En af de største udfordringer for en it-administrator i en virksomhed er at blokere adgangen til enheder som USB , ekstern harddisk^{(External Hard Drive)} og endda printere til organisationens enheder. For at gøre dette lidt nemmere har Microsoft udrullet funktionen Layered Group Policy,^{(Layered Group Policy feature)} der giver administratorer mulighed for at opdele, hvilke enheder der kan installeres på maskiner på tværs af organisationen.

Hvad er lagdelt gruppepolitik^{(Group Policy)} i Windows 11 ?

Denne gruppepolitik^{(Group Policy)} har til formål at sikre, at maskinerne får mindre korruption, antallet af supportsager falder, og det vigtigste er at reducere datatyveri. Politikken sikrer at begrænse enhver installation, dvs. brugen af ​​enheder både i det interne og eksterne miljø er blokeret. IT-administratorer kan vælge at forhåndsgodkende enheder, der skal bruges/installeres.

Tilgængelig^(Available) her sørger scriptet for, at ikke alle klasser er blokeret:

Computer Configuration > System > Device Installation > Device Installation Restrictions

dette betyder, at hvis du vælger at blokere brugen af ​​USB -enheden, blokerer den kun for den. Går man et skridt foran, løser den nye funktion det tidligere problem, hvor flere sæt skal oprettes for at undgå konflikt. I stedet har du hierarkisk lagdeling Instance ID > Device ID > Class > Removable enhedsegenskab.

Sådan anvender du lagdelt gruppepolitik^{(Layered Group Policy)} i Windows 11

Den første politik, du skal aktivere, er — Anvend lagdelt evalueringsrækkefølge for Tillad og Forebyg enhedsinstallationspolitikker på tværs af alle enhedsmatchkriterier^{(Apply layered order of evaluation for Allow and Prevent device installation policies across all device match criteria)} .

Når det er gjort, er der et ekstra sæt politikker, og du skal sørge for at holde den hierarkiske rækkefølge ( Enhedsforekomst^(Device) - id'er IDs > Device IDs > Device > > Removable enheder) i tankerne. Her er politikkerne relateret til hver enkelt:

Enhedsforekomst-id'er

• Undgå^(Prevent) installation af enheder ved hjælp af drivere, der matcher disse enhedsinstans- id'er^(IDs)
• Tillad^(Allow) installation af enheder, der bruger drivere, der matcher disse enhedsinstans- id'er^(IDs) .

Enheds-id'er

• Forhindr^(Prevent) installation af enheder ved hjælp af drivere, der matcher disse enheds-id'er
• Tillad^(Allow) installation af enheder ved hjælp af drivere, der matcher disse enheds-id'er

Enhedsopsætningsklasse

• Forhindr^(Prevent) installation af enheder ved hjælp af drivere, der matcher disse enhedsopsætningsklasser
• Tillad^(Allow) installation af enheder ved hjælp af drivere, der matcher disse enhedsopsætningsklasser.

Aftagelige enheder

• Undgå^(Prevent) installation af aftagelige enheder

Konfigurer^(Configure) hver af dem ved at tilføje enheds-id'et eller klasse-id'et og anvend ændringerne.

Microsoft anbefaler, at du bruger denne politik over politikindstillingen " Forhindr installation af enheder, der ikke er beskrevet af andre politikindstillinger^{(Prevent installation of devices not described by other policy settings)} " på grund af den lagdelte struktur.

Hvordan finder jeg hardware-id'et^{(Hardware ID)} eller det kompatible ID?

• Åbn Enhedshåndtering^{(Device Manager)} ved hjælp af Win + X , efterfulgt af at trykke på M.
• Find enheden. Højreklik på det, og vælg derefter Egenskaber
• Skift til fanen Detaljer
• Klik^(Click) på rullemenuen Ejendom^(Property) , og her kan du vælge hardware-id, klasse-id og andre detaljer. Den nøjagtige værdi vil være tilgængelig i værdiafsnittet.

Hvordan tilføjer man enheds-id'er^{(Device IDs)} til Tillad-^(Allow) listen?

• Åbn politikken— Tillad installation af enheder, der matcher nogen af ​​disse enheds-id'er^{(Allow installation of devices that match any of these device IDs)} .
• Vælg Aktiveret^{(Select Enabled)} , og klik derefter på knappen Vis^(Show) under Indstillinger.
• Tilføj kompatibelt ID^{(Add Compatible ID)} eller hardware-id til listen
• Anvend ændringerne.

Du kan også blokere installationen af ​​specifikke enheder ved at bruge Forhindre^(Prevent) installationspolitikker.

Hvordan tillader man administratorer at tilsidesætte begrænsninger for enhedsinstallation?

Der er en specifik politik for dette, som du kan aktivere. Når den er aktiveret, kan medlemmer af administratorgruppen^{(Administrators)} bruge guiden Tilføj hardware^{(Add Hardware)} eller guiden til opdatering af driver til at installere og opdatere enheden.

Hvordan konfigurerer man en timeout for at håndhæve politikændringer?

Hvis du vil håndhæve politikændringen, skal du genstarte. En indstilling giver dig mulighed for at konfigurere en genstartstimeout ,^(Timeout) der vises til slutbrugeren for at sikre, at der ikke er datatab.

