[Windows 10 Anniversary Update] Group Policies verwijderd

[Mont2uk]

Microsoft gaat, stapje voor stapje steeds verder met het inperken van aanpas mogelijkheden in Windows 10.

De Anniversary Update bewerkstelligd dat Group Policies mank zijn geworden in Windows 10 Pro, om maar een paar voorbeelden te noemen:
- Automatisch downloaden en installeren van updates: kan niet meer worden aangepast via Group Policies.
- Cortana is niet meer uit te schakelen.
- Disable all apps from Windows Store is niet meer te gebruiken.
- Lock screen is niet meer uit te schakelen.
- Do not show Windows Tips policy is niet meer uit te schakelen.
- Turn off Microsoft consumer experiences policy is niet meer uit te schakelen.
- etc

Hier heb je dus de "Pro" versie voor van Windows. Ik heb het idee dat MS denkt dat de gebruiker van Windows 10 Pro een larve is die geleidt moet worden in de juiste "Windows ervaring".
Daarbij wordt voorbij gegaan aan het feit dat veel "Pro" of power users helemaal niet willen dat updates maar geïnstalleerd worden.
Vaak wordt de "defer updates" functie dan maar genoemd door vaak zeer goed ingelichtte en goed lezende MS helpdesk medewerker (uitzonderingen daargelaten), om updates dan maar uit te stellen...
MS zegt die zelf over de optie, die het overigens in Windows Update "Defer Updates" noemt, maar op de support pagina "Defer Upgrades":

Some Windows 10 editions let you defer upgrades to your PC. When you defer upgrades, new Windows features won’t be downloaded or installed for several months. Deferring upgrades doesn’t affect security updates. Note that deferring upgrades will prevent you from getting the latest Windows features as soon as they’re available.

Steeds meer heb ik de neiging het gebruik van Windows te staken, het is helaas wel zo dat je voor bepaalde programma's vast zit aan MS. Mocht je niet veel tijd kwijt willen zijn aan het zoeken naar alternatieven, danwel oplossingen als WINE of virtualBox gebruiken. Dan zit je nog met het performance verlies bij gebruik van dergelijke oplossingen.

Ik hoop een discussie los te maken, en misschien wel tips te delen voor het omzeilen van deze nieuwe episode in het opdringerige gedrag omtrent Windows 10 updates en upgrades.

[CMD-Snake]

Is dit een vraag? Of moet je even wat frustraties luchten?

Er is een verschil tussen group policy en local group policy. Die laatste stel je in op Windows 10 Pro als je geen domein hebt wat centraal dit soort zaken af kan dwingen. Uiteindelijk doet het niet veel meer dan register keys aanpassen. Veel tooltjes doen dit ook.

Wat ik dan niet snap is dat je eigenlijk al deze zaken ook prima kan beheren via het Instellingen menu. Je kan daar een hoop nog uitzetten of naar een zeer lage stand zetten.

Mont2uk schreef op donderdag 04 augustus 2016 @ 00:11:
Daarbij wordt voorbij gegaan aan het feit dat veel "Pro" of power users helemaal niet willen dat updates maar geïnstalleerd worden.

Ook een power user moet het belang inzien van patches. Ik vraag mij dan ook af wat er zo slecht zou moeten zijn aan hoe de patches nu werken. Ze downloaden en installeren (deze instellingen hanteer ik altijd) en dan wacht de computer op een herstart. Aan het einde van de dag hoef ik alleen nog te klikken op "Update en Shutdown" en alles is klaar. Welk ongemak moet ik dan gehad hebben?

[Craven]

met ^^

Ik ben ontzettend blij dat MS updates harder pusht. Ik ben wel een beetje klaar met mensen die denken updates niet nodig te hebben. Met name security updates. Die heb je namelijk wel nodig, altijd!

Waar haal je vandaan dat GPO's niet meer werken? Ik ben benieuwd naar de bron namelijk. Hierboven word al gesuggereerd dat het alleen om local policies gaat. Als dat het enige is, dan zie ik het probleem ook niet zo.

[Verwijderd]

Sommige updates wil je niet. Omdat ze compatibiliteitsproblemen opleveren, omdat ze troep installeren (zoals er opeens telemetry in Windows 8.1 verscheen) of omdat Microsoft in zeldzame gevallen kapotte updates uitrolt. Ik heb ze alle drie al meegemaakt.

