Adobe en Java updates uitzetten via GPO

[ReTechNL]

Beste,


Ik vroeg me af of het mogelijk was om simpel een universele GPO te maken die automatisch Adobe en Java updates uitschakeld op client PC's in een domein.
Dit omdat somige PC's in een netwerk oudere adobe versies hebben. (8.0, 9.0 en 10.0)
Tevens zijn niet alle OSen gelijk. Somige hebben Windows 7 of XP.
Tevens zit er ook een verschil tussen 64Bit en 32Bit.

Is dit mogelijk via Group Policies? Ik maak voornamelijk gebruik van SBS2011 en SBS2008 servers.
Ik wil liever geen gebruik maken van login scripts aangezien dit op 90% van alle servers die we hebben niet meer wordt gebruikt.

Toch heb ik een simpel universeel batch script geschreven die het mogelijk kan.
Helaas is dit niet de ideale oplossing die ik zoek en in 1 keer kan doorvoeren over alle PC's. Ik zoek iets in de richting van GPO.

code:

@echo off

rem Find Adobe version number.
for /f "tokens=*" %%a in (
'reg query "HKLM\SOFTWARE\Policies\Adobe\Acrobat Reader"'
) do (
set version=%%a
)

rem Remove spaces
set version=%version:~58,5%
set version=%version: =%

IF EXIST "%ProgramFiles%\Adobe\Reader %version%" GOTO Adobe
IF EXIST "%ProgramFiles(x86)%\Adobe\Reader %version%" GOTO Adobe

GOTO JavaCheck

:Adobe
rem Execute Registry
rem Adobe Updater
reg add "HKLM\SOFTWARE\Policies\Adobe\Acrobat Reader\%version%\FeatureLockDown" /v bUpdater /t REG_DWORD /d "0" /f

rem Adobe EULA
reg add "HKCU\Software\Adobe\Acrobat Reader\%version%\AdobeViewer" /v EULA /t REG_DWORD /d "1" /f

:JavaCheck
IF EXIST "%ProgramFiles%\Java" GOTO Java
IF EXIST "%ProgramFiles(x86)%\Java" GOTO Java

GOTO Eind

:Java
rem Java Updater
reg add "HKLM\SOFTWARE\JavaSoft\Java Update\Policy" /v EnableJavaUpdate /t REG_DWORD /d "0" /f
reg add "HKLM\SOFTWARE\JavaSoft\Java Update\Policy" /v EnableAutoUpdateCheck /t REG_DWORD /d "0" /f
reg add "HKLM\SOFTWARE\JavaSoft\Java Update\Policy" /v NotifyDownload /t REG_DWORD /d "1" /f
reg add "HKLM\SOFTWARE\JavaSoft\Java Update\Policy" /v NotifyInstall /t REG_DWORD /d "1" /f
reg add "HKLM\SOFTWARE\JavaSoft\Java Update\Policy" /v Frequency /t REG_DWORD /d "1020000" /f
reg add "HKLM\SOFTWARE\JavaSoft\Java Update\Policy" /v UpdateSchedule /t REG_DWORD /d "14" /f

:Eind

De orginele reg keys die dit mogelijk moeten maken zijn:

code:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Adobe\Acrobat Reader\10.0\FeatureLockDown]
"bUpdater"=dword:00000000

[HKEY_CURRENT_USER\Software\Adobe\Acrobat Reader\10.0\AdobeViewer]
"EULA"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\JavaSoft\Java Update\Policy]
"EnableJavaUpdate"=dword:00000000
"EnableAutoUpdateCheck"=dword:00000000
"NotifyDownload"=dword:00000001
"NotifyInstall"=dword:00000001
"Frequency"=dword:01020000
"UpdateSchedule"=dword:0000000e

Weet iemand hoe ik dit kan realiseren?


~ReTechNL

[hilgo]

Heb je hier wat aan? Heb ik zelf ooit wel nuttige info uitgehaald. Overigens denk ik niet dat je het echt universeel krijgt door alle verschillende versies. Misschien uitzoeken naar welke url's men connect en die blokkeren in je firewall (quick and dirty, i know)?

[ Voor 34% gewijzigd door hilgo op 17-11-2011 16:27 ]

[hiekikowan]

Lijkt me inderdaad dat je voor iedere versie een aparte regel aan moet maken... of zoals Hilgo zegt de updater-urls blokkeren (of redirecten in je HOSTS-file, zoals ze dat bij 'gratis' versies van CS5 ook doen!)

