukas2002:

Hallo,

 

das ist verknüpft mit dem Microsoft Edge.

Du musst dir als erstes die Templates vom Microsoft Edge downloaden und die Templates auf dem Domänencontroller hinzufügen.

Danach konfigurierst du die folgenden Einträge in einer Gruppenrichtlinie.

 

Computerkonfiguration -> Administrative Vorlagen -> Microsoft Edge -> SmartScreen-Einstellungen 

-> Microsoft Defender SmartScreen konfigurieren (aktiviert)

-> Microsoft Defender SmartScreen konfigurieren, um potenziell unerwünschte Apps zu blockieren (aktivieren)

-> Überprüfung von Downloads von vertrauenswürdigen Quellen durch Microsoft Defender SmartScreen erzwingen (aktiviert)

 

 

Kann sein das es auch nicht alle Richtlinien sein müssen, aber so funktioniert es auf jeden Fall.

 

 

Gruß

Lukas

Prinzipiell funktioniert das, aber genau der Haken, der im Screenshot fehlt, lässt sich nicht setzen :-(

Das blöde ist, dass dieser Haken bei unseren Usern hin und wieder einfach verschwindet, obwohl der Haken manuell vom User gesetzt wurde. Wahrscheinlich ein Windows Patch, der da rein pfuscht...

[lukas2002 1]

vor 2 Stunden schrieb Scharping-FVB:

Prinzipiell funktioniert das, aber genau der Haken, der im Screenshot fehlt, lässt sich nicht setzen :-(

Das blöde ist, dass dieser Haken bei unseren Usern hin und wieder einfach verschwindet, obwohl der Haken manuell vom User gesetzt wurde. Wahrscheinlich ein Windows Patch, der da rein pfuscht...

Also ich habe gerade eben extra mal die Funktionen deaktiviert und dann fehlt bei mir genauso der Haken wie bei dir. Aktiviere ich die drei Punkte ist der Haken gesetzt. 

 

Ich habe es jetzt nochmal ausprobiert, die genau richtige Richtlinie ist folgende.

Computerkonfiguration -> Administrative Vorlagen -> Microsoft Edge -> SmartScreen-Einstellungen 

-> Microsoft Defender SmartScreen konfigurieren, um potenziell unerwünschte Apps zu blockieren (aktivieren)

 

 

Setz die mal und führe danach mal ein "Gpupdate /force" aus.

 

[daabm 1.366]

vor 5 Stunden schrieb Dukel:

Man möchte aber die GPOs auf den DC's haben. Aber im Central Store. Aber das geht zu weit OT.

 

Zweimal nachdenken... GPOs und Central Store haben nichts miteinander zu tun - gar nichts. Ist nur zufällig der gleiche Share. Und GPOs liegen nicht "auf dem Domain Controller", sondern in Sysvol.

 

Ansonsten bin ich bei @Sunny61 - NIEMAND will einen Central Store. Größter Müll, den sich MS bei GPOs je hat einfallen lassen. GPResult dauert ewig, GPO bearbeiten dauert ewig, konfliktierende ADMX führen zu Nichtverwaltbarkeit, alle angeschlossenen OS müssen alles unterstützen, was grad da drin liegt. Und das Teil zu aktualisieren wird auch so oft vergessen, daß int32 schon lange übergelaufen ist.

[NorbertFe 2.061]

vor einer Stunde schrieb lukas2002:

führe danach mal ein "Gpupdate /force" aus.

Warum /forrce? Wirds dann wichtiger ausgeführt oder fühlt sich der Admin dann besser? ;)

[Scharping-FVB 11]

vor 11 Stunden schrieb daabm:

 

Zweimal nachdenken... GPOs und Central Store haben nichts miteinander zu tun - gar nichts. Ist nur zufällig der gleiche Share. Und GPOs liegen nicht "auf dem Domain Controller", sondern in Sysvol.

 

Ansonsten bin ich bei @Sunny61 - NIEMAND will einen Central Store. Größter Müll, den sich MS bei GPOs je hat einfallen lassen. GPResult dauert ewig, GPO bearbeiten dauert ewig, konfliktierende ADMX führen zu Nichtverwaltbarkeit, alle angeschlossenen OS müssen alles unterstützen, was grad da drin liegt. Und das Teil zu aktualisieren wird auch so oft vergessen, daß int32 schon lange übergelaufen ist.

