IT-Struktur an Schulen paed M L ® 3.0 © Zentrale Planungsgruppe Netze am Kultusministerium Baden-Württemberg Richtlinien und Richtlinienpakete in der paedML Novell 3.0 Teil 2: Richtlinien für Benutzer Autoren: Michael Stütz Th. Geiger / F. Heckmann überarbeitet für paedML® 3.0: P. Rißler / R. Stegmaier Stand: März 2008

paed M L ® ML3 - Richtlinien für Benutzer Übersicht: Richtlinien – Fragestellungen Einstellungen in der Benutzerrichtlinie ● Der „Dynamisch lokale Benutzer“Dynamisch lokale Benutzer ● Desktop-Einstellungen für Benutzergruppen (mit den „windows desktop preferences“)  Beispiele und Übung 1: Desktopeinstellungen für Schüler Desktop-Einstellungen ● Benutzerabhängiges „Betriebssystem-Feintuning“ mit den „Windows-Gruppenrichtlinien“  Beispiele: Systemeinstellungen und Übung 2: „Anzeige“ aus der Systemsteuerung entfernen  Beispiele: Internet-Explorer-Einstellungen)Windows-Gruppenrichtlinien ● Anwendungssteuerung mit adm-Dateien (Windows-Gruppenrichtlinien)  Beispiel und Übung 3: MS Word 2003 konfigurierenadm-Dateien

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: „dynamic local user“ Teil 2.1: Der „dynamic local user“: Problematik: Unter den Windows-Versionen nt4, w2k und wxp ist im Gegensatz zu w9x eine lokale Anmeldung notwendig! Damit sich ein Benutzer nicht doppelt anmelden muss,(Netz und lokal) gibt es mehrere Möglichkeiten: ● Einrichten eines lokalen Standardbenutzers. ● Alle Benutzer lokal vorhalten. ● Dynamische Benutzer verwenden: Der dynamische lokale Benutzer wird zu Beginn der Sitzung temporär eingerichtet und nach Beendigung der Arbeit automatisch wieder gelöscht!

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: „dynamic local user“ Bearbeiten von „dynamic local user“: ● im entsprechenden Kontext das Benutzerpaket anwählen. ● Eigenschaften  Richtlinien  Windows XP auswählen. ● Dynamischer lokaler Benutzer  Eigenschaften dann die gewünschten Eigenschaften einstellen. Haken bei „temporärer Benutzer“ setzen. ● Lehrer und Verwalter sind lokale Administratoren ● Schüler sind auf der Station nur noch „Benutzer“! Vgl. ML2: Schüler sind dort Administratoren!

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: „Dynamischer lokaler Benutzer“ (wxp-1) Beispiel: Benutzerpaket_Schuler:

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: „ Dynamischer lokaler Benutzer“ (wxp-2)

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: „ Dynamischer lokaler Benutzer“ (wxp-3) Lehrer und Verwalter sind Mitglied von „Administratoren“.

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: Desktop Preferences - Problematik Teil 2.2: Die „desktop preferences“ Problematik: ● Für Schüler soll z. B. ein anderes Hintergrundbild verwendet werden, oder auch ein anderes Design o. ä.. ● Den Benutzern soll der Zugriff auf die Eigenschaften der Anzeige unterbunden werden! ● Ebenso soll der SchulAdmin-LFB ein eigenes Hintergrundbild erhalten. Fragen: ● Welche Richtlinie ist zu bearbeiten? ● Wo stehen die Dateien (Bildschirmhintergründe)? ● Wie schränkt man den Zugriff auf die Anzeige ein?

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: Desktop-Standardeinstellungen – Hintergrundbild Lösung für Hintergrundbild: ● Richtlinienpaket für Schüler bearbeiten. ● Dort werden nur die Desktop-Standardeinstellungen für Windows bearbeitet. ● Kontrolle über die effektiven Richtlinien.

