Política de Grupo do Windows - Posso alterar com o VBscript?

Question

Em primeiro lugar, não sou especialista em scripts do Windows ou da Diretiva de Grupo, mas uma das minhas tarefas é configurar as máquinas do XP que estão destinadas a NÃO serem da rede. Consequentemente, usei o VBScript para alterar as configurações do Registro, mas agora tenho algumas configurações na Diretiva de Grupo que eu configuro atualmente manualmente, mas quero roteirizá-las ou automatizá-las de alguma forma.

Alguém poderia me dizer se eu posso fazer alterações na Diretiva de Grupo usando VBscript ou preciso usar outra coisa?

Eu encontrei esta página que descreve algumas possibilidades, mas não há muitos detalhes e ainda não consigo encontrar artigos de acompanhamento.

** Informações adicionais **

Usando o gpedit.msc No momento, defino manualmente as seguintes configurações na GUI:

1. Configuração do computador > Modelos Administrativos > Sistema > Logon > Sempre espere pela rede na inicialização e logon do computador
2. Configuração do computador > Modelos Administrativos > Sistema > Desativar a reprodução automática
3. Configuração do computador > Configurações do Windows > Configurações de segurança > Atribuição de direitos do usuário > Acesse este computador pela rede
4. Configuração do computador > Configurações do Windows > Configurações de segurança > Atribuição de direitos do usuário > Negar acesso a este computador da rede
5. Configuração do computador > Configurações do Windows > Configurações de segurança > Atribuição de direitos do usuário > Negar logon localmente
6. Configuração do computador > Configurações do Windows > Configurações de segurança > Atribuição de direitos do usuário > Fazer logon localmente
7. Configuração do computador > Configurações do Windows > Configurações de segurança > Opções de segurança > Acesso à rede: compartilhamentos que podem ser acessados pela rede

Eu quero poder fazer o script dessas alterações usando o VBScript ou algum outro meio (talvez .NET?)

Descobri que, para algumas das configurações acima, posso alterá-las diretamente no registro, mas as alterações não são vistas no editor de Diretiva de Grupo (gpedit.msc)

    

Answer 1

É possível sim.

Não é realmente aconselhável, porque a maneira recomendada e suportada de fazer isso é por meio da ferramenta gpedit.msc (ou GPOs em um domínio). Como resultado, fazer isso com um script é semi-documentado na melhor das hipóteses, e você se depara com algumas esquisitices tentando.

Se você ainda está determinado a tentar, essas configurações são realmente apenas chaves de registro. Se puder descobrir quais chaves são alteradas, é trivial fazer o script de algo para importar todas as chaves de registro e terminar com a configuração desejada. Eu acabei de usar um arquivo de lote, honestamente.

O problema que você encontrará, no entanto, é que essas mudanças precisam ser salvas em %SYSTEM ROOT%\System32\GroupPolicy\User\Registry.pol para serem aplicadas como política de grupo local, e eu não conheço uma solução de script boa para isso. solução alternativa é configurá-lo da maneira desejada em uma segunda máquina e copiar a pasta %SYSTEM ROOT%\System32\GroupPolicy\User e os arquivos para as máquinas de destino.

Pessoalmente acho que a coisa toda é tão dolorosa que prefiro configurar um domínio pequeno do que passar por esse processo para aplicar a aplicação automática da política de grupo local.

    

Answer 2

Existe uma ferramenta chamada Editor de registro do GPO que pode editar / atualize a política de grupo local por comando sem sobrescrever todas as políticas existentes (grande vantagem de simplesmente copiar e colar o arquivo Registry.pol). Para usar essa ferramenta primeiro, você pode obter o código-fonte . GRE é escrito em AutoItScript. Para criar um executável, você precisará compilá-lo. usando o editor AutoItScript .

Agora você deve ter um gre.exe que tenha as seguintes opções de linha de comando:

GPO Registry Editor provides read/write capabilities for registry policy files.

Usage:
-a  --add    Add the entry specified by the key, value, type, and data parameters.
-r  --remove Remove the entry specified by the key and value parameters.
-d  --data   Specifies the data of the registry entry.
-f  --file   Specifies the registry file to load or modify.
             Use 'computer' or 'user' to specify the system policy files.
-k  --key    Specifies the key of the registry entry.
-s  --silent Perform the operation silently (no GUI).
-t  --type   Specifies the type of the registry entry.     
-v  --value  Specifies the value of the registry entry.
-h  --help   Display this message.     
-?  --?      Display this message.

Para descobrir quais chaves resp. valores são necessários para definir você pode executar gpedit.msc e definir as configurações que você deseja definir. Como o gpedit.msc aplica as políticas diretamente, você pode abrir o regedit.exe e ir para HKLM \ SOFTWARE \ Policies resp. HKCU \ SOFTWARE \ Policies para verificar qual chave foi definida.

[EDITAR] Eu encontrei uma ferramenta chamada Registry.pol Viewer Utility que pode ler um arquivo de diretiva de registro (Registry.pol) que está localizado em% SYSTEMROOT% \ System32 \ GroupPolicy \ Machine resp. % SYSTEMROOT% \ System32 \ GroupPolicy \ User. Ele mostra quais chaves e valores com seus dados foram aplicados à política de grupo. Tal pode então ser facilmente usado com gre. [/ EDIT]

Por exemplo, para política Configuração do computador > Modelos Administrativos > Sistema > Logon > Sempre aguarde a rede na inicialização do computador e logon seguinte comando gre pode ser usado:

gre --add -s -f=computer -k="Software\Policies\Microsoft\Windows NT\CurrentVersion\Winlogon" -v="SyncForegroundPolicy" -t REG_DWORD -d="1"

Vários comandos gre podem ser adicionados a um script em lote e adicionados o seguinte comando para aplicar a política de grupo atualizada:

gpupdate /force

Esse script pode ser iniciado facilmente em um computador de destino para aplicar as políticas necessárias. Ou também pode ser usado pela ferramenta de implantação escolhida, como WPKG .