Como remover as configurações extras do registro da diretiva de domínio padrão?

Question

Por algum motivo, o Firewall do Windows foi desativado em um domínio do AD do meu cliente. O relatório do RSoP mostra que a configuração é originada das Configurações extras do registro na Política de domínio padrão .

Se isso estivesse em qualquer outro GPO, eu poderia tê-lo removido, mas é a Política de Domínio Padrão . No controlador de domínio, não há nenhum modelo ADM / ADMX configurado que controle essas chaves do Registro, portanto, não posso editá-las usando o Editor de gerenciamento de diretiva de grupo. (Provavelmente algum administrador em algum momento tinha um em um computador externo com as Ferramentas de Administração de Servidor Remoto instaladas.)

Qual seria a maneira correta de excluir essas configurações? Devo encontrar e instalar o modelo ADM (X) correto ou há algum atalho? (Todas as configurações que realmente preciso podem ser encontradas em Network\Network Connections\Windows Firewall\ , mas isso mantém o Firewall do Windows desativado para público e redes domésticas.)

    

Answer 1

Para esse problema relacionado às configurações do Firewall do Windows ...

Descobrimos que as configurações feitas em Configurações do Windows estavam mexendo com os modelos ADM (X).

Computer Configuration
  |+ Policies 
     |+ Windows Settings 
        |+ Security Settings
           |+ Windows Firewall with Advanced Security - LDAP://...

Aqui, configurar Propriedades do Firewall do Windows para Privado e Perfil Público para Não configurado removeu tudo, exceto Software\Policies\Microsoft\WindowsFirewall\PolicyVersion das Configurações extras do registro . (Agora, é claro, é possível configurá-los como queridos daqui também.)

Issoébom,poisverifiqueiowindowsfirewall.admxemtodososModelosAdministrativosatravésdoWindowsVista,Windows7eWindows10;nãohaviaconfiguraçõesparaoperfilPrivadoePúblico:apenasparaoPerfildoDomínioePerfilPadrão.Seeunãoencontrasseessasolução,serianecessáriousarosmétodosexplicadosabaixo.

Removerconfiguraçõesextrasderegistrodadiretivadedomíniopadrãoemgeral

AmaneiramaisfácilderesolverissoseriaremoveroGPOenvolvidoerecriá-loapenascomasconfiguraçõesnecessárias.ParaPolíticadedomíniopadrão,énecessárioseguiralgumasetapasextras:

1. Imprimir/SalvarrelatóriodetodasasconfiguraçõesdoGPOPolíticadedomíniopadrão.

2. RecrieoObjetodeDiretivadeGrupopadrãousando Dcgpofix (por apenas o domínio, não para DC):

   DCGPOFix /ignoreschema /target:Domain
   

3. Edite sua política manualmente para conter todas as configurações do relatório.

Outra forma é criar manualmente um novo Modelo Administrativo contendo configurações para essas chaves do Registro; .admx arquivos são XML e fáceis de editar com um editor de texto.

Neste caso, para o Firewall do Windows, seria possível editar o windowsfirewall.admx :

1. Crie duas novas categorias. (Codifiquei permanentemente o displayName s para evitar modificar .adml s.)

   

2. Copietodos(ouapenasosobrigatórios)filhospolicyobjetosdeWF_Profile_Standard.

3. Substituaoconteúdoconformenecessário:StandardcomPublic/Private:

   • <parentCategoryref="WF_Profile_Public" />
   • key="SOFTWARE\Policies\Microsoft\WindowsFirewall\PublicProfile\...
   • Não é necessário substituir displayName s, explainText s ou presentation s, pois eles já são os mesmos para as duas categorias existentes.

Eu recomendaria o uso desse novo modelo apenas temporariamente & de um computador cliente com as Ferramentas de Administração de Servidor Remoto instaladas, em vez de usá-lo diretamente em um DC. Dessa forma, isso não causaria os mesmos problemas que você está tentando resolver com isso!

    

Answer 2

What would be the correct way to delete these settings?

Instale ou use apenas o (s) modelo (s) ADM (X) correto (s) lá ou em outra máquina neste Domínio. Como indica a captura de tela, trata-se do Windows (Server) 2008, que não pode editar as configurações do registro, como as preferências de diretiva de grupo.