Настройка параметров политики безопасностиconfigure security policy settings

Исправление проблемы

Устранить ошибку, связанную с воспроизведением файла gpedit.msc, можно несколькими способами – с помощью дополнительного установщика, встроенных в операционную систему Windows инструментов, полной переустановки ОС или восстановления версии до предыдущего рабочего состояния ПК.

Включение редактора групповой политики с помощью установщика GPEdit

В некоторых вариациях ОС («десятке», «семерке» и «восьмерке») редактор внутренних компонентов отключен или отсутствует в начальном варианте. Чтобы активировать функционал, необходимо скачать установочный пакет документов, распаковать и запустить действие программы.

Для операционки на 32-бита установка проходит в стандартном режиме, проблем на данном этапе быть не должно. После завершения процедуры функциональное окно будет доступно в стандартном режиме.

Если не работает команда запуска на 64-разрядной операционной системе Виндовс, требуется выполнить следующие действия:

открыть папку SysWOW64 на диске С, раздел Windows;

скопировать документы (папки, файлы, другое) с наименованием Group Policy, Group Policy Users, gpedit.msc в место System

После этого инструмент нужно запустить способом, который предусмотрен для вариации в 32-бита. Функционал запускается, а затем активируется как обычное приложение.

Через PowerShell

Power Shell – это внешняя часть Командной строки, которая необходима для редактирования и администрирования операционки Виндовс. Если не запускается необходимый редактор на ПК, требуется выполнение следующих шагов:

скачать установочный документ GPEdit Enabler;

• вызвать контекстное меню файла (кликнуть правой клавишей по наименованию);
• нажать на пункт запуска процедуры с правами Администратора.

Внимание! Вносить изменения в инструменты встроенного в операционную систему типа можно только через определенный профиль – Администратора. В противном случае обновленные данные не смогут сохраниться и начать действовать

Процедура занимает некоторое время – скорость завершения зависит от мощности используемого персонального компьютера (стационарного, ноутбука). После выполнения нужной операции необходимо перезагрузить ПК в принудительном режиме, чтобы запустить работу внесенных изменений.

Загрузить Policy Plus

Загрузка стороннего приложения позволяет установить программу, по свойствам идентичную стандартному редактору локальной групповой политики операционки Windows. Внешняя оболочка софта схожа с утилитой GPEdit.

Внимание! Основное преимущество программы Policy Plus – наличие встроенного инструмента поискового блока. Функционал похож на классическое приложение операционной системы Windows разработчика Microsoft

Инструкция:

• загрузить установочный документ программы;
• запустить (действий по отдельной установке не потребуется);
• выполнить необходимые настройки.

Для выполнения операции не нужны дополнительные навыки и знания. Интерфейс понятен на интуитивном уровне.

Проверка на вирусы

Активность вредоносных софтов является причиной большинства неполадок персональных устройств, работающих на разных операционках. На ПК необходимо установить антивирусное приложение и запустить его. Проверку осуществляют регулярно, удаляя или устраняя поврежденные документы.

Переустановка и восстановление Windows

Восстановление ОС Виндовс позволит откатить операционку до предыдущего рабочего состояния. Необходимо регулярно создавать дополнительные точки сохранения. Инструмент сохранит данные текущей версии операционной системы, но не пользовательские документы и файлы.

На вариации операционки для домашнего использования отсутствует софт редактора групповой политики. Чтобы исправить неполадку, необходимо загрузить дополнительный установочный документ или использовать режим восстановления (переустановки) Windows. Неисправность можно устранить в домашних условиях, не прибегая к помощи мастера.

Через проводник

Файловый менеджер в виде специальной панели, расположенной в левой части окна, предоставляет быстрый доступ к файловой системе устройства, в том числе к меню Редактора.

Воспользоваться Проводником можно по следующей схеме:

Нажать клавиши: «Win E».

• Вставить: C:WindowsSystem32gpedit.msc.
• Нажать «Enter».

