Sunny61

Reboot, reboot und nochmal reboot.

Dafür geht es ohne /force doch viel schneller :)

In der TXT steht die Build 18363, die passt so gar nicht zu 20H2, eher zu 1909. https://docs.microsoft.com/de-de/windows/release-health/release-information

Ist das eine Annahme oder eine, durch ausreichende Tests, sichergestellte Aussage?

In der Datenträgerverwaltung sollte das möglich sein.

Wie groß ist auf den Maschinen die System-Reserviert Partition? 100 oder 500 MB? Falls 100, erhöhe sie auf 500 MB. Auf c:\ ist auch genug Platz um das Update vollständig herunterladen und entpacken zu können?

Aber wenn sie einen neuen Rechner kriegen, als erstes das Hintergrundbild ändern, das können sie. :)

Dann ist das allerdings kein Problem von MSFT oder den Computern. Ja, Anwenderschulungen müssen sein.

Mit kommen sie nicht größer vor als vorher. Zeig doch mal ein kleines Bild davon, wenn möglich vorher und nachher.

Und damit diese neue Gruppenmitgliedschaft greift, ist ein Neustart des Computers fällig. Bei den Benutzern ist ein Ab- und Anmelden erforderlich. Weshalb steht dein Benutzerkonto drin? Und weshalb führst Du einen Installer aus? Dieses Konstrukt ist mehr als undurchsichtig, deshalb bin ich raus.

Beschreib doch anhand einer Anwendung genau was Du wann machst, einstellst und verweigerst. Evtl. kann ich das nachstellen.

Welche Art von Gruppen verwendest Du dafür? Lokale Gruppen Domänenlokale Gruppen Oder evtl. verschachtelt?

Such doch mal nach dem Usernamen an einem der Rechner, an dem das Problem aufgetreten ist, könnte ja sein, dass der irgendwo in der Registry steht.

Ich kenne das nur wenn die fertige Clientinstallation geklont worden ist und kein SYSPREP zum Einsatz kam, dann wurde der User immer als der User angezeigt, der die Datei in Benutzung hatte.

Das Office auf den Rechnern wurde installiert/aktiviert, ist das Konto dort evtl. im Spiel?

Schon klar, das gibt es überall. ;) Wenn es Programme gibt, wie FiBu oder Personalprogramme, dann sollten die auch nur dort installiert werden, wo sie auch genützt werden dürfen und nicht out of the Box überall. Oder man stellt die Programme den Anwendern über einen RemoteApp Server zur Verfügung, dabei kann man sehr gut über Benutzergruppen filtern.

Alles was in %windir%, %programfiles% und %ProgramFiles(x86)% enthalten ist, ist automatisch erlaubt. Denn nur dorthin kann ein Admin etwas installieren. So sind automatisch alle Anwendungen oder ausführbaren Dateien außerhalb nicht erlaubt. Damit kann man schon sehr viel erschlagen. D.h. ihr habt in der Softwareverteilung nur 1 Image vorgesehen mit allen Programmen? Falls ja, dann sollte man an dieser Stelle den Prozess überdenken. Oder über NTFS-Berechtigungen nachdenken die dann auf die entsprechenden Programme wirken. Wenn das Gruppenberechtigungskonzept sehr durchdacht ist, muss der User nur in wenige Gruppen eingefügt werden, um die entsprechenden Berechtigungen zu bekommen. https://www.faq-o-matic.net/2011/03/07/windows-gruppen-richtig-nutzen/ Und daraus das Bild ganz am Ende des Artikels beachten. ;)

Das kann man, wie von zahni angesprochen, aus Word oder jeder Anwendung heraus machen. Aus Word lässt sich das auch mit einem VBA-Script abfackeln.

Applocker ist eine Computereinstellung, oder willst Du Applocker dazu verwenden, für bestimmte User bestimmte Programme nicht zuzulassen?

Dann mal testweise ein neues GPO mit einem Loginscript erstellen. Darin mit net use die LW mappen und mit ein paar ausgewählten Usern, die jetzt das Problem haben, testen. Dazu natürlich das andere GPO für diese User deaktivieren.

Steht das GPP auf Aktualisieren? Und wenn es nach dem gpupdate kommt, ist der Rechner zu schnell. Warte doch vor der Anmeldung 30 Sekunden, ist das LW jetzt da?

Weshalb sollte sich eine SP verändern? Den Code kanst Du von jeder anderen SUSDB entnehmen und bei dir einfügen.

Fehlt nur diese eine SP oder fehlen alle? Melde dich mit einem SQL Server Management Studio direkt auf dem WSUS an der WID an, dann siehst Du es gleich. Man kann die SPs natürlich auch aus einer Datenbank Sicherung holen.

Geht auch als Verknüpfung, hier ein Beispiel: C:\Windows\System32\runas.exe /user:Domain\Username "Pfad zur EXE.exe"

Meinst Du einen WSUS in die DMZ stellen und via 8531 von außen erreichbar machen?