Jeg håber, at indlægget forklarede dig tydeligt om lagdelt gruppepolitik^{(Layered Group Policy)} i Windows 11 .

Politikken^{(The policy)} er også tilgængelig i Windows 10  som en del af juli 2021^{(July 2021)} valgfri "C"-klientudgivelse og vil blive gjort mere bredt tilgængelig fra og med august 2021 Update Tuesday- udgivelsen.

How to apply Layered Group Policy in Windows 11/10

Оne of the biggest challenges for an IT admin in a cоmpany is to block aсcess to devices such as USB, External Hard Drive, and evеn Printers to the organizatiоn’s dеviceѕ. To make this a little easier, Microsoft has rolled out the Layered Group Policy feature that gives administrators the ability to divide which devices can be installed on machines across the organization.

What is Layered Group Policy in Windows 11?

This Group Policy aims to ensure the machines get less corruption, the number of support cases drops, and the most important is to reduce data theft. The policy ensures to restrict any installation, i.e., the use of devices both in the internal and external environment is blocked. IT admins can choose to pre-authorized devices to be used/installed.

Available here, the script makes sure not all classes are blocked:

Computer Configuration > System > Device Installation > Device Installation Restrictions

this means that if you chose to block the USB device usage, it only blocks it. Going one step ahead, the new feature resolves the earlier problem where several sets need to be created to avoid conflict. Instead, you have hierarchical layering Instance ID > Device ID > Class > Removable device property.

How to apply Layered Group Policy in Windows 11

The first policy you need to enable is — Apply layered order of evaluation for Allow and Prevent device installation policies across all device match criteria.

Once done, there are an additional set of policies, and you need to ensure to keep the hierarchical order (Device instance IDs > Device IDs > Device setup class > Removable devices) in mind. Here are the policies related to each:

Device instance IDs

• Prevent installation of devices using drivers that match these device instance IDs
• Allow installation of devices using drivers that match these device instance IDs.

Device IDs

• Prevent installation of devices using drivers that match these device IDs
• Allow installation of devices using drivers that match these device IDs

Device setup class

• Prevent installation of devices using drivers that match these device setup classes
• Allow installation of devices using drivers that match these device setup classes.

Removable devices

• Prevent installation of removable devices

Configure each of them by adding the device id or class ID and apply the changes.

Microsoft recommends using this policy over the “Prevent installation of devices not described by other policy settings” policy setting because of the layered structure.

How to find the Hardware ID or Compatible ID?

• Open Device Manager using Win + X, followed by pressing M.
• Locate the device. Right-click on it, and then select Properties
• Switch to the Details tab
• Click on the Property dropdown, and here you can select hardware ID, class ID, and other details. The exact value will be available in the value section.

How to add Device IDs to the Allow list?

• Open the policy— Allow installation of devices that match any of these device IDs.
• Select Enabled, and then click on the Show button under Options.
• Add Compatible ID or Hardware ID to the list
• Apply the changes.

You can also block the installation of specific devices by using the Prevent installation policies.

How to allow administrators to override device installation restrictions?

There is a policy specific to this which you can enable. Once enabled, members of the Administrators group can use the Add Hardware wizard or the update driver wizard to install and update the device.

How to set up a timeout to enforce policy change?

If you want to enforce the policy change, you need to reboot. A setting allows you to set up a Reboot Timeout displayed to the end-user to make sure there is no data loss.

I hope the post explained to you clearly about the Layered Group Policy in Windows 11.

The policy is also available in Windows 10  as part of the July 2021 optional “C” client release and will be made more broadly available beginning in the August 2021 Update Tuesday release.

Related posts

• Sådan tilføjes Group Policy Editor til Windows 11/10 Home Edition

• Sådan aktiveres eller deaktiveres Win32 Long Paths på Windows 11/10

• Slet gamle brugerprofiler og filer automatisk i Windows 11/10

• Sådan deaktiveres billedadgangskode-login-indstillingen i Windows 11/10

• Sådan spores brugeraktivitet i arbejdsgruppetilstand på Windows 11/10

• Sådan kortlægger du et netværksdrev ved hjælp af gruppepolitik på Windows 11/10

• Sådan flettes mapper nemt i Windows 11/10

• Fejl, når du åbner Local Group Policy Editor i Windows 11/10

• Sådan aktiverer du Group Policy Editor i Windows 11 Home Edition

• Sådan begrænser du batteriopladning til en vis procentdel i Windows 11/10

• Aktiver fuldskærms startmenu ved hjælp af gruppepolitik eller registreringsdatabase i Windows

• Gruppepolitik registreringsdatabaseplacering i Windows 11/10

• Group Policy Client-tjenesten mislykkedes ved logon i Windows 11/10

• Sådan forhindrer du brugere i at slette diagnostiske data i Windows 11/10

• Sikkerhedskopier/gendan eller importer/eksporter gruppepolitikindstillinger i Windows 11/10

• Få adgang til lokal bruger- og gruppeadministration i Windows 11/10 Home

• Deaktiver visning af seneste søgeposter i File Explorer i Windows 11/10

• Referencevejledning til gruppepolitikindstillinger for Windows 10

• Skift leveringsoptimeringscachedrev til Windows-opdateringer

• Sådan angives deadline før auto-genstart for opdateringsinstallation