Эти действия позволят сразу запустить системный инструмент. Если юзеру нужен доступ к его файлу, тогда потребуется ввести значение: C:WindowsSystem32, затем прокрутить курсор мыши в самый низ перечня. В нем отобразится наименование gpedit.msc.

Не обязательно вводить полный модуль, достаточно указать значение: gpedit.msc, и оно также найдет Редактор, который отобразится в результатах.

Проверка целостности системы

Если ОС подверглась сбою, то это могло пагубно сказаться на многих её компонентах. Не исключено, что и причина ошибки могла заключаться именно в этом. Чтобы провести проверку системы на целостность, проделайте следующие шаги:

1. Вызовите консоль командной строки. Самый быстрый способ сделать это – сначала открыть обработчик команд «Выполнить» нажатием «Win R», затем ввести туда «cmd» и нажимаем «ОК» или «Enter».
2. Введите в консоль «sfc /scannow» и инициализируйте её выполнение нажатием на клавишу «Enter». После этого начнётся сканирование системы. Этот процесс довольно долгий – он может занять и несколько часов. Вам нужно только подождать – никаких дополнительных действий от вас не требуется.

На заметку! Если при сканировании будут обнаружены ошибки, утилита постарается автоматически их устранить. Если у неё не получится решить проблему с ошибкой, тогда вам придётся применить другой способ.

Открываем «Локальную политику безопасности» в Windows 10

Сегодня мы бы хотели обсудить процедуру запуска упомянутой выше оснастки на примере ОС Windows 10. Существуют разные методы запуска, которые станут наиболее подходящими при возникновении определенных ситуаций, поэтому целесообразным будет детальное рассмотрения каждого из них. Начнем с самого простого.

Способ 1: Меню «Пуск»

Меню «Пуск» активно задействует каждый пользователь на протяжении всего взаимодействия с ПК. Этот инструмент позволяет осуществлять переход в различные директории, находить файлы и программы. Придет на помощь он и при необходимости запуска сегодняшнего инструмента. Вам достаточно просто открыть само меню, ввести в поиске «Локальная политика безопасности» и запустить классическое приложение.

Как видите, отображается сразу несколько кнопок, например «Запуск от имени администратора» или «Перейти к расположению файла»

Обратите внимание и на эти функции, ведь они однажды могут пригодиться. Вам также доступно закрепление значка политики на начальном экране или на панели задач, что значительно ускорит процесс ее открытия в дальнейшем

Способ 2: Утилита «Выполнить»

Стандартная утилита ОС Виндовс под названием «Выполнить» предназначена для быстрого перехода к определенным параметрам, директориям или приложениям путем указания соответствующей ссылки или установленного кода. У каждого объекта имеется уникальная команда, в том числе и у «Локальной политики безопасности». Ее запуск происходит так:

1. Откройте «Выполнить», зажав комбинацию клавиш Win + R. В поле пропишите , после чего нажмите на клавишу Enter или щелкните на «ОК».

Буквально через секунду откроется окно управления политикой.

Способ 3: «Панель управления»

Хоть разработчики операционной системы Виндовс постепенно и отказываются от «Панели управления», перемещая или добавляя многие функции только в меню «Параметры», это классическое приложение все еще нормально работает. Через него тоже доступен переход к «Локальной политике безопасности», однако для этого понадобится выполнить такие шаги:

1. Откройте меню «Пуск», найдите через поиск «Панель управления» и запустите ее.

Перейдите к разделу «Администрирование».

В списке отыщите пункт «Локальная политика безопасности» и дважды щелкните по нему ЛКМ.

Дожидайтесь запуска нового окна для начала работы с оснасткой.

Способ 4: Консоль управления Microsoft

В Консоли управления Майкрософт происходит взаимодействие со всеми возможными в системе оснастками. Каждая из них предназначена для максимально детальной настройки компьютера и применения дополнительных параметров, связанных с ограничениями доступа к папкам, добавлением или удалением определенных элементов рабочего стола и многим другим. Среди всех политик присутствует и «Локальная политика безопасности», но ее еще нужно отдельно добавить.

