作者adearlover (天使阿眼)
看板MIS
标题[心得] 网域内针对Win10的GPO管理-头痛
时间Fri May 12 16:46:45 2017
未来公司会逐渐使用Win10，所以会先做公司内应用软体测试在Win10下是否运作正常
另因为Win10中很多功能与APP都是公司中无须让同事使用，像是APP市集、内建的APP、微
软帐户、One drive、Skype..等等，所以得透过GPO来限制这些功能，
首先为了管理Win10，得先在DC中增加管理Win10用的GPO admx (目前用2.0，还没有看到
有繁体中文版本)，
在GPO下逐一找寻要针对APP做限制的物件原则，
发现很多物件原则要求Win10企业版下才会套用原则限制或停用，专业版则不会套用这些
原则，微软似乎是在1607版以後才做这限制的，
你真好样的，微软!
谷哥了一下，虽然还是有方式能透过GPO或某些方式来做限制或停用物件
但有些方式既费工夫，也不确定未来是否会有後遗症
而且有些方式会让event log持续记录错误讯息
像是直接把市集的程式所在资料夹作拒绝存取原则，event log就会发疯似的狂刷
如我们小公司之前采购的电脑都是市售商用电脑内建Win7 pro，一年了不起汰换个几台
现在市售商用Win10电脑都是内建专业版以下版本，没有企业版机型
要企业版的话得额外找微软买授权，跟老板提购买授权肯定会被打枪
“明明电脑购买时就已经内建Win10 专业版了，为何现在还要买企业版授权?”
另外发现，没安装权限的一般网域帐户居然可以在市集下成功安装APP
我也不知道该说什麽了，
有前辈有什麽好建议的吗?
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 27.105.25.68
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/MIS/M.1494578807.A.49D.html
1F：推 purplvampire: 如果有用到RDP,别更新到1703,不然一般User没办法连 05/12 17:02
2F：→ asdfghjklasd: 不要用 Windows 10 05/12 17:07
3F：→ deadwood: 可以查一下win10 Applocker看是不是符合你的需求 05/12 17:43
4F：→ oniondada: 请问贵公司很多电脑吗？如果不多建议就不要用ad 06/07 17:14
5F：→ dou0228: 用 Win 10 不用 Entr. LTSB 会不会太大胆了点? 06/09 15:37
6F：推 henry77223: win10最好ad 由2016控管，之前用2008r2一堆pc 无故网 07/22 16:50
7F：→ henry77223: 域自动失联无解 （重新加退doamin无效，退了就加不回 07/22 16:50
8F：→ henry77223: 了），更换後就没再出现这问题，加上2016才能完全控管 07/22 16:50
9F：→ henry77223: 到win10的policy，经验分享。 07/22 16:50