Wie Windows-Updates deaktivieren, die in der Domäne per Gruppenrichtline festgelegt wurden?
Guten Tag, ich verwende einen Windows-7-64-Bit Computer (Windows 7 Professional) in einer Domäne. Auf dem PC habe ich lokal Adminrechte.
Ich kann keine Einstellungen ändern, die Windows-Updates betreffen. Leider wurde der Zeitpunkt des Updates sehr ungünstig gewählt (mitten in der Arbeitszeit wenn viel los ist).
Ich würde gerne, wenn auch über Hintertüren, diese Einstellung umgehen und die Windows-Updates erst nach Feierabend installieren wollen. Wie kann ich hier vorgehen? Ich bin leider nicht der Systemadministrator, und kann und darf keine Gruppenrichtlinien ändern.
Danke im Voraus.
Ich kann keine Einstellungen ändern, die Windows-Updates betreffen. Leider wurde der Zeitpunkt des Updates sehr ungünstig gewählt (mitten in der Arbeitszeit wenn viel los ist).
Ich würde gerne, wenn auch über Hintertüren, diese Einstellung umgehen und die Windows-Updates erst nach Feierabend installieren wollen. Wie kann ich hier vorgehen? Ich bin leider nicht der Systemadministrator, und kann und darf keine Gruppenrichtlinien ändern.
Danke im Voraus.
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 282875
Url: https://administrator.de/contentid/282875
Ausgedruckt am: 25.11.2024 um 11:11 Uhr
40 Kommentare
Neuester Kommentar
Hi,
E.
Ich bin leider nicht der Systemadministrator
Nimms mir bitte nicht übel. Aber wenn dem so ist, dann hast Du da auch nichts rumzufummeln. Sprich doch mit den Admins. Die können per GPO auch Ausnahmen festlegen, welche nur für bestimmte Computer gelten. Vielleicht bist Du ja mit diesem Problem nicht alleine in der Firma/Organisation. Viele Stimmen weren eher gehört, als nur eine. E.
Moin,
Machen lässt sich das über Registry-Änderungen und setzen von Rechten auf bestimmte Registry-Keys.
Aber mal ehrlich, wir sind hier in einem Admin-Forum ... Sollen wir unseren Kollegen die Arbeit noch schwieriger machen ?? Nö..
Gruß grexit
Deswegen meine Frage, wie man das umgehen kann.
damit wäre ich ganz vorsichtig, sowas spricht sich ganz schnell unter den Kollegen rum und dann bekommst du mit Sicherheit arge Probleme, wenn sich die Admins schon so stur stellen.Machen lässt sich das über Registry-Änderungen und setzen von Rechten auf bestimmte Registry-Keys.
Aber mal ehrlich, wir sind hier in einem Admin-Forum ... Sollen wir unseren Kollegen die Arbeit noch schwieriger machen ?? Nö..
Gruß grexit
Zitat von @Bitschlepper:
Danke, das hilft mir ja schonmal weiter, und ich weiß, wo ich ansetzen muss. Gibt es irgendwo nähere Informationen, welche Keys das sind?
Meinst du das verraten wir dir hier ? Damit würden wir unsere Kollegen nur verärgern, Admins halten zusammen !!Danke, das hilft mir ja schonmal weiter, und ich weiß, wo ich ansetzen muss. Gibt es irgendwo nähere Informationen, welche Keys das sind?
Leider wurde der Zeitpunkt des Updates sehr ungünstig gewählt (mitten in der Arbeitszeit wenn viel los ist).
Unabhängig von dem bereits Genannten:Das hört sich in der Tat sehr ungünstig an. Mit einer sachlichen Begründung, bewusst bezogen auf dadurch gestörte, betriebliche Abläufe, sollte das hier doch Früchte tragen. Bei uns würde sowas im nächsten Team Meeting angesprochen. Der/Die Teamleiter/in eskaliert sowas, wenn er/sie der Meinung ist, dass dem tatsächlich so ist. Wenn dann "oben" dem entsprochen wird, dann muss die IT da auch was machen. Wenn dem nicht entsprochen wird, dann muss sich der/die Mitarbeiter/in sowieso an die Entscheidung "von oben" halten.
Hallo,
Gruß,
Peter
Zitat von @Bitschlepper:
Da find ich schon was. Wenn auch nicht hier. Ich weiß ja jetzt, wo ich suchen muss.
