Deep Freeze Removendo Diretiva de Grupo?

Question

Estou com problemas para aplicar políticas de grupo em computadores com o Deep Freeze instalado neles. Eles são associados ao domínio e recebem atualizações do nosso servidor WSUS antes de serem congelados. Quando os congelamos, eles parecem perder suas configurações de política de grupo. Eu tentei descongelar, gpupdate / force e, em seguida, recongelar, mas eles perdem a política de grupo assim que são trazidos de volta. O que poderia estar causando isso? Tudo estava funcionando bem até que uma atualização ruim do Windows apareceu. Nós bloqueamos a atualização em nosso servidor WSUS e descongelamos, removemos a atualização e congelamos todos os computadores. No dia seguinte, vim trabalhar para descobrir que todos os computadores haviam entrado em contato com a Internet e voltaram a fazer a atualização incorreta.

    

Answer 1

Eu não sei a resposta sobre o Deep Freeze, mas esse é o tipo de problema que esse tipo de software gera. O software congela a máquina em um ponto do tempo e tudo o que você faz é perdido quando a máquina é reiniciada. Isso é ruim porque as máquinas param para fazer mudanças de coisas importantes, como atualizações. Esse tipo de software permite que você faça execptions para não ter esses problemas, mas em muitos casos ainda falha.

Algum tempo atrás, a Microsoft tinha um software como este, chamado Steady State para Windows Xp, mas para o Windows 7 foi descontinuado.

Por quê? Porque esse tipo de software não é necessário. Com o Windows nativamente, você pode ter perfis obrigatórios, um tipo de perfil de usuário que perdeu todas as alterações quando o usuário encerra sua sessão.

Portanto, a minha recomendação aqui é não usar Deep Freeze, o Windows nativamente pode fazer para um comportamento semelhante, com muitas vantagens de graça. A Microsoft tem um guia para fazer isso usando o GPos e os perfis obrigatórios: Criando um estado estável usando as tecnologias da Microsoft

    

Answer 2

O que exatamente a configuração de diretiva de grupo (ou configurações) está perdendo? O Deep Freeze manterá as configurações na máquina como estavam (a menos que sejam atualizadas durante, digamos, uma janela de manutenção), mas ainda pode ser substituído em tempo de execução. Assim como com vírus. O Deep Freeze protege a máquina contra infecções quando você reinicia, desaparece; mas ainda pode ser infectado durante o tempo de execução.

Além disso, se houver alterações durante o tempo de execução, a política poderá ser substituída. Ou seja, configurações específicas do usuário de suas partes do registro (extraídas de um perfil) entrarão em vigor no login, assim como se eles tiverem malware em seu perfil, infectarão a máquina sempre que fizerem login e forem apagados quando reiniciados ( assumindo que o perfil não faz parte do estado de congelamento.)

A atualização incorreta não deve importar se a máquina estiver congelada. Reiniciar irá eliminá-lo, a menos que eles estejam fazendo isso durante um descongelamento da manutenção. Uma solução para isso é alterar seus registros DNS para que você não possa acessar o servidor Windows Update, exceto o servidor WSUS (não uma ótima solução) ou bloquear o acesso em um proxy ou firewall, exceto para o servidor.

    

Answer 3

O administrador do Deep Freeze (DFAdmin.exe) tem a capacidade de configurar as atualizações do Windows e sobrepor as configurações do GPO. Para corrigir isso:

1. Implante um arquivo RDX que informe ao deepfreeze para não configurar atualizações do Windows (o GPO será aplicado).
2. Implante um arquivo RDX que informe ao deepfreeze para usar o servidor WSUS.

Ambos são feitos através do "Windows Update" no console do Deep Freeze Administrator.