Feb 18, 2021

17531

Benutzerprofil stark einschränken unter Windows 10 pro

Hallo,

ich würde gerne unter Windows 10 Professional (keine Domäne) ein Benutzerkonto so stark einschränken, dass der User nur ein paar von mir vorher bestimmte Programme starten kann. Im Startmenü sollten dann auch maximal diese Programme auftauchen. Den ganzen vorinstallierten Quatsch soll der gar nicht nurtzen oder sehen. Also gerade mal Datei-Explorer, Webbrowser, Schreib-Programm und das wars.

Ich habe da zwar etwas von Policies gelesen, kenne mich aber damit nicht aus. Könnt Ihr helfen? Gibt es auch Tools, mit dem man so ein Benutzerkonto einschränken kann?

Gruß

Please also mark the comments that contributed to the solution of the article

Content-Key: 653473

Url: https://administrator.de/contentid/653473

Printed on: April 23, 2024 at 22:04 o'clock

22 Comments

Latest comment

Moin

Zitat von @pc-schubser:
ich würde gerne unter Windows 10 Professional (keine Domäne) ein Benutzerkonto so stark einschränken, dass der User nur ein paar von mir vorher bestimmte Programme starten kann. Im Startmenü sollten dann auch maximal diese Programme auftauchen. Den ganzen vorinstallierten Quatsch soll der gar nicht nurtzen oder sehen. Also gerade mal Datei-Explorer, Webbrowser, Schreib-Programm und das wars.

definiere "den ganzen vorinstallierten Quatsch" Wenn du die ganzen vorinstallierten Apps meinst:
https://www.heise.de/tipps-tricks/Windows-10-Vorinstallierte-Apps-deinst ...

Ich habe da zwar etwas von Policies gelesen, kenne mich aber damit nicht aus. Könnt Ihr helfen? Gibt es auch Tools, mit dem man so ein Benutzerkonto einschränken kann?

Nein wir können dir da nicht helfen. Die Policies musst du auf deinem AD selbst konfigurieren. Wenn du dich damit nicht auskennst, dann musst du dich mit einem Kollegen oder einem Buch hinsetzen. Ist aber eine gute Möglichkeit GPOs zu lernen.

Gruß
Doskias

Hallo.

Wie @Doskias schon schrieb könnten wir dir helfen, wenn du ein konkretes Problem mit einer Gruppenlinie hättest.

Dir deine Arbeit abzunehmen geschieht nur nach Einwurf von Münzen

Oder arbeitest du umsonst?

Ansonsten immer wieder zu empfehlen:

https://www.gruppenrichtlinien.de

Gruß
Marc

Hi.

Die CT hat eine Verwaltungsoberfläche für passende Policies geschaffen: https://www.heise.de/download/product/restrictor
Nimm zunächst ein Testsystem/VM mit Snapshots dafür, bis du es verstanden hast.

Nochmal ein wenig genauer. Ziel ist es, dass nur ein paar ausgewählte Programme im Startmenü erscheinen.
Wie das mit dem "alten" Startmenü unter ProgramData und AppData geht, weiß ich sogar. (Ist ähnlich wie bei XP und Win 7.)
Dennoch bleiben die ganzen verdammten "Apps". Die will ich ausgeblendet, bzw. für den User deaktiviert haben. Der User braucht keine "Maps", "Hilfe", "Alarm und Uhr", etc.
Auch unter gruppenrichtlinen.de habe ich dazu nichts passendes gefunden. Als wenn die Apps Sonderrechte hätten.

Gruß

Zitat von @pc-schubser:

Nochmal ein wenig genauer. Ziel ist es, dass nur ein paar ausgewählte Programme im Startmenü erscheinen.
Wie das mit dem "alten" Startmenü unter ProgramData und AppData geht, weiß ich sogar. (Ist ähnlich wie bei XP und Win 7.)
Dennoch bleiben die ganzen verdammten "Apps". Die will ich ausgeblendet, bzw. für den User deaktiviert haben. Der User braucht keine "Maps", "Hilfe", "Alarm und Uhr", etc.
Auch unter gruppenrichtlinen.de habe ich dazu nichts passendes gefunden. Als wenn die Apps Sonderrechte hätten.

