Server 2016 Datacenter: Page visibility functionaliteit.

[Hama900]

Hallo,

In het verleden was het altijd mogelijk om in de control panel bepaalde items te verbergen d.m.v. GPOs en canonical names. Nu is het zo dat Windows 10 en Server 2016 gebruik maken van de app 'Settings', hierin kun je dingen doen zoals bijv. Windows Defender inschakelen, Systeemherstel en Windows Updates uitvoeren.

Mijn vraag: Ik wil de Settings app graag behouden maar de Update & Security tab onzichtbaar maken voor de gebruikers. Ik heb begrepen dat er voor Windows 10 admx. bestanden zijn om dit aan te passen, namelijk 'page visibility'. Deze admx files zijn (voor zover ik weet) nog niet beschikbaar voor Server 2016.... is er een manier om dit toch te omzeilen en bepaalde settings te verbergen voor users?

Ik heb de nieuwste admx pack al gedownload maar daar had ik ook weinig aan:
https://www.microsoft.com...oad/details.aspx?id=53430

Ik had ook al gezien dat anderen hier ook mee zitten:

https://social.technet.mi...ibility?forum=winserverTS

https://community.spicewo...-settings-page-visibility

https://community.spicewo...-settings-page-visibility


BVD!

[ Voor 27% gewijzigd door Hama900 op 11-10-2017 14:57 ]

[Brahiewahiewa]

Hama900 schreef op woensdag 11 oktober 2017 @ 14:38:
...: Ik wil de Settings app graag behouden maar de Update & Security tab onzichtbaar maken voor de gebruikers...

Ik vind dat een vreemde wens. Ordinaire gebruikers kunnen geen wijzigingen maken in dit onderdeel, daar heb je administratorrechten voor nodig. (Behalve dan het uitstellen van de reboot, maar da's logisch; er moet tenslotte gewerkt worden)
Je bent hiermee eigenlijk alleen maar een stukje security through obscurity aan het bouwen. Wat denk je daarmee te bereiken?

[Hama900]

Brahiewahiewa schreef op woensdag 11 oktober 2017 @ 23:01:
[...]

Ik vind dat een vreemde wens. Ordinaire gebruikers kunnen geen wijzigingen maken in dit onderdeel, daar heb je administratorrechten voor nodig. (Behalve dan het uitstellen van de reboot, maar da's logisch; er moet tenslotte gewerkt worden)
Je bent hiermee eigenlijk alleen maar een stukje security through obscurity aan het bouwen. Wat denk je daarmee te bereiken?

Ze zijn momenteel ook in staat om updates te installeren en vervolgens te rebooten, daarnaast hebben zij ook toegang tot endpoint protection etc. Je kunt je voorstellen dat het binnen de kortste keren mis zal gaan, vooral wanneer een gebruiker per ongeluk op reboot klikt terwijl anderen aan het werk zijn op de VM.

[Meekoh]

Even de Old-school methode?
Probeer het eens op een Win10 toe te passen in een GPO. Tijdens gpupdate meekijken met Process Monitor (sysinternals) en kijk welke registry settings er worden gewijzigd.
Uiteindelijk is bijna alles wat door GPO's wordt ingesteld een registry setting.

[Hama900]

Meekoh schreef op donderdag 12 oktober 2017 @ 09:42:
Even de Old-school methode?
Probeer het eens op een Win10 toe te passen in een GPO. Tijdens gpupdate meekijken met Process Monitor (sysinternals) en kijk welke registry settings er worden gewijzigd.
Uiteindelijk is bijna alles wat door GPO's wordt ingesteld een registry setting.

Ook al gedaan.. het komt uit op HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer
Hierin wordt er een String value aangemaakt met als naam 'SettingsPageVisibility' waarin je een showonly of hide commando kunt invoeren, wanneer ik dit namaak op de 2016 servers wordt er niets mee gedaan ook niet als ik het via de GPO push lijkt het ook niet te werken

[HKLM_]

Hama900 schreef op donderdag 12 oktober 2017 @ 09:20:
[...]


Ze zijn momenteel ook in staat om updates te installeren en vervolgens te rebooten, daarnaast hebben zij ook toegang tot endpoint protection etc. Je kunt je voorstellen dat het binnen de kortste keren mis zal gaan, vooral wanneer een gebruiker per ongeluk op reboot klikt terwijl anderen aan het werk zijn op de VM.

Het gaat om een RDS / VDI omgeving ? als gebruikers in staat zijn de omgeving te rebooten of updates te installeren dan gaat er ook iets niet helemaal goed met je rechten.

[Hama900]

HKLM_ schreef op donderdag 12 oktober 2017 @ 11:56:
[...]


Het gaat om een RDS / VDI omgeving ? als gebruikers in staat zijn de omgeving te rebooten of updates te installeren dan gaat er ook iets niet helemaal goed met je rechten.

Qua rechten staat het goed ingesteld aangezien zij via start > power knop alleen kunnen disconnecten of afmelden, ze kunnen het via cmd ook niet uitvoeren. De enige manier dat zij in staat zijn een reboot uit te voeren is door de Settings tab na het downloaden en installeren van updates en daarom wil ik het weghebben.