Als ik update kb:mijnkeuze om een specifieke reden weiger, dan zou dat moeten kunnen.

[Morrisson]

Gebruik de Windows Update Mini Tool (WUMT) om updates te kunnen verbergen.
Cortana uitschakelen: Open GPEDIT.MSC
Computer Configuration/AdministrativeTemplates/Windows Components/Search
Allow Cortana op disabled zetten.

[CMD-Snake]

Verwijderd schreef op donderdag 04 augustus 2016 @ 07:15:
Sommige updates wil je niet. Omdat ze compatibiliteitsproblemen opleveren

Als software ophoudt met werken na een beveiligingsupdate dan misbruikte de software dus een exploit. Dat is eerder slecht programmeerwerk dan de schuld van de patch. Voor de overgrote meerderheid van de Windows gebruikers zijn de standaard instellingen voor Windows Update prima.

Wat jij beschrijft is vooral een risico in bedrijfsomgevingen, zeker met brakke maatwerk software. Voor thuis speelt dit nauwelijks. Microsoft test patches doorgaans zeer intensief om ervoor te zorgen dat ze niets kapot maken.

Indien je meer controle wil over je updates kan je altijd nog een WSUS servertje inrichten. Je kan dan zelf updates goedkeuren of afwijzen.

[Raven]

Mont2uk schreef op donderdag 04 augustus 2016 @ 00:11:
- Automatisch downloaden en installeren van updates: kan niet meer worden aangepast via Group Policies.

Die optie heb ik hier in de Pro-versie na de anniversary update nog steeds

[General_Snuss]

Weet iemand wat de optie was om deze lijst uit start te verwijderen?



Ik heb al een aantal dingen geprobeerd in Group policies, maar ze werken helaas niet.

[Collen]

De (wederom) nieuwe start menu is zo wie zo wederom bagger....
Ze leren het daar nooit..

[Transportman]

Raven schreef op donderdag 04 augustus 2016 @ 10:23:
[...]

Die optie heb ik hier in de Pro-versie na de anniversary update nog steeds

Maar werkt de optie nog? Ik heb een computer met Pro en de Anniversary update, en bij de optie om het lock screen uit te zetten staat dat het alleen werkt op Enterprise, Education en Server versies. En de aanpassing aan het register die hetzelfde deed, werkt ook niet meer.

En op het internet lees ik dat ook andere policies niets meer doen bij Windows 10 Pro.

[Raven]

Dat kan alleen getest worden door te wachten op updates en kijken of die automatisch geïnstalleerd worden of niet. Hierbij zelf klikken op de zoeknaarupdates-knop vermijden, want dan wordt die policy gewoon genegeerd.

edit: Silverlight eraf geknikkerd, nu afwachten tot Windows Update doorheeft dat ie die moet aanbieden en dan maar kijken wat er gebeurt.

edit2: In afwachting van een nieuwe check voor updates, ik heb een paar berichten gezien dat de gpedit instelling toch effect lijkt te hebben, er wordt een update weergeven die niet automatisch geïnstalleerd wordt. Zie http://www.tenforums.com/...roup-policy-settings.html , alleen heb ik Defender vervangen door ESS, dus ik krijg daar geen updates voor.
* Raven wacht nog steeds tot Windows doorheeft dat Silverlight aangeboden moet worden, ESS heeft dat allang door

[ Voor 67% gewijzigd door Raven op 04-08-2016 17:50 ]

[Mont2uk]

@ Raven:
De Group Policy om er voor te kiezen updates zelf te downloaden / te installeren op het moment dat je dat wil kan zoveel ingesteld worden als je wil, deze register wijziging wordt genegeerd.

Store Apps worden weer geïnstalleerd na de Anniversary update, evenals settings om geavanceerde gebruiks statistieken naar MS te sturen. Dit soort zaken had ik voorheen uitgeschakeld staan, via het Win10privacy programmaatje en met de hand. Alleen al dat dit soort zaken gewijzigd wordt zonder expliciete toestemming vind ik gewoonweg grof en arrogant van MS.