Gruß

ich habe dir um 13:48 Uhr einen Link zu heise.de gepostet wo drin steht mit welchem PowerShell-Befehl du die vorinstallierten Apps deinstallieren kannst. Die Apps werden pro User installiert, also must du das ganze Paket entfernen oder das Skript pro User ausführen. Bei Windows-Updates kann aber immer mal wieder ein neues Paket dazukommen, so dass Apps ggf. wieder auftauchen.

Aus dem Link:

Get-AppxPackage *windowsalarms* | Remove-AppxPackage

entfernt Alarm und Uhr

Zitat von @Doskias:

ich habe dir um 13:48 Uhr einen Link zu heise.de gepostet

Danke für den Link. Ich werde das mal ausprobieren. Aber das ist nur eine Deinstalltionsanleitung. Der Store bleibt ja trotzdem drin und darüber (oder beim nächsten Update) sind die Apps ja wieder drin. Von sperren steht oder ausblenden steht da nichts drin

Ich hab zu den dort genannten befehlen noch:

# MS-Store
Remove-AppxPackage (Get-AppxPackage -Name *WindowsStore*)

#onedrive
C:\Windows\SysWOW64\OneDriveSetup.exe -uninstall

hinzugefügt. Damit ist der WindowsStore und oneDrive dann auch weg. Braucht bei uns auch kein Anwender.

Zitat von @DerWoWusste:

Die CT hat eine Verwaltungsoberfläche für passende Policies geschaffen: https://www.heise.de/download/product/restrictor

Werde ich gerne mal ausprobieren.

Zitat von @Doskias:

Ich hab zu den dort genannten befehlen noch:

# MS-Store
> Remove-AppxPackage (Get-AppxPackage -Name *WindowsStore*)
> 
> #onedrive
> C:\Windows\SysWOW64\OneDriveSetup.exe -uninstall

hinzugefügt. Damit ist der WindowsStore und oneDrive dann auch weg. Braucht bei uns auch kein Anwender.

Produziert leider nur Fehler. Kann bis zum kompletten Absturz des Desktop führen. (Dauerschleife Explorer-Absturz.) Soll ja auch nicht für jeden User weg. Er soll nur für den einen User ausgeblendet/ deaktiviert werden. Nicht für alle.

Können wir das auch professionell klären? Sonst sag ich auch einfach: Du machst was falsch, bei mir läuft es seit 9 Monaten fehlerfrei.

Zitat von @pc-schubser:

Zitat von @Doskias:
Ich hab zu den dort genannten befehlen noch:

# MS-Store
>> Remove-AppxPackage (Get-AppxPackage -Name *WindowsStore*)
>> 
>> #onedrive
>> C:\Windows\SysWOW64\OneDriveSetup.exe -uninstall

hinzugefügt. Damit ist der WindowsStore und oneDrive dann auch weg. Braucht bei uns auch kein Anwender.

Produziert leider nur Fehler.

Und jetzt professionell: Welchen Fehler? Was sagt das System? Unter welchen Rechten hast du es ausgeführt? Du bist doch selbst Admin, du solltest wissen wie man eine fehlermeldung qualifiziert aufgibt

Zwischen werde ich ausprobieren und geht nicht liegen 3 Minuten, wie hast du es denn umgesetzt?

Kann bis zum kompletten Absturz des Desktop führen. (Dauerschleife Explorer-Absturz.)

Ich lasse die Befehle bei jeder Anmeldung seit 9 Monaten täglich ausführen. Also ca 400 Mal pro Tag und es ist noch nie eine Dauerschleife (geht übrigens bei den Befehlen gar nicht) oder zu einem Absturz gekommen. Der einzige Fehler der mal auftrat ist, dass eine app deinstalliert werden sollte, die schon deinstalliert war. das kann man aber abfangen.

Soll ja auch nicht für jeden User weg. Er soll nur für den einen User ausgeblendet/ deaktiviert werden. Nicht für alle.

Dann sollte

Get-AppxPackage *windowsalarms* | Remove-AppxPackage

einmal für jeden User ausgeführt werden.

Zitat von @Doskias:

Produziert leider nur Fehler.

Zwischen werde ich ausprobieren und geht nicht liegen 3 Minuten, wie hast du es denn umgesetzt?

