Workshop Meer Windows-controle met Groepsbeleid

Dennis Gandasoebrata

Groepsbeleid is een krachtig onderdeel waarmee je Windows naar je hand zet

In Windows is het onderdeel Groepsbeleid oorspronkelijk ontwikkeld voor gebruik in zakelijke omgevingen. Het is bedoeld voor systeembeheerders die meer controle willen hebben over de manier waarop Windows wordt gebruikt door groepen van gebruikers (de verklaring voor de naam). Interessant is echter dat het onderdeel ook voor de veeleisende thuisgebruiker verschillende pareltjes in huis heeft. Maak je gebruik van Windows 10 Professional, dan heb je Groepsbeleid in huis. Heb je de Home-editie van Windows 10, dan kan het een overweging zijn om een upgrade naar de Professional-editie uit te voeren; lees de volgende alinea ‘Bij Home’ voor de mogelijkheden.

Bij Home
Groepsbeleid maakt geen deel uit van Windows 10 Home. Op internet circuleren verschillende stappenplannen waarmee je het onderdeel alsnog toevoegt aan de Home-versie. Het gaat hier echter om onofficiële stappen, waarvoor vaak een externe download is vereist en waarvan het sterk de vraag is of dit rechtmatig is. Een upgrade naar de Pro-versie van Windows 10 ligt eerder voor de hand. Online vind je vaak interessante, legitieme upgrade-aanbiedingen, waarmee je relatief eenvoudig de Pro-versie in gebruik kunt nemen. Ben je niet bereid om over te stappen, dan kun je voor veel instellingen uit Groepsbeleid hetzelfde resultaat bereiken door direct het Windows-register aan te passen. Online vind je hiervoor vaak de nodige instructies en in PC-Active besteden we regelmatig aandacht aan het direct bewerken van het register. Eerlijk is eerlijk: het aanpassen via Groepsbeleid is een stuk eenvoudiger.

Aan de slag
Open het Startmenu en typ: Groepsbeleid. Kies nu voor Groepsbeleid bewerken om het onderdeel te starten. In plaats hiervan kun je ook het venster Uitvoeren openen (tip: gebruik de toetsencombinatie Windows-toets + R) en typ de opdracht: Gpedit.msc. Het programma heet overigens voluit: Editor voor lokaal groepsbeleid. Het venster bestaat uit twee onderdelen. Links vind je een overzicht van de hoofdcategorieën, vergelijkbaar met een mappenstructuur zoals je kent uit de Verkenner. Er zijn twee hoofdcategorieën: Computerconfiguratie en Gebruikersconfiguratie. De eerste categorie heeft voornamelijk betrekking op instellingen die voor de machine in het algemeen gelden, terwijl de tweede categorie zich richt op gebruikersspecifieke instellingen en beperkingen. Eenmaal uitgeklapt, vind je de onderliggende categorieën: Software-instellingen, Windows-instellingen en Beheersjablonen. We komen hierop verderop terug. Rechts vind je de bijbehorende instellingen. Klik op een instelling om in het vak Beschrijving een uitleg te lezen. Heb je hieraan geen behoefte, kies dan voor het tabblad Standaard (in plaats van Uitgebreid). Nu beperkt het venster zich tot een compacte weergave van de instellingen zelf.

Maak een herstelpunt voordat je met Groepsbeleid aan de slag gaat

Aanpassen
Om een instelling aan te passen, dubbelklik je erop. Links in het venster vind je de opties Niet geconfigureerd, Ingeschakeld en Uitgeschakeld. Bij de eerstgenoemde optie is de standaardinstelling van Windows van kracht: de optie kan actief zijn, maar dit hoeft niet. Kies voor Ingeschakeld of Uitgeschakeld om de instelling expliciet te veranderen. 

