ADMX für Windows 11 oder Windows 10 in den zentralen Store?

Administriert man die Windows-10-PCs mit den ADMX von Windows 11, dann fallen diese Einstellungen durch den Rost.

Liste der abweichenden Einstellungen

Microsoft hat nun die Einstellungen, welche nur für eine der beiden OS-Versionen existieren, in einem Blog-Beitrag aufgelistet. Die Übersicht entspricht weitgehend meinem Vergleich der administrativen Vorlagen mit Hilfe eines PowerShell-Scripts.

Der Autor geht zudem davon aus, dass es bei den separaten ADMX bleiben wird, bis der Support für Windows 10 abläuft. Da viele Unternehmen sukzessive auf Windows 11 umstellen, besteht dort über einen längeren Zeitraum eine gemischte Umgebung aus beiden OS-Versionen. Und in diesem Fall stellt sich die Frage, wie man die Gruppen­richtlinien verwalten möchte.

Eigene Admin-Workstation für ADMX

Eine Möglichkeit besteht darin, die ADMX für die vorherrschende OS-Version im zentralen Store abzulegen und eigene PCs für das GPO-Management mit den anderen Vorlagen bereit­zustellen.

Entscheidet man sich zum Beispiel für die ADMX von Windows 11 im zentralen Speicher, dann richtet man ergänzend dazu eine Admin-Workstation mit Windows 10 ein und fügt dort folgenden Registry-Schlüssel hinzu:

Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Group Policy] "EnableLocalStoreOverride"=dword:00000001

Diese Maßnahme bewirkt, dass der GPO-Editor die lokalen Vorlagen lädt.

Einstellungen für Windows 10 21H2 evaluieren

Eine Alternative bestünde darin, die Einstellungen zu prüfen, die nur für Windows 10, aber nicht für Windows 11 existieren. Benötigt man diese nicht, dann kann man sich auf die ADMX für Windows 11 in der gesamten Umgebung beschränken. Die folgende Tabelle enthält die exklusiven Einstellungen für Windows 10 21H2.

Wie man schnell erkennt, kann man auf die meisten Einstellungen ohne weiteres verzichten. Viele Unternehmen nutzen den Internet Explorer nicht mehr als Standard-Browser und die Ausführung von Flash lässt sich auch mit anderen Mitteln verhindern.

Die Warnung vor dem ursprünglichen und mittlerweile veralteten Edge ist in verwalteten Umgebung von begrenztem Nutzen, da die User den Browser in der Regel nicht selbst aktualisieren können.

Die Einstellung für die Übermittlungs­optimierung erlaubt eine Umstellung auf das BITS-Protokoll und dürfte in der Praxis kaum eine Bedeutung haben. Ebenso wenig dringlich sollte die erweiterte Datenerfassung durch Microsoft sein.

Wichtiger ist die Option, Point and Print auf Administratoren zu beschränken, um die Schwachstellen im Print-Spooler ("PrintNightmare") abzusichern. Die entsprechende Einstellung erhält man jedoch für Windows 11 über SecGuide.admx aus der Security Baseline.

Letztlich bleiben die Einstellungen für das Scannen von gezippten Programm­dateien und die RDS-Lizenzierung. Braucht man sie ebenfalls nicht, gibt keinen Grund, bei den administrativen Vorlagen zweigleisig zu fahren.

Fazit

Microsoft macht es Admins mit den inkompatiblen ADMX von Windows 10 und 11 unnötig schwer. Es spräche nichts dagegen, alle Einstellungen in den administrativen Vorlagen von Windows 11 zu konsolidieren und damit auch alle älteren Versionen des Betriebs­systems abzudecken.

Ein Nebeneinander der ADMX für Windows 10 und 11 lässt sich in gemischten Umgebungen nicht vermeiden, wenn man eine der exklusiven Einstellungen von Windows 10 benötigt. Dies sollte in den meisten Firmen aber nicht der Fall sein, so dass man sich dort auf die Templates für Windows 11 beschränken kann.