Administrative templates admx for windows 10 and windows server 2016

В этой статье мы рассмотрим особенности процесса обновления (установки) новых административных шаблонов GPO (admx) в домене Active при обновлении билда Windows 10 или Windows Server 2016/2019 на устройствах.

Административные шаблоны (Administrative templates) – это специальные
ADMX
(и
ADML
) файлы, которые используются в редакторе групповых политик для изменения параметров компьютера или пользователя. По сути в административных шаблонах описываются те изменения, которые нужно выполнить в реестре для применения различных настроек.

Обновление ADMX шаблонов GPO при апгрейде билда Windows 10 на клиентах

В связи с тем, что Microsoft постоянно обновляет свои операционные системы и добавляет в них различный функционал, одновременно с этим она выпускает новые административные шаблоны. Чтобы администратор мог централизованной управлять новыми функциями Windows через GPO, ему необходимо регулярно обновлять административные шаблоны в домене AD.

Например, у вас имеется домен на базе Windows Server 2016 и компьютеры в домене, которые обновились до билда Windows 10 2004. В этом билде, например, появилась новая опция Delivery Optimization для управления механизмом Windows Update for Business (WUfB). Теперь вы можете указать максимальную пропускную способность, которую технология Delivery Optimization может использовать для фоновой загрузки обновлений.

Опция Maximum Foreground Download Bandwidth (in kb/s) доступа в следующем разделе локального редактора групповой политике (gpedit.msc) на компьютерах с Windows 10 2004 (20H2): Computer Configuration -> Policies -> Administrative Templates -> Windows Components -> Delivery Optimization.

Но вы не сможете настроить этот параметр на всех компьютерах с помощью доменных групповых политик, т.к. в консоли редактора GPO (
gpmc.msc
) этот параметр политики отсутствует, т.к. в хранилище шаблонов на DC новых параметров нет (их можно использовать только на в локальных политиках или MLGPO на компьютере с новым билдом Windows 10).

В этом случае вам нужно обновить административные шаблоны GPO на контроллерах домена. Рассмотрим как это сделать:

1. Перейдите на страницу загрузки административных шаблонов для максимального билда Windows 10, которые используется у вас в домене. В нашем случае это Windows 10 2004. Проще всего выполнить поиск в google по ключевой фразе “Administrative Templates (.admx) for Windows 10 2004”;
2. Скачайте и установите MSI архив (
   Administrative Templates (.admx) for Windows 10 May 2020 Update.msi
   );
3. Теперь нужно скопировать содержимое каталога C:Program Files (x86)Microsoft Group PolicyWindows 10 May 2020 Update (2004)PolicyDefinitions в центральное хранилище GPO на контроллере домена (каталог \winitpro.ruSYSVOLwinitpro.ruPoliciesPolicyDefinitions) с заменой (!) файлов.

   Пара важных советов!

   • Обязательно создайте резервную копию каталога PolicyDefinitions на контроллере домена перед заменой файлов (это позволит откатится к предыдущим версии admx шаблонов);
   • Не обязательно копировать каталоги с adml файлами для разных языков. Скопируйте только каталоги для тех языков, которые используются у вас в редакторе GPO. Это уменьшит размер каталога SYSVOL на DC и уменьшить трафик репликации;
   • Если у вас уже есть под рукой компьютер с новым билдом Windows 10, то можно скопировать административные шаблоны из каталога
     %WinDir%PolicyDefinitions
     без установки MSI файла.

   

4. Теперь запустите редактор Group Policy Management Console (gpmc.msc), создайте новую GPO и проверьте, что в ней теперь доступны настройки политик из нового билда Windows 10;

   Если вы хотите, чтобы определенная GPO с новыми параметрами применялась только для определенных билдов Windows 10, можно использовать WMI фильтры GPO.

5. Настройте политику, назначьте ее на клиентов, обновите на них настройки GPO и убедитесь, что новые настройки применились.

Установка нового административного шаблона в домене Active Directory

Аналогичным образом устанавливаются новые административные шаблоны. Например, вы планируете использовать групповые политики для управления параметрами браузера Edge Chromium на компьютерах пользователей. Административные шаблоны для Edge Chromium отсутствуют как в Windows 10 2004, так и в 20H2. Вам придется вручную скачать файлы политик Edge Chromium и скопировать admx файлы в каталог PolicyDefinitions на контролере домена.