Het detailvenster laat je opties in- en uitschakelen en geeft een uitgebreide beschrijving

 Filteren
Groepsbeleid kent een groot aantal instellingen. Met behulp van het filter kies je ervoor om specifieke instellingen te tonen, zodat je eenvoudiger de gewenste optie vindt. Kies Actie en daarna Filteropties. Geef aan welk type instellingen je wilt tonen. Wil je bijvoorbeeld de aangepaste opties zijn, kies dan voor Ja bij Geconfigureerd. Ben je op zoek naar specifieke opties op basis van een term, dan kies je voor Filters voor trefwoorden inschakelen en geef je in het vak eronder de gewenste trefwoorden op. Tot slot kun je ook filteren op onderdeel, bijvoorbeeld als je instellingen wilt zien die specifiek zijn voor Windows 10. Kies dan voor Filters voor vereisten inschakelen en selecteer het gewenste platform. Zo word je niet lastiggevallen door opties die van toepassing zijn op andere Windows-versies.

Voorkom dat je wordt overweldigd en maak gebruik van filters

Geen opdrachtprompt
Tijd om aan de slag te gaan met Groepsbeleid en interessante opties onder de loep te nemen en desgewenst te veranderen. Denk bijvoorbeeld aan onderdelen die je wilt afschermen voor andere gebruikers van de computer. Wil je niet dat de opdrachtprompt wordt aangeroepen, dan kun je deze uitschakelen via Groepsbeleid. Kies Gebruikersconfiguratie, vervolgens Beheersjablonen en daarna Systeem. Dubbelklik op Toegang tot de opdrachtprompt voorkomen en kies Ingeschakeld.

Voorkom dat de opdrachtprompt wordt gebruikt

Niets meer installeren
Veel tijd gestoken in het optimaal inrichten van de computer en wil je voorkomen dat er door anderen nieuwe software wordt geïnstalleerd via Windows Installer? Je kunt het gebruik hiervan aan banden leggen. Open Computerconfiguratie, kies Beheersjablonen, daarna Windows-onderdelen en vervolgens Windows Installer en activeer de volgende optie: Windows Installer uitschakelen. Merk hierbij op dat het alleen gaat om Windows Installer-programma’s. Apps via de Microsoft Store kunnen nog steeds worden geïnstalleerd. In dit onderdeel vind je nog meer interessante opties. Zo kun je afdwingen dat installaties altijd met de rechten van Administrator worden uitgevoerd (Altijd installeren met verhoogde bevoegdheden) en kun je verbieden dat er systeemherstelpunten worden gemaakt op verzoek van een installatieprogramma (Het maken van systeemherstelcontrolepunten uitschakelen).

Voorkom dat er ongevraagd nieuwe programma’s worden geïnstalleerd

Weg met OneDrive
Maak je geen gebruik van cloudopslag of gebruik je een concurrent van OneDrive, zoals Dropbox? Je kunt het gebruik van OneDrive – dat door Microsoft flink wordt gestimuleerd in Windows 10 – aan banden leggen via Groepsbeleid. Schakel deze optie in: Voorkomen dat OneDrive wordt gebruikt voor bestandsopslag. Je vindt deze optie via Computerconfiguratie, dan Beheersjablonen, daarna Windows-onderdelen en ten slotte OneDrive.

Omgeving op slot zetten
Het uiterlijk van Windows kun je flink aanpassen. Is de computer bedoeld voor openbaar gebruik (of bijvoorbeeld in een klas), dan kan het handig zijn om het aanpassen van het uiterlijk te verbieden en zo te voorkomen dat de inrichting van Windows door anderen wordt veranderd. De instellingen hiervoor vind je onder Gebruikersconfiguratie, vervolgens Beheersjablonen, dan Configuratiescherm en Persoonlijke instellingen. Groepsbeleid biedt onder meer de mogelijkheid om het wijzigen van het kleurenschema en thema te verbieden, het aanpassen van de bureaubladachtergrond te blokkeren en een specifieke schermbeveiliging (bijvoorbeeld met een logo) vast te zetten. Het aantal instellingen op dit gebied is flink: neem ze één voor één door en bekijk de beschrijvingen.