Ik heb in eerste instantie automatisch installeren van updates uitgeschakeld, omdat ik met een computer eindigde die niet meer opstartte. Overigens hoef je maar op internet te zoeken naar dergelijke problemen en je wordt overspoelt met ellende verhalen (meer dan 18 miljoen hits met de zoekopdracht 'windows 10 doesn't boot after updates' bijvoorbeeld.

Natuurlijk zal MS weten dat security updates goed zijn voor de veiligheid van je computer. Erg fijn en convenient allemaal, maar dat wil ik AUB niet. Wat ik wil is eerst lezen wat in de omschrijving van een update staat, voordat het zaken gaat aanpassen op het besturingssysteem dat op mijn hardware draait.
Overigens werkt boerenverstand nog altijd het beste tegen malware op de pc. Altijd zullen er exploits zijn die helemaal niet met een volledig gepatched systeem tegen gehouden worden.
Upgraden naar Windows 10 Enterprise is niet zo makkelijk, overigens mensen hebben toch niet voor niks voor Pro betaald?

Hier een aantal links naar meer informatie:
http://www.tenforums.com/...roup-policy-settings.html
http://www.ghacks.net/201...-policies-windows-10-pro/
http://www.theregister.co...sers_disabling_cloud_ads/
http://www.theregister.co...t_fix_borks_group_policy/
http://betanews.com/2016/...pdate-takes-back-control/
http://www.zdnet.com/arti...0-pro-anniversary-update/
etc...

ps. De vreugde is compleet: de DTS Interactive driver van mijn soundcard is de nek om gedraait; mijn Creative software is zonder enige notificatie verwijderd van het systeem.

[ Voor 4% gewijzigd door Mont2uk op 04-08-2016 22:27 ]

[CAP-Team]

Niet geheel on-topic: weet iemand of en wanneer de Group Policy objects (admx) voor Windows 10 AU uit komen voor Windows Server 2008 R2 / Windows 2012 R2?

[Dutch2007]

CAP-Team schreef op vrijdag 05 augustus 2016 @ 10:38:
Niet geheel on-topic: weet iemand of en wanneer de Group Policy objects (admx) voor Windows 10 AU uit komen voor Windows Server 2008 R2 / Windows 2012 R2?

Kan je de admx files niet gewoon kopieeren vanaf een win10 pc?

Sla je ze daarna in de admz store op

[CAP-Team]

Dat is ook een idee ja

[Audiodude]

Alhoewel ik mij normaal schaar onder microsoft fans, zijn de laatste aanpassingen mij erg tegen gaan staan. Ik doel dan vooral op de onmogelijkheid om suggested apps en continue herinstallatie daarvan bij upgrades uit te zetten.

Ik heb ook toegang tot edu versies aangezien ik it-er ben van een kleine school. Maar helaas geen toegang tot enterprise versies.

Nu wil ik graag wel cortana maar geen suggested apps en dat gaat gewoon niet samen. Ik heb geprobeerd cortana werkend te krijgen in edu versie maar dat kan helaas niet.

Weet iemand de dns records van de server die suggestions aanvoert, zodat ik die in dns kan blokkeren ?

[TheVMaster]

CAP-Team schreef op vrijdag 05 augustus 2016 @ 10:38:
Niet geheel on-topic: weet iemand of en wanneer de Group Policy objects (admx) voor Windows 10 AU uit komen voor Windows Server 2008 R2 / Windows 2012 R2?

Ze zijn uit (sinds gisteren geloof ik) : https://www.microsoft.com...oad/details.aspx?id=53430

[Raven]

Mont2uk schreef op donderdag 04 augustus 2016 @ 21:24:
@ Raven:
De Group Policy om er voor te kiezen updates zelf te downloaden / te installeren op het moment dat je dat wil kan zoveel ingesteld worden als je wil, deze register wijziging wordt genegeerd.

Het heeft even geduurd, Windows Update zoekt niet meer naar andere software van MS ookal staat dat wél aan. Maar het lijkt erop dat de gpedit-instelling voor Windows Update nog steeds effect heeft. Dit krijg ik te zien na het installeren van een oude Silverlight versie en even wachten tot er een nieuwe zoektocht is gedaan:


Er wordt niets automatisch gedownload of geïnstalleerd

[mschol]

CMD-Snake schreef op donderdag 04 augustus 2016 @ 08:48:
[...]