[ReTechNL]

hilgo schreef op donderdag 17 november 2011 @ 16:26:
Heb je hier wat aan? Heb ik zelf ooit wel nuttige info uitgehaald. Overigens denk ik niet dat je het echt universeel krijgt door alle verschillende versies. Misschien uitzoeken naar welke url's men connect en die blokkeren in je firewall (quick and dirty, i know)?

Deze link kwam ik ook al eerder tegen maar vroeg me af of er ook een universele was.
Aangezien adobe alle reg keys en bestanden onder een versie nummer hangt.

Misschien is het verstandiger de laatste versie (10.0) van adobe reader via AD te pushen naar alle client pc's en vervolgens alleen de laatste versie (10.0) aan de GPO toe te voegen.

[muppet99]

Je zou het ook kunnen oplossen met de msi packages. In onze omgeving hebben wij custom made msi's waarin de de autoupdate functionaliteit uit staat. Het nadeel mijns inziens is dat je hiermee het probleem tijdelijk verhelpt. Je zult al je GPO's elke keer moeten aanpassen bij een nieuwe uitrol van de sfotware. Mijn ervaring is dat dit nog wel eens vergeten wordt.

[ReTechNL]

Uhm met custom MSI hoef je ook niet met reg keys te gaan spelen..

Adobe Customization Wizard X
ftp://ftp.adobe.com/pub/adobe/acrobat/win/10.x/10.0.0/misc/

Laatste Adobe versie:
ftp://ftp.adobe.com/pub/adobe/reader/win/10.x/

Uitleg
http://blog.stealthpuppy....deploying-adobe-reader-x/

Misschien kan ik dit gebruiken om direct adobe uit te rollen voor de eerste keer.
En het bovenstaande script om eventueel alles achteraf door te voeren.

[alt-92]

ReTechNL schreef op donderdag 17 november 2011 @ 16:13:

Is dit mogelijk via Group Policies?

Group policy Preferences.
Kun je zelf de regkeys ermee zetten, en als je Item level targeting gebruikt via een WMI query de juiste settings toepassen op de versie die je wil beheren.

Dat is stap één. Stap twee is dat je je Applicatie Lifecycle management op orde gaat brengen en je versiebeheer goed toepast.

[_AN]

alt-92 schreef op donderdag 17 november 2011 @ 21:06:
[...]

Group policy Preferences.
Kun je zelf de regkeys ermee zetten, en als je Item level targeting gebruikt via een WMI query de juiste settings toepassen op de versie die je wil beheren.

Dat is stap één. Stap twee is dat je je Applicatie Lifecycle management op orde gaat brengen en je versiebeheer goed toepast.

Precies, doe ik ook.

Volgens mij een bUpdater DWORD voor Adobe Reader.

Voor Flash kopieer ik (ook via Preferences) een nieuwe settings.sol bestand naar %USERPROFILE%\AppData\Roaming\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys.

En voor Java EnableJavaUpdate.

[musiman]

Er is nog een veel mooiere oplossing, maar dat is wel commercieel. Het bedrijf Policypak heeft een Group Policy extensie waarmee je van niet-Microsoft applicaties zoals Acrobat en Winzip ALLE instellingen kunt wijzigen, ervoor kunt zorgen dat gebruikers de instellingen zelf niet meer kunnen wijzigen of (per instelling dus) niet eens meer kunnen zien. Het komt net als GP Preferences gewoon in je GPO's te staan.

Iedere week hebben ze wel een paar gratis online sessies waarin ze laten zien wat je er allemaal mee kunt.
Out-of-the-box ondersteunt het al een hele zwik aan applicaties, regelmatig voegen ze hier wat aan toe EN je kunt ook zelf met een speciale tool alle instellingen van een applicatie snappen en compileren, waarna je die middels GP kunt restricten. En het maakt niet uit of een applicatie wel of geen registry gebruikt, want ook ini files (bijv. Firefox) en menig andere config wordt ondersteund.

Dus mocht je niet alleen van Adobe en Java de updates uit willen zetten, maar ook al je andere apps qua instellingen centraal willen beheren, dan raad ik je Policypak aan (ik heb er overigens geen aandelen in )

edit: wat iedereen vergeet te melden is dat gebruikers HKCU mogen wijzigen, dus mocht je geen Policypak gebruiken, zorg ervoor dat je de rechten zo zet dat ze jouw instellingen die je in de registry aanpast, wijzigt. En GP Prefences zijn... PREFERENCES, dus worden NIET enforced!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

[ Voor 11% gewijzigd door musiman op 22-11-2011 18:29 ]