1. В меню «Пуск» найдите и перейдите к этой программе.

Через всплывающее окно «Файл» приступайте к добавлению новой оснастки, нажав на соответствующую кнопку.

В разделе «Доступные оснастки» отыщите «Редактор объектов», выделите его и щелкните на «Добавить».

Поместите параметр в объект «Локальный компьютер» и щелкните на «Готово».

Осталось только перейти к политике безопасности, чтобы убедиться в ее нормальном функционировании. Для этого откройте корень «Конфигурация компьютера» — «Конфигурация Windows» и выделите «Параметры безопасности». Справа отобразятся все присутствующие настройки. Перед закрытием меню не забудьте сохранить изменения, чтобы добавленная конфигурация осталась в корне.

Приведенный выше способ будет максимально полезен тем юзерам, кто активно использует редактор групповых политик, настраивая там необходимые ему параметры. Если вас интересуют другие оснастки и политики, советуем перейти к отдельной нашей статье по этой теме, воспользовавшись указанной ниже ссылкой. Там вы ознакомитесь с основными моментами взаимодействия с упомянутым инструментом.

Что же касается настройки «Локальной политики безопасности», производится она каждым пользователем индивидуально — им подбираются оптимальные значения всех параметров, но при этом существуют и главные аспекты конфигурации. Детальнее о выполнении этой процедуры читайте далее.

Подробнее: Настраиваем локальную политику безопасности в Windows

Теперь вы знакомы с четырьмя различными методами открытия рассмотренной оснастки. Вам осталось только подобрать подходящий и воспользоваться им.

Опишите, что у вас не получилось.
Наши специалисты постараются ответить максимально быстро.

Как выключить локальную политику безопасности

Необходимо выключить службу «Клиент групповой политики». Но она «вшита» в Windows 7/8/10 настолько прочно, что остановить и деактивировать её с помощью встроенного мастера настройки служб, вызываемого из диспетчера задач, нельзя.

Самый действенный способ — вмешаться в реестр системы. Сделайте следующее:

1. Войдите в уже знакомую строку запуска программ «Выполнить» и введите команду «regedit». Откроется редактор реестра.
2. Перейдите в директорию HKLMSYSTEMCurrentControlSetServicesgpsvc (процесс gpsvc.exe, видимый в диспетчере задач при работе «Клиента групповой политики», запускается реестром Windows из этого места).
3. Правый щелчок мышью откроет меню папки «gpsvc» — выберите «Разрешения».

   В редакторе реестра находим папку «gpsvc», нажимаем «Разрешения»

4. Выберите другого владельца, зайдя в дополнительные параметры безопасности.

   Без изменения имени вы не сможете добраться до полного доступа к процессу gpsvc

5. Отметьте все разрешения. Желательно удалить лишних пользователей из настройки неограниченного доступа к службе.

   Отметьте все разрешения, удалите лишних пользователей из настройки дополнительного доступа в графе «Группы или пользователи»

6. Вернитесь к папке gpsvc в данной директории реестра и измените ключ Start, введя значение 4 («Отключено»).

   В папке gpsvc измените ключ Start, введя значение 4, и система отключится

7. Закройте все окна, нажав OK, перезапустите компьютер.

Это ещё не всё! Вам будет мешать сообщение в трее о неработе службы «Клиент групповой политики».

Оно будет появляться каждый раз, уберите его

Чтобы его убрать, сделайте следующее:

1. Запустите уже знакомый редактор реестра.
2. Удалите из него папку HKLMSYSTEMCurrentControlSetControlWinlogonNotificationsComponentsGPClient.

   Запустите редактор реестра и удалите из него папку GPClient

Предварительно сохраните эту папку в отдельный файл реестра. Это делается на случай, если работу службы нужно быстро восстановить, не переустанавливая Windows. После удаления папки перезапустите компьютер — уведомление больше не появится.