Als software ophoudt met werken na een beveiligingsupdate dan misbruikte de software dus een exploit. Dat is eerder slecht programmeerwerk dan de schuld van de patch. Voor de overgrote meerderheid van de Windows gebruikers zijn de standaard instellingen voor Windows Update prima.

Wat jij beschrijft is vooral een risico in bedrijfsomgevingen, zeker met brakke maatwerk software. Voor thuis speelt dit nauwelijks. Microsoft test patches doorgaans zeer intensief om ervoor te zorgen dat ze niets kapot maken.

Indien je meer controle wil over je updates kan je altijd nog een WSUS servertje inrichten. Je kan dan zelf updates goedkeuren of afwijzen.

dat is wel erg makkelijk, iemand anders de schuld geven van een brakke patch..
Het is al veel vaker voorgekomen dat microsoft een patch uitbrengt die veel systemen (deels) om zeep helpt


de mogelijkheden beperken dat je suggesties niet meer uit kan zetten in pro, en mogelijk dus ook minder uitstel opties voor patches hebt is gewoon klantje pesten, en wat betreft de updates kan dat funest voor het MKB met maatwerk zijn, waar windows 10 pro veelvuldig wordt gebruikt (enterprise is vaak een te dure investering t.o.v. losse licenties die bij een pc geleverd worden)

[ Voor 3% gewijzigd door mschol op 06-08-2016 12:24 ]

[niki_lauda]

Bij mij zijn bij de anniversary update
1. Windows defender ingeschakeld
2. Windows firewall ingeschakeld
3. Avg verwijderd/uitgeschakeld
4. private firewall verwijderd.
5. Wederom veel privacy settings overhoop gehaald.
6. Numlock standaard weer uitgeschakeld.

Niet echt leuk.
Verder was ik aan het werken toen die aan het updaten ging, zeer frustrerend. Ben er echt over aan het denken om terug te gaan naar windows 7.

[ Voor 5% gewijzigd door niki_lauda op 06-08-2016 13:33 . Reden: typo ]

[Hero of Time]

CMD-Snake schreef op donderdag 04 augustus 2016 @ 08:48:
[...]

Als software ophoudt met werken na een beveiligingsupdate dan misbruikte de software dus een exploit. Dat is eerder slecht programmeerwerk dan de schuld van de patch.

Niet noodzakelijk. Het is vaker voorgekomen dat een patch juist een API of andere functie aanpast of verwijdert waar dat ene programma nou net gebruik van maakt. Dat werkt dan opeens niet meer.

Even als voorbeeld. Je hebt een backup pakket dat gebruik maakt van VSS. Er is een security bug gevonden waardoor schaduw kopieën verwijdert kan worden zonder tussenkomst van een systeemproces of gebruikersinteractie. De API die dat regelt wordt dan aangepast zodat er beperkte toegang toe is. Je backup pakket kan dan opeens geen backup succesvol afronden omdat het niet in staat is om een schaduw kopie te maken van bestanden die in gebruik zijn.

Dit is maar een simpel voorbeeld. Er zijn ook updates geweest die producten van MS zelf sloopte, zoals o.a. Office, waardoor Outlook crashte of geen mail meer kon ophalen. Sommige daarvan worden dan teruggetrokken, maar door de automatische methode van Windows 10 kan je niet zo makkelijk meer beslissen om even te wachten met updaten en kan je dus met een systeem zitten dat niet helemaal lekker meer werkt, totdat MS de update terug trekt en aan Windows Update de opdracht geeft de update van je systeem te verwijderen. Immers, zelf die update verwijderen resulteert er weer in dat deze automatisch terug komt.

Het is spijtig als zoiets gebeurt en gelukkig is het niet elke maand raak. Dat iets na een update niet meer werkt is overigens niet alleen bij Microsoft zo. Apple hoor je ook het een en ander over en bij Linux gebeurt het net zo.
Als ik even uit m'n hoofd terug haal hoe vaak er problemen waren met bepaalde updates de afgelopen 2 jaar bij de drie genoemde systemen is Apple de koploper met problemen. Van Linux hoor je echter zo goed als niets vanwege de grote diversiteit van distributies, en de gebruikers hebben over het algemeen meer controle over het systeem, maar globaal genomen in de pakketten die er zijn is er ook wel het een en ander mis gegaan. Het is daarom lastig te zeggen of MS of Linux op de tweede plek staat, maar uitgaande van de artikelen hier op Tweakers is MS nummer 2.