Haltet bitte diese Grundsatzdiskussion hier heraus, das hilft mir nicht weiter, bei meinem Problem.

 

Danke

vor 11 Stunden schrieb NorbertFe:

Warum /forrce? Wirds dann wichtiger ausgeführt oder fühlt sich der Admin dann besser? ;)

Haltet bitte diese Grundsatzdiskussion hier heraus, das hilft mir nicht weiter, bei meinem Problem.

 

Danke

vor 12 Stunden schrieb lukas2002:

Also ich habe gerade eben extra mal die Funktionen deaktiviert und dann fehlt bei mir genauso der Haken wie bei dir. Aktiviere ich die drei Punkte ist der Haken gesetzt. 

 

Ich habe es jetzt nochmal ausprobiert, die genau richtige Richtlinie ist folgende.

Computerkonfiguration -> Administrative Vorlagen -> Microsoft Edge -> SmartScreen-Einstellungen 

-> Microsoft Defender SmartScreen konfigurieren, um potenziell unerwünschte Apps zu blockieren (aktivieren)

 

 

Setz die mal und führe danach mal ein "Gpupdate /force" aus.

 

Als Nicht-Admin habe ich nur den Ein- Aus-Knopf

Mit einer neuen GPO funktioniert es nun

Mal schauen, ob es auch den gewünschten Effekt hat. Bei Downloads sollen gewarnt werden, aber mit ein paar Klicks sollen die trotzdem möglich sein.

 

Und das muss ich auch noch lösen:

Das sollte ja auch an sein.

[lukas2002 1]

Am 12.1.2024 um 06:26 schrieb Scharping-FVB:

Mit einer neuen GPO funktioniert es nun

Mal schauen, ob es auch den gewünschten Effekt hat. Bei Downloads sollen gewarnt werden, aber mit ein paar Klicks sollen die trotzdem möglich sein.

Dann haben wir das ja schonmal.

 

Am 12.1.2024 um 06:26 schrieb Scharping-FVB:

Und das muss ich auch noch lösen:

Das sollte ja auch an sein.

 

 

Dafür setzt du die Richtlinien:

Computerkonfiguration -> Administrative Vorlagen -> Windows-Komponenten -> Datei-Explorer

-> Windows Defender SmartScreen aktivieren (aktiviert - Warnen und Umgehung verhindern)

[MurdocX 953]

Am 11.1.2024 um 13:02 schrieb Sunny61:

Man kann auch auf einem Client oder Memberserver die GPMC.MSC hinzufügen und von dort aus die Gruppenrichtlinien in einer Domain bearbeiten, man muss es dazu NICHT auf deinem DC machen. Nur zur Info.

Am 11.1.2024 um 19:08 schrieb daabm:

Ansonsten bin ich bei @Sunny61 - NIEMAND will einen Central Store. Größter Müll, den sich MS bei GPOs je hat einfallen lassen. GPResult dauert ewig, GPO bearbeiten dauert ewig, konfliktierende ADMX führen zu Nichtverwaltbarkeit, alle angeschlossenen OS müssen alles unterstützen, was grad da drin liegt. Und das Teil zu aktualisieren wird auch so oft vergessen, daß int32 schon lange übergelaufen ist.

 

Nutzt Ihr dann zur Erstellung und Verwaltung eigene PAWs?

[daabm 1.366]

Bin raus, ich hab zu viel Grundsatzdiskussion geführt

[Scharping-FVB 11]

Am 13.1.2024 um 09:22 schrieb lukas2002:

Dann haben wir das ja schonmal.

 

 

 

Dafür setzt du die Richtlinien:

Computerkonfiguration -> Administrative Vorlagen -> Windows-Komponenten -> Datei-Explorer

-> Windows Defender SmartScreen aktivieren (aktiviert - Warnen und Umgehung verhindern)

Das hat leider nicht funktioniert. Das war schon genauso eingestellt.
Es bleibt ausgegraut und laut "Knopf" ausgeschaltet :-(