Gruppenrichtlinen per Batch (bat datei) verändern
Ich habe folgendes Problem:
Ich will die Gruppenrichtlinien (GPO's) Temporär für den gerade angemeldeten Benutzer aufheben, sodass z.B. Programme installiert werden können die z.b. einen Regestryeintrag erfordern, welches ich per gpedit ja unterbunden habe. Und ich möchte nicht zu jedem einzelnen User rennen und mich als admin einloggen um die GPO's zu verändern sondern will das ganze ganz gemütlich über 2 batchfiles machen.
Ich bin schon sowei gekommen:
Ich bin davon ausgegangen das die GPO-Eigenschaften unter system32/GroupPolicy/ gespeichert werden.
Also habe ich unter gpedit.msc die einstellungen so vorgenommen, das alles verändert werden kann (Quasi Adminmodus). danach habe ich mir den GroupPolicy Ordner Kopiert und wieder unter gpedit.msc die einstellungen so angepasst das nichts mehr verändert werden kann (quasi User-Mod).
Nun habe ich 2 Batchfiles geschrieben.
nehmen wir mal an der remotecomputer auf dem ich die Gruppenrichtlinen ändern will heist platz1
hier die Admin-Bat, welche per GPO die rechte aufhebt (\admin\ ist hierbei der Ordner wo die vorher editierte GPO liegt):
echo a | xcopy admin\* \\platz1\admin$\system32\GrouPolicy\ /s
psexec \\platz1 gpupdate /force
das ganze gillt auch für die user.bat, welche die eingeschränkten GPO's wieder herstellt
echo a | xcopy user\* \\platz1\admin$\system32\GrouPolicy\ /s
psexec \\platz1 gpupdate /force
Die Batch kopiert nun die GPO aus dem Ordner User auf den Platz1 und flasht mithilfe eines RemoteCMD's (psexec) die Gruppenrichtlinen, sowei sogut. Würde alles tehoretisch funktionieren wenn Windows nicht in der GP.ini den eintrag "gPCFunctionalityVersion=X" überprüfen würde. Weil da erkennt windows das es eine "alte" GPO ist und nicht aktuallisiert werden muss (also wenn der wert x in der gp.ini kleiner ist wie aktuell im system regestriert)
Kann ich das irgendwie übergehen?
oder gibt es einen anderen lösungsvorschlag.
Kurz und knapp:
Ich möchte per bat file oder wie auch immer mit nur einem klick die Gruppenrichtlinien auf einem anderen Rechner aufheben und danach auch wieder aktivieren können, ohne selbst zu dem rechner gehen zu müssen oder mich extra mit adminacount anmelden zu müssen um per gpedit die gpo's zu ändern...
Der user sollte sich auch nicht wieder an und abmelden müssen etc...
halt im laufenden betrieb...
*EDIT: Ohne Domäne sondern lokal per remotezugriff
Ich will die Gruppenrichtlinien (GPO's) Temporär für den gerade angemeldeten Benutzer aufheben, sodass z.B. Programme installiert werden können die z.b. einen Regestryeintrag erfordern, welches ich per gpedit ja unterbunden habe. Und ich möchte nicht zu jedem einzelnen User rennen und mich als admin einloggen um die GPO's zu verändern sondern will das ganze ganz gemütlich über 2 batchfiles machen.
Ich bin schon sowei gekommen:
Ich bin davon ausgegangen das die GPO-Eigenschaften unter system32/GroupPolicy/ gespeichert werden.
Also habe ich unter gpedit.msc die einstellungen so vorgenommen, das alles verändert werden kann (Quasi Adminmodus). danach habe ich mir den GroupPolicy Ordner Kopiert und wieder unter gpedit.msc die einstellungen so angepasst das nichts mehr verändert werden kann (quasi User-Mod).
Nun habe ich 2 Batchfiles geschrieben.
nehmen wir mal an der remotecomputer auf dem ich die Gruppenrichtlinen ändern will heist platz1
hier die Admin-Bat, welche per GPO die rechte aufhebt (\admin\ ist hierbei der Ordner wo die vorher editierte GPO liegt):
echo a | xcopy admin\* \\platz1\admin$\system32\GrouPolicy\ /s
psexec \\platz1 gpupdate /force
das ganze gillt auch für die user.bat, welche die eingeschränkten GPO's wieder herstellt
echo a | xcopy user\* \\platz1\admin$\system32\GrouPolicy\ /s
psexec \\platz1 gpupdate /force
Die Batch kopiert nun die GPO aus dem Ordner User auf den Platz1 und flasht mithilfe eines RemoteCMD's (psexec) die Gruppenrichtlinen, sowei sogut. Würde alles tehoretisch funktionieren wenn Windows nicht in der GP.ini den eintrag "gPCFunctionalityVersion=X" überprüfen würde. Weil da erkennt windows das es eine "alte" GPO ist und nicht aktuallisiert werden muss (also wenn der wert x in der gp.ini kleiner ist wie aktuell im system regestriert)
Kann ich das irgendwie übergehen?
oder gibt es einen anderen lösungsvorschlag.
Kurz und knapp:
Ich möchte per bat file oder wie auch immer mit nur einem klick die Gruppenrichtlinien auf einem anderen Rechner aufheben und danach auch wieder aktivieren können, ohne selbst zu dem rechner gehen zu müssen oder mich extra mit adminacount anmelden zu müssen um per gpedit die gpo's zu ändern...
Der user sollte sich auch nicht wieder an und abmelden müssen etc...
halt im laufenden betrieb...
*EDIT: Ohne Domäne sondern lokal per remotezugriff
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 72216
Url: https://administrator.de/contentid/72216
Ausgedruckt am: 20.11.2024 um 06:11 Uhr