Как запустить редактор локальной групповой политики gpedit.msc в среде windows home

Кстати, еще один момент. Я уже пробовал сделать то же самое вторым из предложенных Вами методов, редактор групповой политики действительно появился (правда, перестали работать Excel и Power Point — пришлось откатить к изначальному состоянию), однако заданные там политики на деле ничего не блокировали. Нашел этому объяснение здесь https://winitpro.ru/index.php/2021/02/27/ustanovka-redaktora-gruppovyx-politik-gpedit-msc-windows-7-home/#comment-84939 вот сам комментарий:

Спасибо за ответ. В пользовательском разделе не существует SRP. Не поддерживается оно формально, по факту, при внесении в реестр — работает. Видимо в домашних версиях отсутствует какой-то функционал, который, после редактирования политик в оснастке, переносит правила реестра из раздела HKCU/…/Group Policy Object/…/ в нужное место. Пришлось сделать скрипт который это и выполняет.

Спросил автора про скрипт — увы, безответно (((. Думаю, что многие были бы Вам благодарны, если бы Вы смогли для «чайников» сделать такую вещь. Надеюсь, умелыми руками это не сложно ))

Как установить?

Есть 2 решения:

• перенос файлов редактора из версии Pro, установка компонентов из дистрибутива и установка неофициального приложения, скомпилированного в установщик пользователем для Windows 7 (но оно подходит для версий 8.1 и 10);
• установка приложения с последующим переносом системных файлов и библиотек.

Важно! Так как вы будете работать с системными файлами, всегда есть вероятность повреждения системы. Рекомендую создать точку восстановления

Способ 1

Чтобы перенести файлы нужны права администратора.

Полезно знать! В Windows 10 разработчики отключили функцию входа в безопасный режим по нажатию кнопки F8 перед загрузкой системы. Они это сделали для более быстрой загрузки ОС. Читать подробнее.

Отключение UAC

Также рекомендуем отключить UAC прежде чем приступать к переносу. Для этого:

1. Нажмите правой кнопкой мыши по «Пуск» и выберите «Панель управления».
2. Перейдите в раздел «Учетные записи пользователей».
3. В новом окне нажмите «Изменить параметры контроля учетных записей».
4. Поставьте ползунок в крайнее нижнее состояние «Никогда не уведомлять» и нажмите «ОК».

Процедура переноса

Для установки «Редактора локальной групповой политики», необходим дистрибутив Windows 10. Скачать его можно на сайте Microsoft с помощью MediaCreationTool. Также утилита позволит установить образ на флешку или DVD-диск или же создаст ISO-образ диска. Еще, необходим сам файл gpedit.msc, который нужно скопировать с компьютера под управлением Windows 10 Pro. Если такового нет в наличии, вы можете установить Windows 10 Pro на флешку.

Для переноса:

1. Подключите диск или флешку с дистрибутивом системы или монтируйте ISO-образ на виртуальный привод.
2. Загрузите и установите утилиту Far Manager 3, которая поможет корректно перенести системные файлы.
3. Скопируйте файл gpedit.msc из системы Windows 10 Pro и перенесите ее в свою версию в директорию:

   C:WindowsSystem32

4. Теперь установите системные файлы из пакета .Net Framework 3.5. Их нужно установить локально из ранее созданного дистрибутива Windows. Зайдите в командную строку (Администратор) и выполните команду:

   Dism /online /enable-feature /featurename:NetFx3 /All /Source:D:sourcessxs /LimitAccess

   где, D:sourcessxs — путь к установочным файлам .Net Framework 3.5, что расположены на носителе Windows 10.