1. Перейдите нас страницу Microsoft Edge for business (https://www.microsoft.com/en-us/edge/business/download);
2. Выберите версию, билд и платформу Edge, которую вы хотите использовать. Нажмите кнопку Get Policy Files;
3. Распакуйте файл
   MicrosoftEdgePolicyTemplates.cab
   ;
4. Перейдите в каталог
   MicrosoftEdgePolicyTemplateswindowsadmx
   . Cкопируйте файлы msedge.admx, msedgeupdate.admx и каталоги с языковыми пакетами (например, ru-RU и en-US) в центральное хранилище политик на контроллере домена (\winitpro.ruSYSVOLwinitpro.ruPoliciesPolicyDefinitions);
5. Убедитесь, что новые разделы политик для настройки параметров Microsoft Edge появились в доменном редакторе GPO.

Если у вас в компании используется несколько версий ПО, которыми вы хотите управлять через GPO, последовательно загрузите и установите на DC все admx для всех версий, начиная с самой старой (admx шаблоны для актуальной версии софта нужно устанавливать в последнюю очередь).

Active Directory group policies, also called Group Policy Object (GPO), are one of my core topics. I have a lot to do with this in various projects and as a Microsoft trainer. As a result, I have accumulated a number of templates and links. This link collection should make your search a little easier. Only templates of the respective manufacturers or projects are listed here. I have deliberately avoided third-party guidelines.

Do you know a template that is missing? Please write me a comment or a mail with the link. I will update this list.

Microsoft

Windows Clients before Windows 10

• Administrative Templates (.admx) for Windows Vista
• Administrative Templates (ADMX) for Windows Server 2008 R2 and Windows 7
• Administrative Templates (.admx) for Windows 8 and Windows Server 2012 – German
• Administrative Templates (.admx) for Windows 8.1 and Windows Server 2012 R2 – German

Windows 10

• Administrative Templates (.admx) for Windows 10 (1511)
• Administrative Templates (.admx) for Windows 10 (1607) and Windows Server 2016 – German
• Administrative Templates (.admx) for Windows 10 Creators Update (1703) – German
• Administrative Templates (.admx) for Windows 10 Fall Creators Update (1709) – German
• Administrative Templates (.admx) for Windows 10 April 2018 Update (1803)
• Administrative Templates (.admx) for Windows 10 October 2018 Update (1809) – Also applies to Windows Server 2019
• Administrative Templates (.admx) for Windows 10 May 2019 Update (1903) – V3.0 18.12.2019
• Administrative Templates (.admx) for Windows 10 November 2019 Update (1909)
• Administrative Templates (.admx) for Windows 10 May 2020 Update (2004) – V1.0 10.06.2020
• Administrative Templates (.admx) for Windows 10 October 2020 Update (20H2) – V 2.0 07.05.2021
• Administrative Templates (.admx) for Windows 10 May 2021 Update (21H1) – V 1.0 18.05.2021

Windows 11

Templates for Windows 11 are backwards compatible with Windows 10, but some settings only work with Windows 11.

• ADMX Templates for Windows 11 October 2021 Update (21H2) – V 1.0 06.10.2021

Windows Server

• Administrative Templates (ADMX) for Windows Server 2008
• Administrative Templates (ADMX) for Windows Server 2008 R2 and Windows 7
• Administrative Templates (.admx) for Windows 8 and Windows Server 2012 – German
• Administrative Templates (.admx) for Windows 8.1 and Windows Server 2012 R2 – German
• Administrative Templates (.admx) for Windows 10 (1607) and Windows Server 2016 – German
• Administrative Templates (.admx) for Windows 10 October 2018 Update (1809) – Also applies to Windows Server 2019

Microsoft Office

• Administrative Template files (ADM, ADMX, ADML) for 2007 Office System and Office Customisation Tool Version 2.0
• Office 2010 Administrative Template files (ADM, ADMX/ADML) and Office Customisation Tool download
• Office 2013 Administrative Template files (ADMX/ADML) and Office Customization Tool
• Administrative Template files (ADMX/ADML) and Office Customization Tool for Office 365 ProPlus, Office 2019, and Office 2016 (Updated 01/22/2020 to version 4966.1000) – Renamed due to Office365 changes to :
  “Administrative Template files (ADMX/ADML) and Office Customization Tool for Microsoft 365 Apps for enterprise, Office 2019, and Office 2016”.
  New version as of 12.10.2021: 5236.1000