Kann bis zum kompletten Absturz des Desktop führen. (Dauerschleife Explorer-Absturz.)

Den Befehl per PS zum deinstallieren des Stores kannte ich schon. Ich hatte das mal (in November) bei einem Rechner durchgeführt. Nach einem Neustart war es dann so, dass der Desktop (Explorer.exe) sich alle paar Sekunden verabschiedet und neu gestartet hatte. Da ich zuvor keine anderen Änderungen durchgeführt hatte, habe ich den Fehler dann auf die Deinstallation per PS zurückgeführt. Da das Zurücksetzen des System auf einen früheren Zeitpunkt den Store nicht zurückgebracht hatte und somit der Fehler blieb und man den Store per PS auch nicht zurück installieren konnte, hatte ich damals eine Neuinstallation des Systems vorgenommen. Das Verhalten hatte ich damals recherchiert und wurde auch in anderen Foren beschrieben. Die meinten nur, bloß den Store nicht deinstallieren, dann gibt's Probleme. Seitdem suche ich zumindest nach einer Möglichkeit den Store und andere Apps einfach (wie es auch bei normalen Programmen im Startmenü möglich ist) auszublenden. Mir geht's hier nicht um den Store-Fehler, den habe ich "abgehakt". Ich möchte nur Bestimmen, welche Programme/ Apps auf dem Desktop/ im Startmenü angezeigt werden.

Den Hinweiß auf die Gruppenrichtlinien fand ich ja prinzipiell auch nicht schlecht, da ich so etwas schon mal zu XP und 7er Zeiten gemacht habe. Aber für Win10 kenne ich keine Einstellungen für das Startmenü für Apps. Die tauchen immer wieder auf.

Ich hätte gerne ein Profil, in dem der User 3-5 bestimmte Programme starten und auf seine Dateien zugreifen kann. Ich will nicht, das z.B. 20 Programme zwar anklickbar wären und jedesmal der Fehler-Hinweis kommt "Gesperrt durch den Administrator" oder sowas. Die Programme sollen erst gar nicht auftauchen. Vor allem die Apps machen mir aber "Kopfzerbrechen".

Gibt es da nicht irgendeine Gruppenrichtline oder ein Registry-Eintrag, der die Anzeige der Apps verhindert? Laufwerke kann man ja z.B. auch ausblenden.

Ich hab damit wie gesagt bislang kein Probleme gehabt. Ist aber schon komisch, dass du den Store nicht zurückholen konntest. Es gibt da übrigens immernoch den Unterschied zwischen Store komplett löschen und Store für die User deinstallieren. Ich hab ihn am Anfang auch komplett gelöscht und konnte ihn nicht wiederholen. Welche OS-Version hattest du im Einsatz? Wir haben nur 2004 oder neuer im Einsatz und da treten keine Probleme auf.
Zur Not lass den Store halt da. Ohne Admin-Rechte kann der User damit eh nicht viel anfangen ;)

Den Hinweiß auf die Gruppenrichtlinien fand ich ja prinzipiell auch nicht schlecht, da ich so etwas schon mal zu XP und 7er Zeiten gemacht habe. Aber für Win10 kenne ich keine Einstellungen für das Startmenü für Apps. Die tauchen immer wieder auf.

Du kannst das Layout für das Startmenü in Windows 10 festlegen. Klick mich. Das dort erhaltene XML kannst du per GPO Verteilen. Allerdings sind die Apps dann immernoch verfügbar. Sie sind halt nur nicht mehr im Startmenü

Ich hätte gerne ein Profil, in dem der User 3-5 bestimmte Programme starten und auf seine Dateien zugreifen kann. Ich will nicht, das z.B. 20 Programme zwar anklickbar wären und jedesmal der Fehler-Hinweis kommt "Gesperrt durch den Administrator" oder sowas. Die Programme sollen erst gar nicht auftauchen. Vor allem die Apps machen mir aber "Kopfzerbrechen".

Gibt es da nicht irgendeine Gruppenrichtline oder ein Registry-Eintrag, der die Anzeige der Apps verhindert? Laufwerke kann man ja z.B. auch ausblenden.

Ausgeblendete LAufwerke sind aber immernoch verfügbar.

Mittlerweile habe ich doch noch selbst etwas gefunden.