5. Запустится установка .Net Framework 3.5. Требуется некоторое время для завершения процедуры.
6. Скачайте и запустите установщик .
7. Следуйте подсказкам иннсталятора и завершите установку. Затем зайдите в

   C:WindowsSystem32

   и запустите ранее скопированный файл gpedit.msc

Важно! Редактор создавался до выхода Windows 8 и 10, в нем нет политик, добавленных в эти версии систем

Способ 2

Для этого способа не требуется дополнительный дистрибутив или файлы версии Windows Pro, но придется некоторые системные файлы переносить вручную. Чтобы запустить редактор:

1. Скачайте и установите на свой компьютер.
2. Если ваша версия системы x64, не нажимая кнопку «Finish», нажмите Win+R и выполните команду

   %WinDir%Temp

3. Из папки gpedit скопируйте файлы gpedit.dll, fde.dll, gptext.dll, appmgr.dll, fdeploy.dll, gpedit.msc в директорию C:WindowsSystem32
4. Затем скопируйте папки GroupPolicy, GroupPolicyUsers, GPBAK и файл gpedit.msc из директории C:WindowsSysWOW64 в C:WindowsSystem32.
5. Перезагрузите ПК и запустите редактор.

Если после запуска появляется ошибка — зайдите в C:WindowsTempgpedit и запустите файл x86.bat или x64.bat в зависимости от разрядности вашей Windows 10.

• https://g-ek.com/kak-otkryit-redaktor-gpedit-windows10
• https://winitpro.ru/index.php/2015/10/02/redaktor-gruppovyx-politik-dlya-windows-10-home-edition/
• https://geekon.media/kak-zapustit-redaktor-lokalnoj-gruppovoj-politiki/

Примеры использования

Перейдем к использованию редактора локальной групповой политики. Я покажу несколько примеров, которые позволят увидеть, как именно производятся настройки.

Разрешение и запрет запуска программ

Если вы пройдете в раздел Конфигурация пользователя — Административные шаблоны — Система, то там вы обнаружите следующие интересные пункты:

• Запретить доступ к средствам редактирования реестра
• Запретить использование командной строки
• Не запускать указанные приложения Windows
• Выполнять только указанные приложения Windows

Два последних параметра могут быть полезными даже обычному пользователю, далекому от системного администрирования. Кликните дважды по одному из них.

В появившемся окне установите «Включено» и нажмите по кнопке «Показать» около надписи «Список запрещенных приложений» или «Список разрешенных приложений», в зависимости от того, какой из параметров меняется.

Укажите в строчках имена исполняемых файлов программ, запуск которых нужно разрешить или запретить и примените настройки. Теперь, при запуске программы, которая не разрешена, пользователь будет видеть следующее сообщение об ошибке «Операция отменена из-за ограничений, действующих на этом компьютере».

Изменение параметров контроля учетных записей UAC

В разделе Конфигурация компьютера — Конфигурация Windows — Параметры безопасности — Локальные политики — Параметры безопасности имеется несколько полезных настроек, одну из которых можно и рассмотреть.

Выберите параметр «Контроль учетных записей: поведение запроса на повышение прав для администратора» и дважды кликните по нему. Откроется окно с параметрами этой опции, где по умолчанию стоит «Запрос согласия для исполняемых файлов не из Windows» (Как раз поэтому, всякий раз, при запуске программы, которая хочет изменить что-то на компьютере, у вас запрашивают согласие).

Вы можете вообще убрать подобные запросы, выбрав параметр «Повышение без запроса» (только этого лучше не делать, это опасно) или же, напротив, установить параметр «Запрос учетных данных на безопасном рабочем столе». В этом случае, при запуске программы, которая может внести изменения в системе (а также для установки программ) каждый раз потребуется вводить пароль учетной записи.

Сценарии загрузки, входа в систему и завершения работы

Еще одна вещь, которая может оказать полезной — скрипты загрузки и выключения, которые вы можете заставить выполняться с помощью редактора локальной групповой политики.

Это может пригодиться, например, для запуска раздачи Wi-Fi с ноутбука при включении компьютера (если вы реализовывали ее без сторонних программ, а создав Wi-Fi сеть Ad-Hoc) или выполнения операций резервного копирования при выключении компьютера.

В качестве скриптов можно использовать командные файлы .bat или же файлы сценариев PowerShell.

