Gruppenrichtlinie

[manowup 10]

Hallo,

 

ich versuche verzweifelt in einer Gruppenrichtlinie eines WINDOWS 2000 Servers den Aufruf der WINDOWS-Hilfe zu verbieten.

In der Startleiste kein Problem, aber "F1" funktioniert immer noch.

Gibt es da für einen Neuling irgendwo einen Tip ??

[Hirgelzwift 10]

es wäre sehr nett von dir wenn du uns mitteilen würdest welche GPO du wie eingestellt hast.

 

war es dir hier?: Benutzerkonfiguration/Administrative Vorlagen/Startmenü und Taskleiste - Menüeintrag "Hilfe" aus dem Startmenü entfernen - Aktiviert

 

Erklärung laut GPMC: Entfernt den Menüeintrag "Hilfe" aus dem Startmenü.

 

Diese Einstellung gilt nur für das Startmenü. Das Menü "Hilfe" wird nicht aus Windows Explorer entfernt, und Benutzer werden nicht daran gehindert, die Hilfe auszuführen.

 

das würde erklären warum es über F1 trotzdem geht.

[manowup 10]

Danke für die Unterstützung,

mir fehlt wohl ein wenig Erfahrung hier.

Du hast absolut Recht; ich habe "Benutzerkonfiguration/Administrative Vorlagen/Startmenü und Taskleiste - Menüeintrag "Hilfe" aus dem Startmenü entfernen" - Aktiviert. Damit habe ich zumindest geschafft, dass im Startmenue nichts mehr erscheint.

Leider reicht das nicht, da man nun immer noch über F1 auf die Hilfe zugreifen kann. Meine Aufgabe ist es aber nun, genau das zu unterbinden, da über die Hilfe so ziemlich alle Programme direkt über einen Link aufgerufen werden können, die ich über andere GPOs geblockt habe. Ich habe aber noch kein GPO gefunden, das die Hilfe als solches ausschalten kann.

 

Das einzige was ich gefunden habe ist ein Eintrag in der Registry, mit dem ich wohl einzelne Programme blocken kann, aber das kann nicht die Lösung sein.

[PAT 10]

Es gibt auch eine GPO, in der Du den Aufruf von Programmen über die Hilfe unterbinden kannst, allerdings musst Du dort die Programme explizit angeben, was letztendlich auf das Gleiche herauskommt wie der von Dir beschriebene Registry-Eintrag.

[manowup 10]

Ja, stimmt genau, aber die Anzahl der erlaubten Programme ist nur ein Bruchteil derer, die gesperrt sein sollen. Deshalb wäre ein GPO mit dem denerellen Verbot und Eintrag der Erlaubten genau das, was ich suche.

[lefg 276]

...ch über F1 auf die Hilfe zugreifen kann. Meine Aufgabe ist es aber nun, genau das zu unterbinden, da über die Hilfe so ziemlich alle Programme direkt über einen Link aufgerufen werden können, die ich über andere GPOs geblockt habe.

Es geht primär also nicht um die Hilfe sondern um das Unterbinden des Starts anderer Programme? Welcher?

[manowup 10]

Stimmt.

Die Situation ist so, dass ich in einem Netzwerk einige Arbeitstationen habe, die unbeaufsichtigt sind und an sich nur der Betriebsdatenerfassung (ist in einem Produktionsbetrieb) dienen.

Aber wie das so ist, in der Spätschicht, wenn keine Aufsicht da ist, wird experimentiert.

Da wird über die Hilfe (den Rest habe ich geblockt) Solitärmeisterschaften ausgeführt.

 

Die Hilfe ist natürlich so umfangreich, dass man zu nahezu jedem Befehl auch einen Link

zum Ausführen erreichen kann.

 

Ich weiß natürlich nicht, was die Jungs sich da so ausdenken und ausprobieren. Daher

ist es nahezu unmöglich die einzelprogramme aufzulisten. (Spiele hab ich natürlich jetzt

geblockt) und daher hatte ich die Idee, die ganze Hilfe für den User zuzumachen.

 

Aber scheinbar ein riesiges Unterfangen.

[Hirgelzwift 10]

Ja, stimmt genau, aber die Anzahl der erlaubten Programme ist nur ein Bruchteil derer, die gesperrt sein sollen. Deshalb wäre ein GPO mit dem denerellen Verbot und Eintrag der Erlaubten genau das, was ich suche.

 

Benutzerkonfiguration/Windows-Einstellungen/Sicherheitseinstellungen/Richtlinien für Softwarebeschränkungen/Zusätzliche Regeln

 

dort kannst du Programme erlauben bzw. verbieten. so weit ich weiß kann man bei pfadregeln mit wildcards arbeiten. verweigere auch den administratoren das anwenderecht auf diese GPO. lesen der GPO darfst du den admins natürlich nicht verweigern. im computerkonfigurationscontainer gibt es genau die selben einstellunge. wenn du konkurierende einstellungen machst gewinnt immer die computerkonfiguration. dabei sperrst du auch die admins aus, also mach es nur unter benutzer.

 

VORSICHT - mach die tests unbedingt auf einem testserver mit einer test OU und test GPO.

[lefg 276]

Ausführung aus der Hilfe für folgende Programme nicht zulassen; zu finden unter Computerkonfiguration, Administrative Vorlgen, System.

 

Nur zugelassenen Windows-Anwendungen ausführen.

Angegebene Windows-Anwendungen nicht ausführen; zu finden unter Benutzerkonfiguration, Administrative Vorlagen, System

[manowup 10]

Hallo lefg,

 

"Nur zugelassenen Windows-Anwendungen ausführen.

zu finden unter Benutzerkonfiguration, Administrative Vorlagen, System"

 

Danke, das war der entscheidende Tipp.

Hat zwar noch ein wenig Dedektivarbeit bedeutet, alle Anwendungen zu finden, die erlaubt sind, aber letztendlich habe ich mein Problem damit lösen können.

Nochmals vielen Dank für Eure Tipps.

[lefg 276]

Gern geschehen