Administrative Vorlagen
https://admx.help/?Category=Windows_10_2016&Policy=Microsoft.Policie ...
bzw. die Gesamtliste mit den anderen Einstellungen
https://admx.help/?Category=Windows_10_2016&Policy&Language=de-d ...

Mit den Registry-Einstellungen sollte man alles anpassen können.

Zitat von @pc-schubser:
Mit den Registry-Einstellungen sollte man alles anpassen können.

Zu 99% machen GPOs nichts anderes als Registry-Keys zu setzen, nur halt mit einer "graphischen" Oberfläche bzw. einer mitgelieferten Erklärung. Allerdings blendest du die Apps wie der Name schon sagt aus. Aus deinem Eingangsposting:

ich würde gerne unter Windows 10 Professional (keine Domäne) ein Benutzerkonto so stark einschränken, dass der User nur ein paar von mir vorher bestimmte Programme starten kann. Im Startmenü sollten dann auch maximal diese Programme auftauchen. Den ganzen vorinstallierten Quatsch soll der gar nicht nurtzen oder sehen.

Du bist jetzt bei dem Status: Sehen nein, Nutzen ja. Deine Anforderung, dass nur bestimmte Programme gestartet werden können, ist damit nicht erfüllt.

Gruß
Doskias

Zitat von @Doskias:
Zu 99% machen GPOs nichts anderes als Registry-Keys zu setzen, nur halt mit einer "graphischen" Oberfläche bzw. einer mitgelieferten Erklärung. Allerdings blendest du die Apps wie der Name schon sagt aus. Aus deinem Eingangsposting:

Die Registry-Keys basieren tatsächlich auf den GPOs. Wie Du sicherlich übersehen hast, gibt es im zweiten Link sogar einen Download-Link für die Administrative Templates (.admx) for Windows 10, welches die GPOs sind. Nur das hier jede Administrative Einstellung erklärt wird. Man kann das auch gut als Nachschlagewerk nutzen.

Du bist jetzt bei dem Status: Sehen nein, Nutzen ja. Deine Anforderung, dass nur bestimmte Programme gestartet werden können, ist damit nicht erfüllt.

Hier liegst Du falsch, da hier nicht nur Einträge zum Einschränken der Ansicht, sondern auch zum Verhindern des Starts von Programmen und Einstellungen aufgelistet sind. Wie Du erkannt hast, basiert das ja auf den GPOs.
https://admx.help/?Category=Windows_10_2016&Policy&Language=de-d ...

Vielleicht verstehe ich es auch falsch, aber da steht:

Wenn Sie diese Einstellung aktivieren, wird entweder das Startmenü reduziert, oder die Liste "Alle Apps" wird aus dem Startmenü entfernt.

ok. Im Detail also:

Wenn Sie "Reduzieren" auswählen, wird die App-Liste nicht neben den angehefteten Kacheln unter "Start" angezeigt. Unter "Start" wird dann die Schaltfläche "Alle Apps" angezeigt, damit die Liste "Alle Apps" geöffnet werden kann. Dieses Verhalten ist identisch mit dem, wenn die Option "App-Liste in Startmenü anzeigen" in den Einstellungen deaktiviert ist.

App-Liste werden nicht angezeigt. ok

Wenn Sie "Reduzieren und Einstellung deaktivieren" auswählen, geschieht dasselbe wie bei der Option "Reduzieren", und "App-Liste im Startmenü anzeigen" wird in den Einstellungen deaktiviert, damit die Option von Benutzern nicht aktiviert werden kann.

Deaktiviert zusätzlich die Option die App-Liste im Startmenü anzuzeigen, so das die Einstellung reduzieren nicht rückgängig gemacht werden kann, ok.

Wenn Sie "Entfernen und Einstellung deaktivieren" auswählen, wird die Liste "Alle Apps" aus dem Startmenü entfernt, und "App-Liste im Startmenü anzeigen" wird in den Einstellungen deaktiviert, damit die Option von Benutzern nicht aktiviert werden kann. Wählen Sie diese Option aus, falls Kompatibilität mit früheren Versionen von Windows erforderlich ist.

Entfernt die Liste alle Apps und die App-Liste im Startmenü und deaktiviert auch die Einstellung. auch Ok. Im Startmenü alles weg.