Further administrative templates from Microsoft

• Microsoft Desktop Optimization Pack Group Policy Administrative Templates: Group Policy (.admx and .adml) templates for MDOP technologies: App-V, MBAM, and UE-V
• Local Administrator Password Solution (LAPS) – Can be installed via the installer and transferred to the Central-Store.
  You don’t know LAPS yet? Then you should definitely read this: “Local Administrator Password Solution (LAPS)“
• Microsoft Edge based on Chromium
• Microsoft OneDrive – The group policy templates are part of the client package, similar to LAPS. After installation, they are located under “%localappdata%MicrosoftOneDriveBuildNumberadm” and must be transferred to the central store. More about this at Microsoft Docs.
• FSLogix ADMX templates are part of the FSLogix installation package.
• Security policies within the Microsoft Security Baseline are available as templates in the respective baselines.

Adobe

For the Acrobat series, Adobe has extensive documentation on the subject of group policies and corporate functions. This is in English. Among other things, topics such as UE-V and software distribution are described. Personally, I would advise against distributing Acrobat Reader via GPO, even if Adobe explains it.

I recommend that you take a look at my article“Unattended Installation of Software“, which describes the 2 CMD commands that can be used to install Acrobat Reader.

Acrobat Reader

• Acrobat Reader DC 2020
• Acrobat Reader DC 2017 Classic track
• Acrobat Reader DC 2015 Classic track
• Acrobat Reader DC 2015 Continuous track

Abobe Acrobat

• Adobe Acrobat DC2020
• Adobe Acrobat DC 2017 Classic track
• Adobe Acrobat DC 2015 Classic track
• Adobe Acrobat DC 2015 Continuous track

Google

• Chrome Enterprise – The Chrome Enterprise package download includes ADMX templates with more than 300 user and device policies.
• Google Updater – Can be downloaded additionally on the Chrome Enterprise page, but is also part of the package.
• Chromium Projects – Chromium is the open source portion of Chrome. The policies for this also work with Chrome. I would still rather go for Chrome Enterprise.

• Mozilla Firefox – FireFox now also has group policies without the need for an additional extension
• Dell Power Manager – Instructions for extraction
• Lenovo Dock Manager (firmware update tool for Lenovo docking stations)
• Foxit Reader GPO templates
• VMware Horizon 7 Group Policy Templates
• Group Policy Options for the Windows Desktop Client and Zoom Rooms
• GoToMeeting (Attention: Only ADM available, no ADMX!)
• Ecosia Search Engine – GPO template to add Ecosia in Microsoft IE and Google Chrome

Further links and comments

Before comments come in because of this, yes some of these operating systems are already out of their support lifecycle, but nevertheless they are still sometimes used in certain environments. For this reason I have also mentioned some “legacy” products. If you want to get an overview of the topic of product lifecycles and Microsoft, I recommend my article“Product lifecycles – The often forgotten entity“.

Here are further links on the topic of group policies. But these articles are written in German:

• Basics about GPOs on MSXFAQ simply explained by Frank Carius.
• New GPO settings for Windows 10 1809 and Server 2019, ADMX download by Wolfgang Sommergut

Updates

10.07.2019: Note on updated Office 365 ADMX template14
.02.2020: Note on updated Office 365 ADMX template, Windows 10 1903 and 1909 added

12.03.2020: Note on Edge Chromium template

12.05.2020: Updated version number on 1903 and Office 365 ProPlus, added new name to Office Policay

17.02.2021: Added Microsoft Windows 20H2, Microsoft FSLogix, Adobe Acrobat 2020, Adobe Acrobat Reader 2020, Lenovo, VMware, Zoom, FoxIt Reader and others. Microsoft 365 Apps for Business Updated.

01.07.2021: Added Microsoft Windows 10 21H1, updated Windows 10 20H2 and Microsoft 365 Apps

09.11.2021: Waited until after Ignite for possible releases. Windows 11 added and Office 365 updated.

In this article, we will show how to update (install) new GPO administrative templates (admx) in the Active Directory domain when upgrading a Windows 10 or Windows Server 2016/2019 build on your devices.

Administrative templates are special ADMX (and ADML) files used in the Group Policy Editor to set computer or user settings. Actually, the administrative templates describe the changes to be made in the registry to apply different settings.

How to Update ADMX GPO Templates in AD When Upgrading Windows 10 Build?

Since Microsoft is constantly upgrading its operating systems and adds new features to them, it regularly releases new administrative template files. To enable an administrator to manage new Windows features centrally using GPO, they must regularly update administrative templates in their AD domains.