Goed, genoeg off-topic gepraat.

[Mont2uk]

@Raven: Thnx voor je update. Kan je bevestigen dat dit voor alle updates geldt?
Wel apart dat de melding (in rood) die je altijd kreeg niet meer te zien is.

@Hero of Time:
En juist daarom wacht ik liever even totdat duidelijk is dat een update geen ellende veroorzaakt. MS kan patches nog zoveel testen, lang niet alles kan überhaupt getest worden. Precies voor MKB kan dit erg vervelend zijn en ja voor power users. Het fenomeen Windows Pro wordt lekker uitgehold, terwijl je niet zomaar voor Enterprise kan kiezen.

[ Voor 57% gewijzigd door Mont2uk op 07-08-2016 09:04 ]

[Raven]

Mont2uk schreef op zondag 07 augustus 2016 @ 08:57:
@Raven: Thnx voor je update. Kan je bevestigen dat dit voor alle updates geldt?
Wel apart dat de melding (in rood) die je altijd kreeg niet meer te zien is.

Dan moeten er eerst updates worden uitgebracht

Tijdens het wachten op de anniversary update, die maar niet via Windows Update werd aangeboden, heb ik het hele update gebeuren gereset. Dus updates van Office eraf knikkeren ter test kan helaas niet.

Dus wachten op de eerstvolgende patch tuesday.

[mschol]

Mont2uk schreef op donderdag 04 augustus 2016 @ 00:11:
Microsoft gaat, stapje voor stapje steeds verder met het inperken van aanpas mogelijkheden in Windows 10.

De Anniversary Update bewerkstelligd dat Group Policies mank zijn geworden in Windows 10 Pro, om maar een paar voorbeelden te noemen:
- Automatisch downloaden en installeren van updates: kan niet meer worden aangepast via Group Policies.

die kan ik hier nog prima aanpassen in computer configuration -> administrative templates -> windows components -> windows update -> Configure Automatic updates
er staat 1 "does not apply to" bij en dat is windows RT

[Raven]

mschol schreef op zondag 07 augustus 2016 @ 09:31:
[...]

die kan ik hier nog prima aanpassen in computer configuration -> administrative templates -> windows components -> windows update -> Configure Automatic updates
er staat 1 "does not apply to" bij en dat is windows RT

Klopt, zie mijn vorige berichten, alleen staat er op het update-scherm iets anders dan wat daar is ingesteld


Zie "instellingen voor updates", terwijl ik optie nr 2 heb ingesteld in gpedit.

[CMD-Snake]

Mont2uk schreef op zondag 07 augustus 2016 @ 08:57:
Het fenomeen Windows Pro wordt lekker uitgehold, terwijl je niet zomaar voor Enterprise kan kiezen.

Windows 10 Enterprise edition kan je ook krijgen in een Office 365-achtig abo. Het is wel prijzig, maar als je zo fel gekant bent tegen patches dan heb je het er voor over. Let overigens wel dat het geen LTSB versie is maar CBB versie. Verder werkt het als een KMS versie, dus je zal regelmatig je computer aan het internet moeten hebben om je licentie actief te houden.

Alternatief zet je de Windows Update service naar 'disabled' in je services menu. Dan bereik je ook je doel van niet meer updaten.

En ik blijf het er niet mee eens. Door de bank genomen zal het een kleine groep gebruikers zijn bij wie iets stuk gaat door patches. Voor het gros van de thuisgebruikers en MKB'ers zal de standaard instellingen prima werken. Vooral voor de MKB'er die vaak met nul verstand als administrator lekker zit te internetten. Deze zelfde mensen hebben vaak geen back-up's en zijn dan flink de pineut als ze getroffen worden door bijvoorbeeld ransomware. Exploitkits worden doorgaans heel snel bijgewerkt na patchrondes en treffen dan vrij effectief mensen die om wat voor reden hun patches uitgesteld hebben.