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: Desktop-Standardeinstellungen – Beispiel (1) Einstellung der Desktop-Standardeinstellungen für Windows: Die Eigenschaften von „Benutzerpaket_Schueler“ bearbeiten. Haken bei „Desktop-Standardeinstellungen für Windows“ setzen und Eigenschaften bearbeiten. Desktop-Standard-Einstellungen anwählen. Doppelklick auf Anzeige. Gewünschtes Hintergrundbild auswählen und Änderungen übernehmen. Ggf. weitere Einstellungen vornehmen Evtl auch Farbänderungen für „Eingabeaufforderung“ (Konsole, DOS-Prompt) einstellen

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: Desktop-Standardeinstellungen – Beispiel (2)

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: Desktop-Standardeinstellungen – Beispiel (3) (2) (1)

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: Desktop-Standardeinstellungen – Beispiel (4) (2) (1) (3) Hier könnte man die Einstellungen für die Eingabeaufforderung verändern!

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: Desktop-Standardeinstellungen – Beispiel (5) Einige Hinweise: Die Dateien müssen in einem Verzeichnis liegen, auf das „Schueler“ Zugriff hat. Empfehlung: Kopieren Sie die benötigten Hintergründe nach data:\lfb\richtlinien\benutzer\schueler! Es funktioniert auch mit *.jpg-Dateien, wenn bei den Gruppenrichtlinien „Active Desktop“ aktiviert ist (kommt noch in Teil 2.3). Nach Änderungen muss man gelegentlich zweimal OK klicken !? Gelegentlich greifen die Änderungen erst nach einem Neustart! Stellen Sie Desktophintergründe nur hier ein (nicht bei den Gruppenrichtlinien in Teil 2.3).

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: Desktop-Standardeinstellungen – Beispiel (6) Einstellung der Anzeige-Eigenschaften (1) (2) (3)

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: Desktop-Standardeinstellungen - Zusammenfassung Einstellung der Desktop-Standardeinstellungen: ● Haken bei Desktop-Standardeinstellungen für Windows setzen und Eigenschaften bearbeiten. ● Desktop-Standardeinstellungen / Einstellungen anwählen. ● Doppelklick auf Anzeige. ● Gewünschtes serverbasiertes Hintergrundbild auswählen und Änderungen übernehmen. ● Ggf. weitere Einstellungen vornehmen.

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: Desktop-Standardeinstellungen– Übung 1 Übung 1: Desktopeinstellungen für Schüler festlegen ● Melden Sie sich als SchulAdmin-LFB im Netz an. ● Wandeln Sie einen Hintergrund aus C:\WINDOWS\Web\Wallpaper\ mit Hilfe von Paint vom jpg- in das bmp-Format und kopieren Sie die Datei in das Serververzeichnis (data:\LFB\richtlinien\benutzer\schueler) ● Tipp: Nennen Sie das Bild einfach „schueler.bmp“ ● Starten Sie die ConsoleOne. ● Modifizieren Sie die Desktop-Einstellungen. ● Starten Sie anschließend den Rechner neu und melden Sie sich als Lehrer SpechtB-LFB mit dem Passwort an. ● Melden Sie sich anschließend als Schülerin GrossA-LFB mit dem Passwort an. Welcher Hintergrund ist da?

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: Desktop-Standardeinstellungen - Zusammenfassung Zusammenfassung: Desktop-Einstellungen immer bei dem entsprechenden Benutzerpaket vornehmen! Mit einem Benutzer aus dem entspr. Kontext testen! Mit einem Benutzer aus einem anderen Kontext testen (hier dürfen die Änderungen natürlich nicht greifen). Falls Änderungen nach einer Neuanmeldung nicht sofort greifen, die Workstation neu starten. Hier noch offene Frage: Wie verhindert man, dass die Benutzer auf die Eigenschaften der Anzeige zugreifen können? Antwort: Kann nur über die Gruppenrichtlinien (Teil 2.3) geregelt werden!