Du zettelst einen krieg an den du nicht gewinnen kannst. Wenn deine Admins wissen was die tun, dann ziehst du kürzeren. Ob sich das lohnt? Sprich mit deinen Vorgesetzen das die IT dich durch deren Update Politik massiv in deine Arbeit hindern und dich somit am Arbeiten hindern bzw. ab halten. Drück das in Stunden und Minuten pro Woche / Tag aus. Wenn es allerdings ausdrücklicher Wunsch der GL ist, das ihr in diesen Zeiten Däumchen dreht, dann drehe halt Däumchen.Da find ich schon was. Wenn auch nicht hier. Ich weiß ja jetzt, wo ich suchen muss.
Gruß,
Peter
Wer soll das schon bemerken, wenn meine Updates nicht um 08:00 Uhr laufen?
Wohl noch nie was von WSUS Logs gehört ?!Wegen euch Seppels haben wir dann die Arbeit die Systeme wieder zu fixen.
Du gehörst echt mit CAT-9 ausgepeitscht und zwar ne ganze Woche lang ...
Aber bitte, ist ja nicht mein Job, ich würde aber vorher mal in den Arbeitsvertrag schauen ...
Zitat von @Bitschlepper:
Gut so, sonst würde einem Admin ja auch vor Langeweile die Arbeit ausgehen, wenn es keinen DAU gäbe.
Nee, dann könnten wir uns mal mit den wirklich wichtigen Dingen auseinandersetzen die anstehen!Gut so, sonst würde einem Admin ja auch vor Langeweile die Arbeit ausgehen, wenn es keinen DAU gäbe.
Was soll da außerdem gefixt werden bitte? Ich mache mein Update nicht um 08:00 Uhr, sondern lasse das nach Feierabend laufen.
Kein Admin aber hier groß die Keule schwingen, wenn du in der Registry mit den Rechten fuchtelst, kann das "Nebenwirkungen" haben die du als Enduser nicht ahnst.Sind aber nicht nur diese Dinge die Ihr veranstaltet, aber wenn ein Netzwerk-Admin einem User lokale Admin rechte gibt ist selber schuld, das macht heute kein verantwortungsbewußter Admin mehr, welcher ein zuverlässiges und konsistentes Netzwerk bereitstellen will.
Ich richte mir meinen Arbeits-PC so ein dass ich damit arbeiten kann, wenn das durch Gruppenrichtlinien verhindert wird, dann eben mit Registry-Hacks.
Mach das mit deinem Privat-PC.Dann bitte schließe die Frage. Diskutieren so wie es aussieht zwecklos.
Zitat von @Bitschlepper:
Da muss aber erst mal nachgewiesen werden, dass ein Schaden durch ein zu spät installiertes Windows-Update eingetreten ist, und das ist wohl kaum möglich...
Da muss aber erst mal nachgewiesen werden, dass ein Schaden durch ein zu spät installiertes Windows-Update eingetreten ist, und das ist wohl kaum möglich...
Falsch!
Wird Dein PC zu einem Sicherheitsproblem und wird im Anschluss festgestellt das Du, unberechtigterweise, die Registry bearbeitet hast (völlig unerheblich das dies auch der Auslöser war) bist Du am Axxxx.
mfg
kowa
Jo, und hier wird Dir die, fachlich absolut korrekte, Information gegeben das Du dort als Benutzer eines Geschäfts-PC lediglich die Fachabteilung informieren kannst. (ohne Dich in irgendeiner Weise strafbar zu machen --> denn Ratschläge zu strafbaren Handlungen sind in diesem Forum verboten)
und mehr sollst Du (ohne entsprechende Ausbildung und vor allem entsprechende Berechtigungen) gar nicht Wissen
PS. Frag doch mal beim Schlüsseldienst wie Du Deine Wohnungstür, ohne deren Hilfe, selber aufbekommst!
Mit freundlichen Grüßen
kowa
und mehr sollst Du (ohne entsprechende Ausbildung und vor allem entsprechende Berechtigungen) gar nicht Wissen
PS. Frag doch mal beim Schlüsseldienst wie Du Deine Wohnungstür, ohne deren Hilfe, selber aufbekommst!
Mit freundlichen Grüßen
kowa
Hallo,
Gruß,
Peter
Zitat von @Bitschlepper:
Ich wollte nur wissen: Wie ändere ich bei meinem PC die Windows-Updates so, dass sie nicht mehr um 08:00 Uhr, sondern zu einem anderen Zeitpunkt stattfinden?