Klassiek Configuratiescherm
Hoewel steeds meer instellingen van het klassieke Configuratiescherm verhuizen naar het kenmerkende instellingenvenster van Windows 10, blijft een deel nog steeds ‘achter’ in het Configuratiescherm. Via Groepsbeleid kun je dit onderdeel ontoegankelijk maken. Je vindt de optie  Toegang tot het Configuratiescherm en de PC-instellingen verbieden via Gebruikersconfiguratie, dan Beheersjablonen en Configuratiescherm.

Je kunt de toegang tot het Configuratiescherm uitschakelen

Niet meer opnieuw opstarten
Soms wordt de computer opnieuw opgestart, bijvoorbeeld nadat een update is uitgevoerd. Dat kan uiterst ongelegen komen, bijvoorbeeld wanneer je aan het werk bent in een niet-opgeslagen document en de werkplek even verlaat. Open Computerconfiguratie, dan Beheersjablonen, daarna Windows-onderdelen en Windows Update. Activeer de optie Niet automatisch opnieuw opstarten als gebruikers zijn aangemeld na geplande installaties van Automatische updates. Het is bovendien de moeite waard om de overige instellingen in deze sectie ook aandachtig door te nemen. Zo vind je hier de mogelijkheid om het uitstellen van updates te verbieden, de toegang tot Windows Update te blokkeren en te bepalen dat er nooit drivers mogen worden bijgewerkt via Windows Update.

Niet meer online zoeken
In recente edities van Windows 10 is het zoekmechanisme uitgebreid met de functie om ook online bronnen door te spitten als je op zoek bent naar een specifiek bestand. Denk hierbij aan de online mappen en bestanden van OneDrive, maar ook aan eventuele gegevens die op een SharePoint-locatie zijn opgeslagen. Mogelijk wil je dat er alleen lokaal wordt gezocht: verbied het zoeksysteem dan om online te speuren. Open Computerconfiguratie, kies Beheersjablonen dan Windows-onderdelen en Zoeken. Dubbelklik op Zoeken in de cloud toestaan en kies voor Uitgeschakeld. Je vindt hier ook aanvullende restricties voor het zoekmechanisme. Zo kun je verbieden dat e-mailbijlagen worden geïndexeerd (Indexeren van e-mailbijlagen voorkomen) en het indexeren tijdelijk stoppen als de harde schijf volloopt (Indexeren afbreken bij een beperkt harde-schijfruimte).

Update over Windows 10
We houden de ontwikkelingen rondom Windows 10 nauwlettend in de gaten. Zodra er nieuwe functies worden aangekondigd, stellen wij je hiervan als eerste op de hoogte. Voor Windows 10 komt tweemaal per jaar een update uit. Om de nieuwe functies te testen, brengt Microsoft de ontwikkelversies van Windows uit via verschillende kanalen, voorheen onder meer bekend als ‘Fast Ring’ en ‘Slow Ring’. Die structuur is onlangs echter op de schop gegaan. In het Dev-kanaal worden nieuwe functies getest voor ‘toekomstige versies’ van Windows 10. Dit betekent dus dat ze niet per se in de eerstvolgende editie verschijnen. Het kanaal is vooral geschikt voor wie de allernieuwste features wil zien en niet bang is voor een computer die af en toe vastloopt of rare kuren vertoont. In het Bèta-kanaal wordt de eerstvolgende versie van Windows 10 getest, bijvoorbeeld Windows 10 20H2. De codenaam geeft aan dat de versie in de tweede helft van 2020 wordt geïntroduceerd en geeft ook de nieuwe naamgeving aan. Voor consumenten blijft Microsoft overigens nog ‘vriendelijke’ namen hanteren, zoals de Windows 10 Mei 2020 Update. Tot slot is er het Release Preview-kanaal, waarin je versies van Windows 10 probeert die op het punt staan te worden uitgebracht en daardoor relatief stabiel en volwassen zijn. Via https://insider.windows.com meld je je aan.