Neue GPO-Einstellungen in Windows 10 1903: Updates erzwingen, Speicheroptimierung, Logon

Microsoft er­weitert die Gruppen­richt­linien auch in Windows 10 1903 um neue Ein­stellungen für. Sie dienen dieses Mal nicht der Konfi­guration neuer, sondern schon vor­handener Features. So lässt sich mit einer Richt­linie das Ein­spielen von Updates er­zwingen, außer­dem kann man die Speicher­optimierung erstmals zen­tral ver­walten.

Derzeit gibt es noch keine offizielle Doku­mentation zu den GPO-Einstellungen im neuesten Release von Windows 10. Diese macht Microsoft seit Jahren als Excel-Tabelle zugänglich, deren Nutzen aber unter der fehlenden Pflege und Daten­inkonsistenzen leidet. Es bleibt abzuwarten, ob sich die Situation mit der Version 1903 bessert.

Extraktion der Einstellungen aus den ADMX

Die folgenden Daten zu den neuen GPO-Einstellungen habe ich direkt den ADMX- und ADML-Dateien entnommen. Mit den XML-Funktionen von Power­Shell lässt sich eine Liste sämtlicher Settings relativ einfach erstellen:

$admx = Get-ChildItem "$env:SystemRoot\PolicyDefinitions\*.admx"

$admx | %{ [xml]$f = Get-Content -Path $_
$f.policyDefinitions.policies.policy.name}

Diese generiert man jeweils für Windows 10 1809 und 1903 und vergleicht die beiden Ergebnisse. Unsicher­heiten und Fehler­quellen gibt es allerdings auch hier, weil die XML-Struktur der admini­strativen Vorlagen nicht konsistent ist. Für die Sprachdateien verwendet Microsoft mindestens 5 ver­schiedene Attribute, um die Erklärung für die Einstellungen zu kenn­zeichnen.

Eine solche Analyse der ADMX-Dateien ermittelt die folgenden neue Einstellungen für Windows 10 1903, wie sie die Tabelle am Ende des Textes zeigt. Die komplette Übersicht mit allen Erläuterungen findet sich hier.

Einspielen von Updates erzwingen

Zu den interessanten Neuerungen gehört die Einstellung ComplianceDeadline für Windows Update. Eine solche existierte bereits bisher, aber sie erlaubte einen Reboot nur außerhalb der Nutzungszeit und galt für alle Updates.

Nun können Admins damit jeweils einen Zeitraum für Qualitäts- und Features-Updates getrennt festlegen, innerhalb dessen sie installiert werden müssen.

De facto erzwingt man damit einen Neustart des Rechners in einer Frist von maximal 30 Tagen, und zwar unabhängig von der Nutzungszeit und ohne Möglichkeit des Users, diesen weiter aufzu­schieben.

Diese Einstellung löst das Problem, dass wichtige Updates über eine längere Zeit verschleppt werden, wenn Benutzer ihren PC außerhalb der Arbeitszeiten nicht herunterfahren und sich auch nicht abmelden. Es existiert vor allem dann, wenn Windows Update so konfiguriert wurde, dass ein Neustart nicht möglich ist, solange ein User eingeloggt ist.

Die Einstellung ist nicht zu verwechseln mit jenen für Windows Update for Business (WUfB), die das Installieren von Updates und Upgrades für einen bestimmten Zeitraum zurückstellen können.

Für WUfB bringt Windows 10 1903 ebenfalls zwei neue Einstellungen, mit denen sich das Cache-Verhalten steuern lässt.

Speicheroptimierung

Die Speicher­optimierung ("Storage Sense") ist ein Feature von Windows, das nicht benötigte Dateien automatisch entfernt und so den verfügbaren Platz auf den Daten­trägern vergrößert. In der Version 1903 kann der Admin diese Funktion erstmals zentral steuern.

Dazu gehört, dass sich das Feature per GPO ein- und ausschalten lässt. Darüber hinaus kann man Schwellenwerte für die Bereinigung des Download-Ordners, des Papierkorbs und für Dateien in der Cloud festlegen. Außerdem lässt sich bestimmen, ob temporäre Dateien gelöscht werden sollen.

Konfiguration der Windows-Anmeldung

Zu den zahlreichen Einstellungen, die den Anmelde­vorgang beeinflussen, gesellen sich in Windows 10 1903 drei neue. Zum einen kann man damit die automatische Anmeldung und Sperrung des letzten interaktiven Benutzers nach einem Neustart konfigurieren.

Zum anderen kann eine zusätzliche Einstellung den Weichzeichner für das Hinter­grundbild abschalten. Und schließlich erlaubt die dritte Option dem Admin, die Verwendung von Sicherheits­fragen für lokale Konten zu unterbinden.

Weitere Einstellungen

Neue GPO-Richtlinien betreffen zudem die Sprachsteuerung von Apps, die Sammlung von system­bezogenen Daten (wobei unklar ist, welche Rolle die "kommerzielle Windows-Datenpipeline" in diesem Zusammen­hang spielt) und den Zugriff der User auf die empfohlene Problembehandlung.

Hinzu kommt eine Einstellung für svchost.exe, die erfordert, dass die von ihr ausgeführten Prozesse nur Binärdateien laden können, die durch Microsoft signiert wurden. Sie kann zudem dynamisch generierten Code blockieren.

Schließlich lässt sich noch der WDDM-Grafiktreiber für Remote-Desktop-Verbindungen über eine neue Richtlinie aktivieren.