Aber: Soweit ich es sehe sind die Apps dann aber immer noch installiert und könnten aus C:\Program Files\WindowsApps\ aufgerufen werden.

Lasse mich gerne eines besseren belehren.

Ohne Eure Unterhaltung stören zu wollen:

Ich verabschiede mich mal mit zwei Screenshots, die das gewünschte Verhalten erreichen
1. Als der User, den Du einschränken willst ausführen (oder die Ausführung per Anmeldeskript aufzwingen):

get-appxpackage | remove-appxpackage

Danach sieht das Startmenü sehr übersichtlich aus (auch die verbliebenen Apps sind nicht mehr nutzbar):

2. Danach Restrictor runterladen: https://www.heise.de/ct/downloads/04/2/1/8/6/5/1/2/1710-082.zip
Als Admin ausführen, die Defaultregeln der CT laden und um die Verweigerung der Appausführung erweitern

Und fertig!

Zitat von @DerWoWusste:

Ohne Eure Unterhaltung stören zu wollen

Schau mal was ich hier geschrieben habe
Benutzerprofil stark einschränken unter Windows 10 pro

Das hatte ich gesehen. Viel zu ausgedehnte Beschreibung, evtl. deshalb kommt es zu so einer Diskussion für so ein Fitzelthema.

Zitat von @Doskias:

Entfernt die Liste alle Apps und die App-Liste im Startmenü und deaktiviert auch die Einstellung. auch Ok. Im Startmenü alles weg.

Aber: Soweit ich es sehe sind die Apps dann aber immer noch installiert und könnten aus C:\Program Files\WindowsApps\ aufgerufen werden.

Lasse mich gerne eines besseren belehren.

Windows-Standard bei dem Ordner C:\Program Files\WindowsApps\

Wie soll der User (ohne Admin-Rechte) hier herankommen?

Mal nebenbei: es kommt durch das Deinstallieren von Apps als User zu keinen Problemen.
Machst du es als Admin (remove-appxprovisionedapackage), sieht es ganz anders aus, denn selbst das Startmenü ist eine App! Deinstallieren kann diese nur der Admin.

Ich habe das getestet, alle Apps als User weggehauen, neu gestartet, keine Probleme.

Zitat von @pc-schubser:
Wie soll der User (ohne Admin-Rechte) hier herankommen?

Ernsthaft? Du versuchst es stumpf mit dem Explorer zu Öffnen, wirst nach Admin-Rechte gefragt und daraus folgerst du, dass es für den User unmöglich ist.

Also.. ich hab es jetzt für dich einfach mal bei mir nachgestellt. In meiner Testumgebung und habe deine genannte GPO konfiguriert. Und wie erwartet sieht das Menü bei mir nun so aus:

Die App und alle Kacheln sind weg. aber ich bin ja kein dummer Anwender und weiß, dass die App Alarm & Uhr heißt. Also tippe ich das doch ganz einfach mal ein und schwupps. da ist die App wieder:

und ich kann sie starten. Zauberei

Ich kann deine Einstellung umgehen ohne Adminrechte zu brauchen, indem ich nach dem Namen der App ganz einfach die Suche des Windows 10 Start-Menüs nutze. Und selbst wenn du jetzt die Suche auch noch sperrst. Ich kann (auch für dich getestet) von einem Rechner auf dem die gleiche App drauf ist, was bei den Standard-Apps also bei so gut wie jedem Windows 10 Rechner der Fall ist, mir eine Verknüpfung zu der App erstellen. Auch von meinem Rechner zuhause. Wenn ich es dann schaffe (Mail, Fileserver, OneDrive, USB-Stick, Diskette, Handy, etc.) diese Verknüpfung irgendwie auf den Rechner zu bekommen wo deine GPO und die Suche gesperrt sind, dann kann ich die App über die Verknüpfung starten, da (wie ich oben geschrieben habe) sie ja immer noch da ist und der Pfad gültig.

Gruß
Doskias

German solved Question Windows 10 Microsoft

Hotly discussed

Check of ZFW Firewallgleixnerd - 5 Comments

Wireguard VPN on UDM Pro behind Fritzbox - Handshake did not completejstricker - 3 Comments

How to set up and configure a Linux GRE tunnelAlexWisha - 3 Comments