paed M L ® ML3 - Richtlinien für Benutzer Richtlinien: Windows - Gruppenrichtlinien - Überblick Teil 2.3: Windows - Gruppenrichtlinien Probleme und Fragen: Was versteht man unter „Gruppenrichtlinien“? Welche Auswirkungen haben sie auf die Workstation? Für wen sind sie gültig? Wo werden sie gespeichert? Wie kann man sie bearbeiten? Sehr informative Quelle:

paed M L ® ML3 - Richtlinien für Benutzer Kurze Erläuterungen zu Gruppenrichtlinien Überblick: Gruppenrichtlinien Gruppenrichtlinien steuern benutzerabhängig die Einstellungen auf der Workstation. Sie müssen mit der OU verknüpft sein, für die sie gelten sollen. Sie sind plattformabhängig und können nur unter dem entsprechenden Betriebssystem bearbeitet werden. Bearbeitet werden sie mit der ConsoleOne. Die Gruppenrichtlinien werden durch adm-Dateien „gesteuert“. Adm-Dateien sind „administrative Vorlagen“. In ihnen sind die entsprechenden Registry-Einträge definiert. Standardmäßig sind nur wenige adm-Dateien vorhanden. Im Internet findet man jedoch viele adm-Dateien für alle möglichen Anwendungen (Vorsicht! Wem kann man vertrauen?).

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien - Speicherort z. B. für Schüler unter: data:\LFB\richtlinien\benutzer\ schueler\WXP_GPol\Adm ) z.B. für die schulischen Verwalter unter: data:\LFB\richtlinien\benutzer\ schueler\WXP_GPol\Adm z.B. für die zentralen Verwalter unter: data:\zentral\ Die Gruppenrichtlinien liegen für die Schulbenutzer (Lehrer, Schüler, Verwalter etc.) unterhalb data:\LFB\richtlinien\benutzer im Unterordner WXP_GPol\Adm der jeweiligen Benutzer-OU

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: Rechte im Richtlinienverzeichnis Zur Information: Im Verzeichnis „benutzer“ auf data:\LFB\richtlinien haben alle Benutzer der Schule und alle Verwalter RF-Rechte!

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: „Sicherheitstipps“ Bitte beachten: Erstellen Sie eine Sicherheitskopie der vorhandenen Richtlinien! (Ordner „WXP_GPol“ kopieren.) Beachten Sie immer den Stand des Servicepacks! (WXP-SP2-Richtlinien dürfen niemals auf einer WXP-SP1-Workstation bearbeitet werden!) Ändern Sie nie zu viele Einstellungen gleichzeitig! Testen Sie die vorgenommenen Änderungen mit verschiedenen Benutzerkennungen! Protokollieren Sie wichtige Änderungen! Achten Sie beim Download von adm-Dateien auf die Herkunft der Dateien („Microsoft immer vertrauen?“) usw...

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien bearbeiten Im Folgenden sollen Gruppenrichtlinien für die OU Schueler bearbeitet werden. Wählen Sie in der ConsoleOne die Eigenschaften von „Benutzerpaket_Schueler“ in „ml3.SCHULEN.LFB.Benutzer.Schueler“

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien bearbeiten (1) Betriebs-system wählen (2) (3)

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien bearbeiten (1) Diese Option sollte deaktiviert sein, damit die übertragenen Gruppenrichtlinien nach dem Abmelden des Benutzers nicht mehr wirksam bleiben. (2)

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien bearbeiten Nach einem Klick auf die Schaltfläche „Richtlinien bearbeiten“ erhält man folgende Anzeige: In der Benutzerkonfiguration befinden sich mehrere Ordner mit Richtlinien – unter anderem auch die „Administrativen Vorlagen“.

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: Beispiel 1, System Beispiel 1: Systemeinstellungen festlegen Im lokalen Betriebssystem sollen benutzerabhängig bestimmte Einstellungen „erzwungen“ werden, z. B.: Kein Zugriff auf die Eigenschaften von „Anzeige“ Übersichtliches (klassisches) Startmenü Sinnvolle Windows-Explorer-Einstellungen Verhinderung des automatischen Windows-Updates Alle möglichen Sprechblasen und aufdringlichen „Hilfsangebote“ sollen unterbunden werden. usw...

