Verknüpfte Microsoft-Konten in Windows 8 mit GPOs verwalten

Damit Anwender, die ein lokales Konto verwenden oder Mitglied einer Domäne sind, nicht auf die Cloud-Dienste von Windows 8 verzichten müssen, lassen sich solche Accounts mit einer Live-ID verknüpfen. Die Anmeldung erfolgt dann weiterhin an der Domäne, aber der User kann trotzdem den Windows Store nutzen und Daten zwischen PCs synchronisieren. Unter Windows 8.1 scheint zudem SkyDrive direkt im Explorer als weiterer Speicherort auf.

Viele Unternehmen werden es aber nicht gerne sehen, dass ihre Windows-PCs ständig in Verbindung mit der Microsoft-Cloud stehen. Auf Einzelplatz-PCs kann man in diesem Fall die Verknüpfung zwischen lokalen Konten und der Live-ID über die App PC-Einstellungen lösen. Sie findet sich in der rechten Charms-Leiste unter Einstellungen, das Management der Konten erfolgt in der App unter dem Menüpunkt Benutzer.

Wenn man ein lokales bzw. ein Domänenkonto mit einem Microsoft-Konto verknüpft, dann kann man bei dieser Gelegenheit die Synchroni­sierungs­ein­stellungen konfigurieren. Nachträglich verändert man sie in der App für PC-Einstellungen unter Einstellungen synchronisieren.

Microsoft-Konten über GPOs blockieren

Für zentral verwaltete Umgebung stehen mehrere neue Richtlinien zur Verfügung, um verknüpfte Konten zu steuern oder die Synchronisierung zu unterbinden. Wer generell die Nutzung von Microsoft-Konten unterbinden möchte, kann dies über die Einstellung unter Computerkonfiguration => Richtlinien => Windows-Einstellungen => Sicherheitseinstellungen => Lokale Richtlinien => Sicherheitsoptionen tun. Dort findet sich der Eintrag Konten: Microsoft-Konten blockieren.

Die Einstellung kennt zwei Werte: Benutzer können keine Microsoft-Konten hinzufügen sowie Benutzer können keine Microsoft-Konten hinzufügen oder sich damit anmelden. In beiden Fällen wird verhindert, dass User ihr Domänenkonto mit einer Live-ID verknüpfen. Die zweite Option bewirkt darüber hinaus, dass man sich über bereits eingebundene Microsoft-Konten nicht mehr am System anmelden kann.

Konfiguration der Synchronisierung

Möchte man Microsoft-Konten nicht komplett deaktivieren und nur einzelne Cloud-Features kontrollieren, dann stehen dafür separate Einstellungen zur Verfügung. Sie finden sich unter Computerkonfiguration => Richtlinien => Administrative Vorlagen => Windows-Komponenten => Einstellungen synchronisieren.

Die Liste entspricht weitgehend jener, die in der App PC-Einstellungen unter Einstellungen synchronisieren angezeigt werden. Wie von Desktop-Anwendungen gewohnt, führt das Deaktivieren von einzelnen Sync-Optionen auch in der App für PC-Einstellungen dazu, dass sich die entsprechenden Schalter nicht mehr bedienen lassen.

Synchronisierung abschalten

In den Gruppenrichtlinien findet sich keine Entsprechung zur App bei der Synchronisierung von Spracheinstellungen und Erleichterte Bedienung. Dafür gibt es einen Eintrag, mit dem sich die Synchronisierung komplett deaktivieren lässt. Bei der interaktiven Konfiguration über die App müsste man dafür alle Schalter einzeln auf Aus stellen.

Leider ist die Beschreibung der einzelnen Sync-Optionen im GPO-Editor alles andere als aufschlussreich, so dass man nicht im Detail erfährt, welche Einstellungen oder Passwörter in die Cloud übertragen werden. Besser ist hier die Erläuterung der Funktionen in der App, wobei dort die knappen Beschreibungen identisch sind mit jenen in dieser TechNet-Übersicht über die Synchronisierungs­funktion.

Einstellungen aus der Cloud entfernen

Wenn eine restriktivere Politik erst nachträglich beschlossen wird und die Benutzer bereits Daten in die Cloud synchronisiert haben, dann können sie diese nach dem Blockieren von Microsoft-Konten manuell aus der Cloud löschen. Microsoft hat eigens zu diesem Zweck diese Website eingerichtet.