Hättest du einfach mal gesucht. Selbst bei MS ist das kein Geheimnis. https://technet.microsoft.com/de-de/library/dd939844(v=ws.10).aspxIch wollte nur wissen: Wie ändere ich bei meinem PC die Windows-Updates so, dass sie nicht mehr um 08:00 Uhr, sondern zu einem anderen Zeitpunkt stattfinden?
Mehr will ich gar nicht wissen.
PS. Deine Geschäftsleitung wird sich irgend etwas gedacht haben wenn die 08:00 gewählt haben. Oder auch nicht. Aber die haben die Entscheidungsgewalt....Gruß,
Peter
Hallo,
Und wo bleiben die Big Points und die grünen Häkchen?
Gruß,
Peter
Und wo bleiben die Big Points und die grünen Häkchen?
Warum nicht gleich? *grins*
Damit du was lernst Damit ist das hier für mich erledigt.
Ich denke eher dein Stress fängt jetzt erst an - sofern deine Admins wissen was die tun.... Und Kollege @emeriks Hintergedanken kann ich schon geschrieben stehen sehen auf deine nächsten Fragen Gruß,
Peter
Ein weiterer Grund wäre, das damit sichergestellt ist das den Tag über mit einem geupdatetem, sicheren System gearbeitet wird, wohingegen eine vorsätzliche Verschiebung des Updatezeitpunktes auf den Feierabend dies torpediert.
Man könnte es als vorsätzliches Herbeiführen einer unsicheren Arbeitsumgebung sehen.
Des weiteren gibt es bei euch eventuell schriftliche IT Nutzerrichtlinien, in den womöglich sinngemäß steht " User dürfen administrative Konfigurationen nicht umgehen".
Es spielt keine Rolle was du kannst, und wie man es macht, und ob du lokaler Admin bist ( ARRRG ), und ob es dir möglich ist über Hintertüren, und ob es zu Problemen führt oder nicht. Der einzige Punkt ist simpel: Du darfst es nicht, und unsere Hinweise sind eigentlich nur in deinem Interesse, denn deine Anfrage reicht weit über den technischen Sachverhalt hinaus.
Summa summarum ist dies wieder mal ein schönes Beispiel warum User nicht mal LOKALE Adminrechte haben sollten.
Man könnte es als vorsätzliches Herbeiführen einer unsicheren Arbeitsumgebung sehen.
Des weiteren gibt es bei euch eventuell schriftliche IT Nutzerrichtlinien, in den womöglich sinngemäß steht " User dürfen administrative Konfigurationen nicht umgehen".
Es spielt keine Rolle was du kannst, und wie man es macht, und ob du lokaler Admin bist ( ARRRG ), und ob es dir möglich ist über Hintertüren, und ob es zu Problemen führt oder nicht. Der einzige Punkt ist simpel: Du darfst es nicht, und unsere Hinweise sind eigentlich nur in deinem Interesse, denn deine Anfrage reicht weit über den technischen Sachverhalt hinaus.
Summa summarum ist dies wieder mal ein schönes Beispiel warum User nicht mal LOKALE Adminrechte haben sollten.
Hallo.
Ich denke, daß Du das auch mit dem Link von @Pjordorf nicht schaffen wirst. Nicht umsonst trägt der verlinkte Artikel die Überschrift "Configure Clients in a NON–Active Directory Environment" - ich gehe nach Deiner Beschreibung aber sehr wohl davon aus, daß Du Dich mit dem Rechner in einem AD befindest. Der Artikel beschreibt den Vorgang per Registry-Änderung für lokale GPOs - Domänen-GPOs haben, wenn ich mich nicht irre, aber Vorrang, wenn sie auf die entsprechenden Einstellungen treffen, die bereits lokal konfiguriert sind.
Davon abgesehen:
Ist der Rechner, an dem Du arbeitest, so schwachbrüstig (schwache CPU, lahme Platte), daß Dich das morgendliche WU sooo sehr stört? Das läuft doch im Hintergrund, und die einzige "Belästigung" ist doch nur die Meldung wenn's fertig ist und um Neustart bittet. Das sind 2 Mausklicks zum Verschieben des Zeitpunkts, und am Abend, wenn Du nach Hause gehst, wird der Rest der Update-Prozedur beim Herunterfahren erledigt. Ich sehe da kein Problem, meinen Leuten hier macht das nichts aus.