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: Beispiel 1, Anzeige beeinflussen Im rechten Feld werden die Möglichkeiten aufgeführt, wie die „Anzeige“ beeinflusst werden kann. Um z. B. den Schülern die Änderung des Desktop-Hintergrundes zu verbieten, wählen Sie die Eigenschaften obiger Richtlinie (Rechtsklick oder Doppelklick)

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: Beispiel 1, Anzeige beeinflussen (2) „Aktiviert“: Die Richtlinie ist wirksam. „Deaktiviert“: Die Richtlinie wird abgeschaltet. „Nicht konfiguriert“: Es bleibt bei den Voreinstellungen. Wichtig: Geänderte Richtlinie muss auch „angewandt“ werden (siehe Folie 26). In unserem Fall gilt die Einstellung für alle Schüler.Folie 26

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: Beispiel 1, Anzeige beeinflussen (3) Systemeinstellungen zur Anzeige-Steuerung: Unter Systemsteuerung -> Anzeige findet man z. B.: „Hintergrundänderung verhindern“ „Symbol Anzeige aus der Systemsteuerung entfernen“ „Registerkarte Bildschirmschoner ausblenden“. Unter Systemsteuerung -> Anzeige -> Desktop-Designs könnten Designs vorgegeben werden. Unter Desktop -> Active Desktop kann der Active Desktop aktiviert werden (dann funktionieren auch *.jpg-Hintergründe). Unter Desktop -> Active Desktop können Änderungen am Desktop verhindert werden. Hinweis: Änderungen über bestimmte Tools des Grafikkartentreibers lassen sich leider nicht unterbinden!

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: Beispiel 1, Systemeinstellungen Weitere Einstellungs- möglichkeiten finden Sie in den anderen Unterordnern der „Administrativen Vorlagen“ (weitgehend selbsterklärend). - Z. B. in den rechts markierten

paed M L ® ML3 - Richtlinien für Benutzer Übung: „Anzeige“ aus Systemsteuerung entfernen Übung 2: „Anzeige“ aus der Systemsteuerung entfernen Entfernen Sie für die Schüler die Möglichkeit, die „Anzeige“ in der Systemsteuerung aufzurufen und damit dort Einstellungen vorzunehmen. Deaktivieren Sie hierzu die entsprechende Richtlinie aus „Administrative Vorlagen/Systemsteuerung/Anzeige“. Testen Sie die Auswirkung, indem Sie sich als Schüler und danach als Lehrer anmelden - evtl. muss die Arbeitsstation neu gestartet werden.

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: Beispiel 2, Internet-Explorer Beispiel 2: Voreinstellen des Internet-Explorers Auf der Workstation sollen für den IE bestimmte Standard-Einstellungen vorgegeben werden, z. B.: Proxy fest einstellen Startseite festlegen Bestimmte Links in die Linkliste eintragen Suchmaschine vorgeben Verhindern, dass Proxy-Einstellungen verändert werden können usw...

paed M L ® ML3 - Richtlinien für Benutzer zum Beispiel 2, Internet-Explorer voreinstellen Einstellungen vornehmen unter: Benutzerkonfiguration -> IE-Wartung

paed M L ® ML3 - Richtlinien für Benutzer zum Beispiel 2, Internet-Explorer – URL‘s einstellen Benutzerkonfiguration -> IE-Wartung -> URLs -> Wichtige URLs Mögliche Einstellungen

paed M L ® ML3 - Richtlinien für Benutzer zum Beispiel 2, Internet-Explorer – Proxy einstellen Benutzerkonfiguration -> IE-Wartung -> Verbindung -> Proxyeinstellungen (2) (3) (4) (1)

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: Richtlinien filtern Wenn man an vielen Stellen „gedreht“ hat, verliert man leicht den Überblick! Hier hilft das Filtern der Richtlinien weiter! Man kann z. B. „nur konfigurierte Richtlinien“ anzeigen lassen!

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: Richtlinien filtern Anzeigeoptionen Fall 1: Zum KonfigurierenFall 2: Zur Kontrolle Nach dem OK-Klick „schrumpfen“ die sehr vielen Richtlinien zusammen und man sieht, wo Richtlinien aktiviert worden sind! deaktivierenaktivieren

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: adm-Dateien - Problematik Teil 2.4: Anwendungssteuerung mit adm-Dateien Problematik: Die Einstellungen einer Anwendung sollen benutzerbezogen netzwerkweit vorgegeben werden! (z. B. Word-Einstellungen) Gelöst wird diese Aufgabe mit einer adm-Datei!