Сценарии загрузки и выключения находятся в Конфигурация компьютера — Конфигурация Windows — Сценарии.

Сценарии входа в систему и выхода — в аналогичном разделе в папке «Конфигурация пользователя».

Например, нам нужно создать сценарий, выполняемый при загрузке: дважды кликаем по «Автозагрузка» в сценариях конфигурации компьютера, нажимаем «Добавить» и указываем имя файла .bat, который следует выполнить. Сам файл должен находится в папке C:\WINDOWS\System32\GroupPolicy\Machine\Scripts\Startup (этот путь можно увидеть по нажатию кнопки «Показать файлы»).

В случае, если сценарий требует ввода каких-то данных пользователем, то на время его исполнения дальнейшая загрузка Windows будет приостановлена, до завершения работы скрипта.

Резервное копирование

Ещё одним способом восстановить доступ к редактору групповой локальной политики является резервное копирование. Инструкция приведена ниже:

1. Зайдите в папку «GPBAK». На скриншоте показан путь к данной папке для 32-битных версий ОС. Если у вас 64-битная, то «GPBAK» вы сможете найти не в папке «System32», а в папке «SysWOW64».
2. В открытой вами папке будет содержаться несколько файлов. Выделите их все и скопируйте.
3. Откройте папку «Windows».
4. Зайдите в папку «System32».
5. Вставьте скопированные файлы в эту папку, предварительно переместив курсор на свободное место. Как и в предыдущем случае, выбирайте вариант «Копировать с заменой», как только увидите соответствующее окно.

После копирования файлов перейдите в «Редактор политики». Если ошибки не возникло, то миссия выполнена.

Редактор локальной групповой политики. оснастка gpedit.msc

Групповая политика — это набор правил, применение которых может облегчить управление пользователями и компьютерами.

Параметры групповой политики применяются для управления конфигурацией операционной системы, а также для отключения опций и элементов управления пользовательского интерфейса для параметров, управляемых групповой политикой. Большинство параметров групповой политики хранятся в разделах реестра, связанных с групповыми политиками.

Существуют два типа групповых политик: локальные групповые политики и групповые политики службы каталогов Active Directory. Локальная групповая политика используется для управления параметрами локальной машины, а групповая политика службы каталогов Active Directory — для управления параметрами компьютеров сайтов, доменов и организационных единиц.

Локальные групповые политики применяются ко всем пользователям и администраторам, входящим в систему на компьютере. Управление локальной групповой политикой осуществляется посредством объекта групповой политики (ОГП — GPO, Group Policy Object). Объект локальной групповой политики хранится на каждом компьютере в скрытой папке %SystemRoot%\System32\GroupPolicy.

Дополнительные пользовательские и групповые объекты локальной групповой политики хранятся в папке %SystemRoot%\System32\GroupPolicyUsers.

Локальные политики (локальный GPO) можно редактировать с помощью оснастки gpedit.msc — редактора локальной групповой политики. Чтобы запустить редактор политики нажмите сочетание клавиш

R, в открывшемся окне Выполнить введите команду gpedit.msc и нажмите клавишу Enter ↵.

В открывшемся окне Редактор локальной групповой политики Вы можете редактировать конфигурацию компьютера и конфигурацию пользователя. В первом разделе (конфигурация компьютера) находятся общесистемные настройки, а во втором — пользовательские настройки.

Рассмотрим небольшой пример использования редактора политик. Допустим мы хотим отключить Диспетчер задач для пользователя. Когда пользователь нажимает Ctrl Alt Del, выводится меню, позволяющее запустить окно Диспетчера задач.

Зачем нужно запрещать Диспетчер задач? Пользователь может закрыть процесс, что приведет к потере данных (особенно когда человек не понимает, что делает). А потом будет надоедать с просьбой восстановить эти данные, что, далеко не всегда возможно. Поэтому проще запретить возможность завершать процессы, чем разбираться с потерями данных и их восстановлением.

