Archiv der Kategorie: Gruppenrichtlinien

Gruppenrichtlinien

Administrative Templates für Windows 8.1 Update 1

Veröffentlicht am von
Antworten

Am 03. Juli 2014 hat Microsoft die Administrative Templates für Windows 8.1 Update 1 und Windows Server 2012 R2 Update 1 veröffentlicht. In Teil 10 habe ich beschrieben, wie die Vorlagedateien vom zentralen Speicher geladen werden können.

Administrative Templates für Windows 8.1 Update 1 – Schritte:

  1. Als Administrator an SERVER02 anmelden
  2. Administrative Templates (.admx) for Windows 8.1 Update and Windows Server 2012 R2 Update von http://www.microsoft.com/de-DE/download/details.aspx?id=43413 nach D:\Sourcen herunterladen
    W81U1_ADMX-001
  3. Windows8.1-Update-Server2012R2-Update-ADMX.msi doppelklicken
  4. Den Anweisungen des Setup-Assistenten folgen
    W81U1_ADMX-002
  5. Windows Explorer starten und nach C:\Program Files (x86)\Microsoft Group Policy\Windows 8.1-Update -Windows Server 2012 R2-Update\PolicyDefinitions wechseln
  6. Alle admx-Dateien und den gewünschten Sprachordner, mindestens aber en-us kopieren
  7. ACHTUNG: Bei meinem Test war die Bezeichnung des Ordners de-DE nicht korrekt! Von da-DE nach de-DE umbenennen!
    W81U1_ADMX-003
  8. Im Windows Explorer nach \\haimann.local\SYSVOL\haimann.local\Policies\PolicyDefinitions wechseln oder anlegen, falls noch nicht vorhanden
  9. Dateien und Sprachordner einfügen
    W81U1_ADMX-004
  10. Server Manager > Local Server > Tool > Group Policy Management
  11. Ein bestehendes Gruppenrichtlinienobjekt öffnen
    W81U1_ADMX-005

Teil 21a: BitLocker To Go mittels Virtual Smart Card aktivieren

Veröffentlicht am von
2

BitLocker To Go mittels Virtual Smart Card aktivieren – Schritte:

  • Gruppenrichtlinien für BitLocker auf Wechseldatenträgern konfigurieren
  • Zertifikatsvorlage für virtuelle Smart Card für BitLocker konfigurieren
  • Auf CLIENT004 Zertifikat für die virtuelle Smart Card anfordern
  • USB-Wechseldatenträger mit BitLocker To Go verschlüsseln

 Gruppenrichtlinien für BitLocker auf Wechseldatenträgern (BitLocker To Go) konfigurieren

Mit den folgenden Einstellungen kann ein Kennwort und/oder eine Smart Card für die Entsperrung eines USB-Laufwerks verwendet werden. Dass es zum Thema passt, werde ich auf meine virtuelle Smart Card auf CLIENT004 (Teil 21) ein weiteres Zertifikat für die BitLocker-Laufwerksverschlüsselung installieren und diese zum Entsperren verwenden. In der Praxis macht das wenig Sinn, weil der USB-Stick nur noch auf genau diesem Rechner entsperrt werden kann (VSC am TPM).

Um Kompatibilität zu erreichen, können die Benutzer firmeneigene und fremde USB-Laufwerke lesen, aber nur auf die eigenen schreiben und auch nur dann, wenn diese mit BitLocker verschlüsselt sind (Provide the unique identifiers for your organization, Teil 6h und Teil 20). Da kann man mit den Einstellungen etwas experimentieren.

Als Grundlage für die Einstellungen verwende ich Best Practices for BitLocker in Windows 7.

  1. Als Administrator an SERVER01 anmelden
  2. Server Manager > Local Server > Tools > Group Policy Management
  3. haimann.local\Group Policy Objects erweitern
  4. Computer Standard Settings rechts anklicken und im Kontextmenü Edit… anklicken
    VIRTUAL_SMARTCARD-060 Weiterlesen →

Teil 20d: BitLocker Network Unlock konfigurieren

Veröffentlicht am von
1

Für BitLocker Network Unlock sind folgende Komponenten notwendig:

  • Windows Server 2012 oder Windows Server 2012 R2 (Teil 1, Teil 7)
  • Windows 8 x64 oder Windows 8.1 x64 (Teil 14ff)
  • UEFI Firmware 2.3.1 mit DHCP-Treiber im native Mode*
  • Einen Server mit Windows Deployment Services (Teil 13)
  • BitLocker Network Unlock Feature auf einem Server installiert (in diesem Teil weiter unten)
  • Einen DHCP Server, der nicht am WDS installiert ist (Teil 4)
  • Public Key Infrastructure (Teil 6ff)
  • Network Unlock Gruppenrichtlinie (in diesem Teil weiter unten; Teil 6h, Teil 20)

* UEFI Firmware 2.3.1 mit DHCP-Treiber: Es ist mir nicht gelungen, die Firmware-Version meines HP EliteBook 840 G1 (CLIENT004) festzustellen. Allerdings benötigt SecureBoot mindestens UEFI 2.3.1. Weil im BIOS Einstellungen zu SecureBoot vorhanden sind, nehme ich an, dass die Version passt. So habe ich mein HP EliteBook 840 G1 konfiguriert:

  1. Notebook starten > ESC drücken
  2. Mit F10 das BIOS Setup starten
  3. Erweitert > Bootoptionen
  4. Schnell-Boot deaktiviert (erlaubt nur PXE und den Start von der internen Festplatte)
  5. Natives UEFI (ohne CSM) aktiviert
  6. SecureBoot aktiviert
  7. Einstellungen mit F10 übernehmen

BitLocker Network Unlock konfigurieren – Schritte:

  • Die Zertifikatsvorlage für BitLocker Network Unlock konfigurieren
  • Das Feature BitLocker Network Unlock installieren
  • Zertifikat anfordern und exportieren
  • Zertifikat mit Private Key (.pfx) am WDS-Server importieren
  • Gruppenrichtlinien für Network Unlock konfigurieren
  • BitLocker Network Unlock mit CLIENT004 testen
  • Windows Deployment Services Debug-Log aktivieren

Die Zertifikatsvorlage für BitLocker Network Unlock konfigurieren

  1. Als Administrator an SERVER01 anmelden
  2. Server Manager > Local Server > Tools > Certification Authority
  3. Haimann Root CA erweitern
  4. Certificate Templates rechts anklicken und im Kontextmenü Manage anklicken
    NETWORK_UNLOCK-008
  5. Im Detailbereich die Zertifikatsvorlage User rechts anklicken und im Kontextmenü Duplicate Template anklicken
    NETWORK_UNLOCK-009 Weiterlesen →