For example, you have a Windows Server 2016 domain with computers upgraded to build Windows 10 2004. A new Delivery Optimization option to manage Windows Update for Business (WufB) appeared in the build. Now you can set the maximum bandwidth that Delivery Optimization can use to download updates in the background.

Maximum Foreground Download Bandwidth (in kb/s) option is available in the following section of the Local Group Policy Editor (gpedit.msc) on computers running Windows 10 2004 (20H2): Computer Configuration -> Policies -> Administrative Templates -> Windows Components -> Delivery Optimization.

But you won’t be able to configure this option on all computers using domain GPOs, since there is no such option in the domain Group Policy Management editor (gpmc.msc). This is because there are no new settings in the administrative template files on domain controllers. They may be used only in local policies or in MLGPO on a device with a new Windows 10 build.

If you have installed the RSAT management console on a computer with the new Windows 10 build, new policy settings will be available in the gpmc.msc editor.

In this case, you have to update the GPO administrative templates on your domain controllers. Let’s see how to do it:

• 1. Download administrative templates for the latest Windows 10 build used in your domain. In our case, it is Windows 10 2004. It is easier to search for “Administrative Templates (.admx) for Windows 10 2004” in Google;
  2. Download and install the MSI file (Administrative Templates .admx for Windows 10 May 2020 Update.msi).
  3. Then copy the contents of C:Program Files (x86)Microsoft Group PolicyWindows 10 May 2020 Update (2004)PolicyDefinitions to the GPO Central Store on your domain controller (\woshub.comSYSVOLwoshub.comPoliciesPolicyDefinitions) with file replacement (!).

     Some important tips!

     • Remember to backup PolicyDefinitions directory on your domain controller prior to replacing files (thus you will be able to roll back to previous admx templates version);
     • It is not necessary to copy directories with the adml files for different languages. Just copy the directories for those languages you are using in your GPO editor. Thus you will reduce the replication traffic and the size of SYSVOL folder on your DC;
     • If you already have a computer with a new Windows 10 build, you can copy the administrative templates from %WinDir%PolicyDefinitions without installing the MSI file.

     

  4. Then open the Group Policy Management Console (gpmc.msc), create a new GPO, and make sure that it has the policy settings from the new Windows 10 build.

     If you want a GPO with new settings to be applied to the specific Windows 10 builds only, you can use the GPO WMI filters.
  5. Configure the policy, assign it to clients, update the GPO settings on them and make sure that the new settings have been applied.

Installing a New Administrative Template in an Active Directory Domain

In the same way, new administrative templates are installed. For example, you are going to use GPO to manage Edge Chromium settings on user computers. There are no administrative templates for Edge Chromium both in Windows 10 2004 and in 20H2. You will have to download Edge Chromium policy files manually and copy the admx files to the PolicyDefinitions directory on your domain controller.

1. Go to the Microsoft Edge for business (https://www.microsoft.com/en-us/edge/business/download);
2. Select Edge version, build, and platform you want to use. Click Get Policy Files;
3. Extract the MicrosoftEdgePolicyTemplates.cab file;
4. Go to MicrosoftEdgePolicyTemplateswindowsadmx. Copy msedge.admx, msedgeupdate.admx and directories containing language packages (for example, de-DE and en-US) to the Central Group Policy store on a domain controller (\woshub.comSYSVOLwoshub.comPoliciesPolicyDefinitions);
5. Make sure that new policy sections to configure Microsoft Edge settings have appeared in the domain GPO editor.

If your company is using multiple software versions you want to manage using GPO, download and install all ADMX files for all versions starting with the earliest one on your DC (admx templates for the latest software version must be installed last).

Обновление/установка административных шаблонов групповых политик (ADMX)

В этой статье мы рассмотрим особенности процесса обновления (установки) новых административных шаблонов GPO (admx) в домене Active при обновлении билда Windows 10 или Windows Server 2016/2019 на устройствах.

Обновление ADMX шаблонов GPO при апгрейде билда Windows 10 на клиентах

В связи с тем, что Microsoft постоянно обновляет свои операционные системы и добавляет в них различный функционал, одновременно с этим она выпускает новые административные шаблоны. Чтобы администратор мог централизованной управлять новыми функциями Windows через GPO, ему необходимо регулярно обновлять административные шаблоны в домене AD.

Например, у вас имеется домен на базе Windows Server 2016 и компьютеры в домене, которые обновились до билда Windows 10 2004. В этом билде, например, появилась новая опция Delivery Optimization для управления механизмом Windows Update for Business (WUfB). Теперь вы можете указать максимальную пропускную способность, которую технология Delivery Optimization может использовать для фоновой загрузки обновлений.