Для отключения Диспетчера задач запустите редактор политик и выберите Конфигурация пользователя ► Административные шаблоны ► Система ► Варианты действий после нажатия CTRL ALT DEL. На правой панели вы увидите варианты действий после нажатия Ctrl Alt Del. Дважды щелкните на политике Удалить диспетчер задач.

По умолчанию политика не задана. Для отключения Диспетчера задач выберите значение Включить и нажмите кнопку OK.

После этого запуск Диспетчера задач будет невозможен.

Вы также не сможете запустить Диспетчер задач нажимая сочетание клавиш Ctrl Shift Esc, а также путем ввода команды taskmgr в окне Выполнить, в этом случае вы получите сообщение о том что Диспетчер задач отключен администратором.

При желании отключить Диспетчер задач можно и через реестр. По сути, политики — это надстройки реестра. Чем различается настройка системы через политики и через реестр? Да ничем, по большому счету. Политики созданы для более удобного редактирования реестра. Так, при отключении Диспетчера задач через редактор политик будет создан раздел реестра HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System, а в него добавлен параметр DisableTaskMgr типа DWORD со значением 1.

Для включения Диспетчера задач нужно в разделе реестраHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System для параметра DisableTaskMgr установить значение или использовать редактор политик для установки значения Отключить.

Чтобы отключить Диспетчер задач не для конкретного пользователя, а в масштабах всей системы, нужно создать DWORD-параметр DisableTaskMgr со значением 1 в разделе реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System.

Структура редактора групповой политики

Оснастка Редактор локальной групповой политики позволяет изменять политики, распространяющиеся как на компьютеры, так и на пользователей.

В панели пространства имен оснастки Редактор локальной групповой политики представлено два узла: Конфигурация компьютера и Конфигурация пользователя.

Узел Конфигурация компьютера содержит параметры политик, определяющих работу компьютера. Эти политики регулируют функционирование операционной системы, определяют права пользователей в системе, работу системных служб и средств безопасности и т. д.

Узел Конфигурация пользователя содержит параметры политик, определяющих работу пользователей.

Рис.3 Редактор локальной групповой политики

Изменение в групповых политиках по умолчанию в операционной системе Windows применяются через полтора часа (90 мин.). За данную настройку опять же отвечает отдельная политика. Частота обновления определяется политикой Интервал обновления групповой политики для компьютеров, которая расположена в узле Конфигурация компьютера > Административные шаблоны > Система > Групповая политика. Интервал указывается в минутах и определяет, как часто компьютер будет предпринимать попытку обновления политик. Рационально уменьшать интервал обновления групповой политики при частом применении изменений.

Рис.4 Настройка частоты обновления политик

Рис.5 Настройка частоты обновления политик

Если необходимо чтобы изменения групповых политик вступили в силу немедленно, можно принудительно применить измененные параметры, которые были внесены в редакторе локальной групповой политики несколькими способами:

• осуществить перезагрузку операционной системы
• использовать утилиту gpupdate.exe для принудительного обновления групповой политики. Для этого необходимо либо в окне Выполнить, либо в командной строке ввести gpupdate /force и нажать ОК.

Рис.6 Обновление политик в командной строке

С использованием параметра /target можно указать, будет ли это обновление параметров применяться только для пользователя или только для компьютера. Если не указано, обновляются параметры обеих политик.

Например, для выполнения обновления политик для пользователя, необходимо ввести gpupdate /target:user .

Рис.7 Обновление политик для пользователя в командной строке

Download and Install GPEdit.msc in Windows 10 Home using PowerShell script

1. Download the GPEdit Enabler script from the link below

     GPEdit Enabler for Windows 10 Home Edition (393 bytes, 189,969 hits)

   This is a simple PowerShell script that will install the disabled Group Policy feature in the Windows 10 Home edition.

2. Right-click the downloaded gpedit-enabler.bat file and select Run as Administrator.
3. This will start the installation process. It may take some time depending upon your system performance. Once the process is complete, press any key to close the command prompt window.
4. Although a restart is not required, if the policies are not working, you should restart the computer once.