Viele Grüße
von
departure69
Ich denke, daß Du das auch mit dem Link von @Pjordorf nicht schaffen wirst. Nicht umsonst trägt der verlinkte Artikel die Überschrift "Configure Clients in a NON–Active Directory Environment" - ich gehe nach Deiner Beschreibung aber sehr wohl davon aus, daß Du Dich mit dem Rechner in einem AD befindest. Der Artikel beschreibt den Vorgang per Registry-Änderung für lokale GPOs - Domänen-GPOs haben, wenn ich mich nicht irre, aber Vorrang, wenn sie auf die entsprechenden Einstellungen treffen, die bereits lokal konfiguriert sind.
Davon abgesehen:
Ist der Rechner, an dem Du arbeitest, so schwachbrüstig (schwache CPU, lahme Platte), daß Dich das morgendliche WU sooo sehr stört? Das läuft doch im Hintergrund, und die einzige "Belästigung" ist doch nur die Meldung wenn's fertig ist und um Neustart bittet. Das sind 2 Mausklicks zum Verschieben des Zeitpunkts, und am Abend, wenn Du nach Hause gehst, wird der Rest der Update-Prozedur beim Herunterfahren erledigt. Ich sehe da kein Problem, meinen Leuten hier macht das nichts aus.
Viele Grüße
von
departure69
Zitat von @emeriks:
Eben, deswegen sagte ich ja das man in der Registry zusätzlich die Berechtigungen auf den Schlüssel ändern muss Domänen-GPOs haben, wenn ich mich nicht irre, aber Vorrang, wenn sie auf die entsprechenden Einstellungen treffen, die bereits lokal konfiguriert sind.
definitiv.Dann löse ich das hier mal zum Teil auf...
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
Dort in ScheduledInstallTime die Installationszeit ändern 0-23(Dezimal) und dann die Vererbung der Berechtigungen auf den Key deaktivieren, und dann die ACLs so setzen das der Key nur noch von "Auth. Benutzern" und "SYSTEM" gelesen aber nicht mehr beschrieben werden kann.
Die letzte Kleinigkeit die nötig ist verrate ich nicht... die musst du selber herausfinden.
Jetzt kann der SYSTEM-Prozess welcher die GPOs auf die Maschine anwendet die Einstellung in diesem Key bei einem Neustart nicht mehr verändern, und es gilt dauerhaft die vom Benutzer gesetzte Zeit.
Aber nur bis zum nächsten Update der GPO oder bis zum nächsten erzwungenen Update über "gpupdate /force".Das wäre ja sonst etwas zu einfach.
Zitat von @emeriks:
Übersteht hier auch einen Neustart und auch ein "Forced Update" ...Jetzt kann der SYSTEM-Prozess welcher die GPOs auf die Maschine anwendet die Einstellung in diesem Key bei einem Neustart nicht mehr verändern, und es gilt dauerhaft die vom Benutzer gesetzte Zeit.
Aber nur bis zum nächsten Update der GPO oder bis zum nächsten erzwungenen Update über "gpupdate /force".Zitat von @emeriks:
Schon klar, habe ja auch ein gpudpate /force auf dem Client abgesetzt.Übersteht einen Neustart
Was auch logisch ist: Ohne Aktualisierung der GPO werden die meisten GPO beim Neustart oder "einfachen" gpupdate nicht angewendet.Aber die Kleinigkeit die man noch machen muss wie ich oben bereits schrieb verrate ich hier extra nicht...Das war ja nicht der komplette Weg zum Ziel, das muss der TO für sich herausfinden.
Schon klar, habe ja auch ein gpudpate /force auf dem Client abgesetzt.
Ich auch. Und dabei wird für Local System das Schreibrecht wieder eingetragen.Überleg mal: Wenn das so einfach gehen würde, dann wären die ganzen Force-Mechanismen für die Katz. Wenn man per GPO z.B. falsche ACL in Registry oder NTFS setzt, sich dabei als Local System "ausperrt", dann muss man doch die Möglichkeit haben (und hat sie auch), diese genauso per GPO wieder zu korrigieren.
Ich sag ja, den Trick der dafür noch nötig ist kann ich hier wegen den Forenrichtlinien und im Sinne unserer Admin-Kollegen nicht preisgeben.