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: adm-Dateien - Überblick Adm-Dateien sind „administrative Vorlagen“. In ihnen sind die entsprechenden Registry-Einträge definiert. Sie werden bei den Gruppenrichtlinien für Benutzer eingebunden. Mit diesen Dateien können Anwendungen zentral konfiguriert werden. Es gibt für viele Anwendungen adm-Dateien. Beispiele: office9.adm, word10.adm, excel11.adm usw... (Versionsnummern: x9.adm für Office2000, x10.adm für Office2002 (Office XP), x11.adm für Office2003, x12.adm für Office2007 – Dateinamen: ORK2000.zip, ORK2002.zip, ORK2003.zip bzw. Office2007de.zip) Für z.B. den Kontext „Schueler“ liegen die adms in data:\LFB\richtlinien\benutzer\schueler\WXP_Gpol\adm! Wenn in diesem Verzeichnis eine adm-Datei existiert, können die in ihr gespeicherten Richtlinien in ConsoleOne bearbeitet werden. Hinweis: Unter findet man die Original-Microsoft-adm-Dateien zum Download!

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: adm-Dateien - Speicherort Verzeichnis der adm-Dateien mit Beispielen: Hier wurden einige Office2003-adm-Dateien eingefügt.

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: Word konfigurieren Beispiel: Word konfigurieren Mit Hilfe einer adm-Datei soll Word konfiguriert werden! Standard-Verzeichnisse festlegen Symbolleisten konfigurieren sinnvolle Einstellungen festlegen (wie sie sonst unter „Extras -> Optionen“ eingestellt werden). usw...

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: Word konfigurieren Zuhause konfiguriert man sein Word üblicherweise über: Extras -> Optionen: Alle Einstellungen auf den Registerkarten unter: Extras -> Optionen, können im Netz über adm-Dateien vorgenommen werden! Sie sind dann unabhängig von der Maschine für die mit dem Richtlinienpaket verknüpften Benutzer gültig!

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: Word konfigurieren Vergleiche WORD: Extras|Optionen: Registerkarte „Allgemein“!

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: Word konfigurieren (2) (1) (3) Hiermit könnte ein Standard- Dokumenten-Verzeichnis (muss existieren) eingestellt werden.

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: Übung 3 (zu adm-Dateien) Melden Sie sich als SchulAdmin-LFB an! Falls Office noch nicht installiert ist, nehmen Sie die entsprechende Installation vor. Überprüfen Sie zunächst, ob die benötigte adm-Datei im Richtlinienordner verfügbar ist (  Versionsnummern)!  Versionsnummern Starten Sie die ConsoleOne und bearbeiten Sie die entsprechende Richtlinie! Nehmen Sie die entsprechenden Einstellungen vor! Melden Sie sich als Benutzer aus dem Kontext an, für den Sie die Richtlinien geändert haben! Testen Sie, ob die Einstellungen wirksam sind! Melden Sie sich als Benutzer aus einem anderen Kontext an! (Hier sollten die Änderungen nicht wirksam sein). Übung 3: Konfigurieren Sie Ihre „WORD-Anwendung“ über Richtlinien so, wie Sie es von zuhause gewohnt sind!

paed M L ® ML3 - Richtlinien für Benutzer Gruppenrichtlinien: Zusammenfassung Zusammenfassung: Gruppenrichtlinien steuern zentral die Eigenschaften der Arbeitsstation. Sie wirken nur auf der Arbeitsstation. Sie sind vom Betriebssystem abhängig. Gruppenrichtlinien sind eine „Zusammenfassung“ vieler adm-Dateien. Es gibt Original-adm-Dateien von Microsoft. Es gibt adm-Dateien von anderen Anbietern. Adm-Dateien können auch selbst geschrieben werden. Die Richtlinien werden auf einem anderen Computer bei der nächsten Anmeldung wirksam. Evtl. muss der Computer neu gestartet werden. Warnung: Seien Sie besonders vorsichtig, wenn Sie Richtlinien für die OU Verwalter ändern. Ende