Но вы не сможете настроить этот параметр на всех компьютерах с помощью доменных групповых политик, т.к. в консоли редактора GPO ( gpmc.msc ) этот параметр политики отсутствует, т.к. в хранилище шаблонов на DC новых параметров нет (их можно использовать только на в локальных политиках или MLGPO на компьютере с новым билдом Windows 10).

В этом случае вам нужно обновить административные шаблоны GPO на контроллерах домена. Рассмотрим как это сделать:

Установка нового административного шаблона в домене Active Directory

Аналогичным образом устанавливаются новые административные шаблоны. Например, вы планируете использовать групповые политики для управления параметрами браузера Edge Chromium на компьютерах пользователей. Административные шаблоны для Edge Chromium отсутствуют как в Windows 10 2004, так и в 20H2. Вам придется вручную скачать файлы политик Edge Chromium и скопировать admx файлы в каталог PolicyDefinitions на контролере домена.

Если у вас в компании используется несколько версий ПО, которыми вы хотите управлять через GPO, последовательно загрузите и установите на DC все admx для всех версий, начиная с самой старой (admx шаблоны для актуальной версии софта нужно устанавливать в последнюю очередь).

Источник

Настройка клиентов WSUS групповыми политиками

Итак, подразумевается что у Вас имеется установленный Wsus сервер, Групповые политики Active Directory (далее GPO) позволяют системным администраторам автоматически указать клиентов в различные группы WSUS сервера, избавляя от необходимости ручного перемещения компьютеров между группами в WSUS консоли. Такое назначение клиентов к различным группам основывается на основе меток на клиенте, такие метки задаются политикой или простой модификацией реестра. Данный тип соотнесения клиентов к группам WSUS называется Таргетинг на стороне клиента (client side targeting).

Обычно используются две различные политики обновления: для рабочих станций (workstations) и для серверов (Servers). Сначала указываем правило группировки клиентских компьютеров в WSUS консоли. По умолчанию в консоли компьютеры распределяются по группам вручную (server side targeting). Укажем, что клиенты распределяются в группы на основе client side targeting (групповых политик или параметров реестра). Для этого в WSUS консоли перейдите в раздел Options откройте параметр Computers и замените значение на Use Group Policy or registry setting on computers (Использовать групповые политики или значения в реестре, см скрин).

После этого начнем непосредственную настройку клиентов WSUS с помощью групповых политик (GPO). Откройте консоль управления групповыми политиками (Group Policy Management) и создайте две новые групповые политики: ServerWSUSPolicy и WorkstationWSUSPolicy.

Групповая политика установки обновлений WSUS для рабочих станций (WorkstationWSUSPolicy)

В политике указываем:

Если Вы указываете адрес http://wsus, убедитесь что данный адрес разрешается ДНС (ping wsus), если нет то добавите адрес в ДНС сервер.

Групповая политика установки обновлений WSUS для серверов (ServerWSUSPolicy)

В политике указываем:

Назначаем политику WSUS на OU (контейнер) в Active Directory

Далее назначим стандартным способом политику на имеющиеся у нас контейнеры, в нашем случае это два контейнера для рабочих станций (workstations) и для серверов (Servers). В данном примере мы рассматриваем самый простой вариант привязки политик WSUS к компьютерам. В реальных условиях можно распространить одну политику WSUS на всех доменах (GPO привязывается к корню домена) или разнести различных клиентов на разные контейнеры. Для больших и распределенных сетей стоит привязывать различные WSUS сервера к сайтам AD, или же назначать GPO на основании фильтров WMI, или скомбинировать перечисленные выше способы.

Для ускорения получения политики на клиенте можно выполнить команду: gpupdate /force, данная команда инициирует немедленное применение групповой политики.

И через небольшой промежуток времени можно проверить клиентов на наличие всплывающего оповещений о наличии новых обновлений. В WSUS консоли в соответствующих группах должны появиться клиенты (в таблице отображается имя клиента, IP, ОС, процент их «обновленности» и дата последнего обновлений статуса).

Для управления Windows Server Update Services (WSUS) и службой Wuauclt имеется ряд команд, самые распространенные из них:

/DetectNow — поиск обновлений

/ResetAuthorization — запрос на обновление авторизации

runas /user:admin «wuauclt /detectnow» — поиск обновлений под определенным пользователем

Источник