[Brahiewahiewa]

HKLM_ schreef op donderdag 12 oktober 2017 @ 11:56:
[...]Het gaat om een RDS / VDI omgeving ? als gebruikers in staat zijn de omgeving te rebooten of updates te installeren dan gaat er ook iets niet helemaal goed met je rechten.

Precies! En wat ga je doen als een gebruiker

shutdown -R

uitvoert?

Hama900 schreef op donderdag 12 oktober 2017 @ 11:58:
[...] het via cmd ook niet uitvoeren...

Ik hoop dat je dat via een whitelist hebt geregeld, en niet via een blacklist
Anyway, waarom niet gewoon een GPO die eindgebruikers het recht om te rebooten afpakt?

[ Voor 30% gewijzigd door Brahiewahiewa op 12-10-2017 16:43 . Reden: voortschrijdend inzicht ;o) ]

[HKLM_]

@Brahiewahiewa dan blokker je met applocker de run

Ik ga er na aanleiding van je reacties van uit dat je een RDS host hebt met sessions en geen VM per persoon.

Wat maakt het trouwens uit dat ze bij endpoint protection kunnen, dit is toch gewoon een client, dat kunnen op een gewone desktopt toch ook ? Wat bedoel je met etc kunnen ze bijvoorbeeld ook de server manager openen of powershell ?

Wat je ook zou kunnen doen, is wel een beetje een vieze oplossing. Als je je server updates met de hand installeer zou je er voor kunnen kiezen om de windows update services uit te schakelen. En zelf in te schakelen als je de server gaat updaten.

[ Voor 98% gewijzigd door HKLM_ op 12-10-2017 16:49 ]

[Verwijderd]

Hama900 schreef op donderdag 12 oktober 2017 @ 09:20:
[...]


Ze zijn momenteel ook in staat om updates te installeren en vervolgens te rebooten, daarnaast hebben zij ook toegang tot endpoint protection etc. Je kunt je voorstellen dat het binnen de kortste keren mis zal gaan, vooral wanneer een gebruiker per ongeluk op reboot klikt terwijl anderen aan het werk zijn op de VM.

Fix dat probleem en ga het niet 'verbergen'. Er is momenteel iets goed mis.

[Craven]

Brahiewahiewa schreef op donderdag 12 oktober 2017 @ 16:35:
[...]

Precies! En wat ga je doen als een gebruiker

shutdown -R

uitvoert?

[...]

Ik hoop dat je dat via een whitelist hebt geregeld, en niet via een blacklist
Anyway, waarom niet gewoon een GPO die eindgebruikers het recht om te rebooten afpakt?

Lezen is ook een kunst:

Hama900 schreef op donderdag 12 oktober 2017 @ 11:58:
[...]


Qua rechten staat het goed ingesteld aangezien zij via start > power knop alleen kunnen disconnecten of afmelden, ze kunnen het via cmd ook niet uitvoeren. De enige manier dat zij in staat zijn een reboot uit te voeren is door de Settings tab na het downloaden en installeren van updates en daarom wil ik het weghebben.

@Hama900
Als ik het goed begrijp hebben ze dus geen rechten om te rebooten (shutdown -r werkt dus niet?) maar kunnen ze wel via windows update een reboot uitvoeren. Heb ik persoonlijk nog niet gecheckt of dat dan weer wel werkt. Zou ik wel een gemist steekje vinden van MS.

In any case, kun je niet beter controle nemen over windows update van die machine? Ik zou het erger vinden dat gebruikers schijnbaar controle hebben over windows updates en dat een machine overdag during business hours staat te wachten op een reboot. Je probeert nu het gevolg te bestrijden i.p.v. de onderliggende oorzaak.

[Brahiewahiewa]

Craven schreef op donderdag 12 oktober 2017 @ 16:51:
[...]Lezen is ook een kunst:

touché

Als ik het goed begrijp hebben ze dus geen rechten om te rebooten (shutdown -r werkt dus niet?) maar kunnen ze wel via windows update een reboot uitvoeren. Heb ik persoonlijk nog niet gecheckt of dat dan weer wel werkt. Zou ik wel een gemist steekje vinden van MS...

Nog meer voortschrijdend inzicht ;o)
Er bestaat een kans dat MS idd deze mogelijkheid over het hoofd heeft gezien.
De juiste handelwijze lijkt me dan om dit als een blocking bug aan te melden bij MS

[Question Mark]

Niet getest, maar daar is toch een GPO setting voor?

https://support.microsoft...te-on-windows-server-2016

The default settings in Windows Server 2016 allow user who are not an administrator to scan for and apply Windows Updates. Administrators may want to change this setting to limit access to Windows Updates, especially in Remote Desktop Services Host deployments.

[Verwijderd]

Question Mark schreef op donderdag 12 oktober 2017 @ 19:58:
Niet getest, maar daar is toch een GPO setting voor?

https://support.microsoft...te-on-windows-server-2016


[...]

Net getest, lukt idd als user zonder admin rechten. Rebooten kan daarna ook gewoon. Bijzonder 'design'.

[Hama900]

Verwijderd schreef op donderdag 12 oktober 2017 @ 21:36:
[...]

Net getest, lukt idd als user zonder admin rechten. Rebooten kan daarna ook gewoon. Bijzonder 'design'.

Nou inderdaad.... bijzonder achterlijk van MS moet ik zeggen...

[nelizmastr]

Windows Beta Server 2016