How to open the group policy editor after installing

After you install the group policy editor, you should be to access local group policies and edit group policies already implemented on your computer.

Open the Run dialog by pressing the Windows key + R. Type gpedit.msc and press the Enter key or OK button. This should open gpedit in Windows 10 Home.

Some people complain that although this method enabled the group policy editor, most of the settings don’t work in the Home edition. If both the methods fail in your case, you should probably try out the third method discussed below.

Vmware workstation and device/credential guard are not compatible

Device/Credential Guard is a Hyper-V based Virtual Machine/Virtual Secure Mode that hosts a secure kernel to make Windows 10 much more secure.

…the VSM instance is segregated from the normal operating system functions and is protected by attempts to read information in that mode. The protections are hardware assisted, since the hypervisor is requesting the hardware treat those memory pages differently. This is the same way to two virtual machines on the same host cannot interact with each other; their memory is independent and hardware regulated to ensure each VM can only access it’s own data.

From here, we now have a protected mode where we can run security sensitive operations. At the time of writing, we support three capabilities that can reside here: the Local Security Authority (LSA), and Code Integrity control functions in the form of Kernel Mode Code Integrity (KMCI) and the hypervisor code integrity control itself, which is called Hypervisor Code Integrity (HVCI).

When these capabilities are handled by Trustlets in VSM, the Host OS simply communicates with them through standard channels and capabilities inside of the OS. While this Trustlet-specific communication is allowed, having malicious code or users in the Host OS attempt to read or manipulate the data in VSM will be significantly harder than on a system without this configured, providing the security benefit.

Running LSA in VSM, causes the LSA process itself (LSASS) to remain in the Host OS, and a special, additional instance of LSA (called LSAIso – which stands for LSA Isolated) is created. This is to allow all of the standard calls to LSA to still succeed, offering excellent legacy and backwards compatibility, even for services or capabilities that require direct communication with LSA. In this respect, you can think of the remaining LSA instance in the Host OS as a ‘proxy’ or ‘stub’ instance that simply communicates with the isolated version in prescribed ways.

And Hyper-V and VMware didn’t work the same time until 2020, when VMware used Hyper-V Platform to co-exist with Hyper-V starting with Version 15.5.5.

How does VMware Workstation work before version 15.5.5?

VMware Workstation traditionally has used a Virtual Machine Monitor (VMM) which operates in privileged mode requiring direct access to the CPU as well as access to the CPU’s built in virtualization support (Intel’s VT-x and AMD’s AMD-V). When a Windows host enables Virtualization Based Security (“VBS“) features, Windows adds a hypervisor layer based on Hyper-V between the hardware and Windows. Any attempt to run VMware’s traditional VMM fails because being inside Hyper-V the VMM no longer has access to the hardware’s virtualization support.

Introducing User Level Monitor

To fix this Hyper-V/Host VBS compatibility issue, VMware’s platform team re-architected VMware’s Hypervisor to use Microsoft’s WHP APIs. This means changing our VMM to run at user level instead of in privileged mode, as well modifying it to use the WHP APIs to manage the execution of a guest instead of using the underlying hardware directly.

What does this mean to you?

VMware Workstation/Player can now run when Hyper-V is enabled. You no longer have to choose between running VMware Workstation and Windows features like WSL, Device Guard and Credential Guard. When Hyper-V is enabled, ULM mode will automatically be used so you can run VMware Workstation normally. If you don’t use Hyper-V at all, VMware Workstation is smart enough to detect this and the VMM will be used.

System Requirements

To run Workstation/Player using the Windows Hypervisor APIs, the minimum required Windows 10 version is Windows 10 20H1 build 19041.264. VMware Workstation/Player minimum version is 15.5.5.

To avoid the error, update your Windows 10 to Version 2004/Build 19041 (Mai 2020 Update) and use at least VMware 15.5.5.