17.10.2022, aktualisiert um 09:47:45 Uhr

1849

Trotz GPO Block Ugrade auf Win11

Hallo zusammen,

urplötzlich melden die meisten User, dass bei ihnen die Installation von Win 11 läuft, obwohl ich schon vor Monaten dies in einer GPO blockiert habe.

Hat jemand eine Idee, was da nicht korrekt umgesetzt wird bzw. ob MS da etwas geändert hat? Lt. Google Recherche ist dies immer noch der geeignete Weg, WIN 11 Upgrades zu blockieren.

Ciao, toddehb

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 4312056245

Url: https://administrator.de/contentid/4312056245

Ausgedruckt am: 23.11.2024 um 19:11 Uhr

16 Kommentare

Neuester Kommentar

Moin,

bist Du denn sicher, dass die GPO auf die betreffenden Clients angewendet wurde?
Was sagt gpresult?

Gruß

Looser

Habe den Fehler wohl gefunden. Meine ADMX Dateien im policydefinitions Ordner waren nicht aktuell. Win 11 und Win 10 haben beide 21H2. Mit den neuen ADMX kann man nun auswählen, welches Betriebssystem man für die Zielversion möchte.

Da kannste sehen, wie blind Microsoft ist. Anstatt es sicher zu machen, und das OS mit reinzunehmen, nehmen sie nur die Version rein... und bessern dann nach.

Moin

Zitat von @DerWoWusste:
Da kannste sehen, wie blind Microsoft ist. Anstatt es sicher zu machen, und das OS mit reinzunehmen, nehmen sie nur die Version rein... und bessern dann nach.

Bis zum Release von Windows 11 waren die Versionen vom Zielupdate allerdings eindeutig einem OS zuzuordnen. Erst mit der Veröffentlichung von Windows 11 kam die OS-Version dazu, weil es erst dann relevant wurde. Ich finde es persönlich nicht verwerflich, dass MS bislang nur die Version abgefragt hat, da es die letzten "Jahrzehnte" ausgereicht hat. Ich finde es eher verwerflich, dass man auf einmal die Bezeichnungen so verändert hat, dass die GPO nicht mehr funktioniert und man das nur lösen kann indem man die ADMX-Dateien manuell updatet.

Gruß
Doskias

Es ist ein Beispiel für mangelnde Weitsicht.
Als ich den Fragetitel las, hab ich genau das vermutet, was Sache war - eben weil es typisch ist für Microsoft: Nachbessern, nachbessern, nachbessern. Aus Fehlern lernen, Weitsicht entwickeln, das ist aus meiner Sicht bei MS seltener anzutreffen.

Weiß ich ehrlich gesagt nicht, ob das so einfach ist. Ich vermute schon, dass da eine gewisse Weitsicht seitens MS hinter steckt. Und zwar die Weitsicht möglichst schnell die Rechner auf Win 11 zu pushen. Und im Zuge dieser Weitsicht hat man sich dann dazu entschieden, die Versionsbezeichnungen von Win 10 und 11 das erste Mal in der Unternehmensgeschichte identisch zu benennen und gleichzeitig die ADMX zu überarbeiten um dann sagen zu können: "Ihr hattet doch die Möglichkeit, aber sie halt nicht genutzt. Nun habt ihr halt Win 11". Aber sei es drum. Wieso und weshalb MS das so gemacht hat, können wir gerne per PN weiter philosophieren. Sonst spammen wir hier das Topic nur unnötig zu.

Gruß
Doskias

Ja, MS entscheidet nicht unbedingt im Sinne der Endanwender bzw. Admins. Bin gerade auch ziemlich genervt, da ich diese Win 11 Updatebenachrichtigungen auf den PCs nicht loswerde. Neue ADMX sind drauf und GPOs wirken auch auf alle PCs. Habe sogar im WSUS WIN11 komplett rausgenommen. Auf den Clients habe ich dann den Softwaredistribution Ordner gelöscht. Es lies sich danach ein Restart ohne Installation von Updates bzw Win11 Upgrade durchführen. Für kurze Zeit war dann auch auf den PCs Ruhe, heisst keine Updates wurden angezeigt, auch Win 11 nicht, aber nach ein paar Stunden ging das Spiel wieder von vorne los. Ich habe absolut keine Idee, wo die Clients ihre Aufforderung zur Installation von Win 11 noch herbekommen könnten.

Fragen deine Clients noch im Internet nach Updates?

Zitat von @Doskias:

Fragen deine Clients noch im Internet nach Updates?

Du meinst das hier?

Aber selbst wenn Sie im Internet anfragen, sollte die Einstellung "Zielversion" doch wohl beachtet werden. Ganz komisch.

Schau dir mal die Richtlinie an mit dem Wunderbaren Namen "Keine Richtlinien für Updaterückstellungen zulassen, durch die Windows Update überprüft wird"

Damit deaktivierst du die Suche im Internet und erzwingst praktisch deinen WSUS zu nutzen. Siehe https://www.windowspro.de/wolfgang-sommergut/dual-scan-windows-update-bu ....

Gruß
Doskias

Zitat von @Doskias:

Fragen deine Clients noch im Internet nach Updates?

Du meinst das hier?

Danke. Habe mir den Artikel durchgelesen, aber so richtig checke ich das nicht. Dual Scan möchte ich komplett deaktivieren. Was genau ist dafür nötig?

Reicht es, diese Einstellung zu aktivieren?

"Keine Richtlinien für Updaterückstellungen zulassen, durch die Windows Update überprüft wird"

Selbst mit obiger Aktivierung laden die Clients immer wieder Win 11 herunter.

Folgende Einstellungen sind noch in der GPO aktiv

Via RSOP sehe ich auf den Clients, dass die Einstellungen auch aktiv sind.

In der Registry stehen die Werte zu 21H2 auch drin

Ich bin mit meinem Latein am Ende

Jetzt sehe ich das Problem. Du hast das gleiche Problem wie ich auch hier hatte:
WSUS wird von Clients ignoriert

@CH3COOH hat damals dort geschrieben:

Deine Konfiguration mischt, so wie ich das sehe, Windows Update for Business (WUfB) und Windows Server Update Services (WSUS). Nimm die Zielversion in den GPO Einstellungen raus. Danach hast du über den WSUS die volle Kontrolle.

Und dem war dann auch tatsächlich so. Also die Zielversion raus, Dual-Scan deaktivieren und dann fragen deine Clients nur noch deinen WSUS. Solange du dort keine Funktionsupdates für Windows 11 freigibst, wirst du auch auf deinen Rechnern keine bekommen.

Gruß
Doskias

Zitat von @Doskias:

Jetzt sehe ich das Problem. Du hast das gleiche Problem wie ich auch hier hatte:
WSUS wird von Clients ignoriert

@CH3COOH hat damals dort geschrieben:

Danke. Habe die Zielversion nun mal herausgenommen. Mals sehen was nun bei den Clients passiert.