Sollte ich die Gruppenrichtlinieneinstellungen in OneDrive für ein kleines Unternehmen ändern?

Gruppenrichtlinien für meine kleine Firma? Ist das nicht mit Kanonen auf Spatzen schießen?

Nein, egal ob 5, 10, 500 oder 3000 Benutzer. Die Grundlagen sind für alle gleich. Nur die Bereitstellung unterscheidet sich. Ich beschreibe in diesem Artikel nur Ausrollen von Gruppenrichtlinien, ohne die großen Bereitstellungs-Werkzeuge.  

Sie erfahren, wie Sie Computer mit OneDrive-Gruppenrichtlinien ausstatten können. Dabei werden folgende Schritte durchgeführt:

1. Rechner ohne bestehende OneDrive Gruppenrichtlinien wird mit OneDrive Gruppenrichtlinien ausgestattet.
2. Danach können einzelne Gruppenrichtlinien eingeschaltet werden.
3. Diese Gruppenrichtlinien müssen getestet werden
4. Diese Änderungen werden anschließend exportiert
5. Die Exportierten Daten können dann bei anderen Geräten importiert werden.

Das macht natürlich nur Sinn, wenn die Anzahl der Geräte gering ist. Zum Ausprobieren der Gruppenrichtlinien sind nur die Schritte 1-3 notwendig. Trotzdem gibt es hier einiges zu beachten:

Voraussetzungen für das Testen von OneDrive Gruppenrichtlinien

Windows 10/11 Pro oder höher.
Die Gruppenrichtlinien laufen nicht unter Windows X Home. Sie benötigen also Windows X Pro.

Als Werkzeuge benötigen Sie den lokalen Gruppenrichtlinien Editor und für die Verteilung einen USB-Stick und den Registrierungs-Editor, sowie Notepad als Editor. Also alles Bordmittel von Windows 10/11 Pro oder höher.

So mancher Administrator wird sich fragen, warum ich die eine oder andere OneDrive Gruppenrichtlinie bei einer Handvoll Mitarbeitern einsetzen sollte. Hier sei als Beispiel genannt, dass man zwar eine Anweisung geben kann, Dateien auf Abruf zu verwenden, die aber dann vielleicht von Mitarbeitern ignoriert wird. Mit einer Gruppenrichtlinie kann man dies aber erzwingen, und der Mitarbeiter kann diese Einstellung nicht ändern. Manche Gruppenrichtlinien machen wirklich Sinn und das ist genau der Grund, warum ich diesen Artikel geschrieben habe.

Wo kann ich die Gruppenrichtlinien für OneDrive finden?

Fast alle Gruppenrichtlinien für Windows kann man bei Microsoft herunterladen. Nicht jedoch die OneDrive Gruppenrichtlinien. Die werden nämlich bei jeder Installation von OneDrive, bzw. bei jedem Update des Sync-Clients automatisch mitgeliefert. Das sind auch nur achtzehn Dateien mit einer Gesamtgröße von 1,1 Mbyte, die bei dem komplette OneDrive Update von 277 Mbyte ja fast nichts ausmacht.

Wo finde ich unter Windows den OneDrive Sync Client?

Ich liebe meine nachstehende Antwort: Es kommt darauf an. Für Windows gibt es drei Versionen der OneDrive App.  Eine 32Bit Version, eine 64Bit Version und eine Version für ARM-Prozessoren. Bei der Installation von Windows kommt es also darauf an, was für ein Prozessor ich im Device habe; und es wird für Windows das richtige Setup mitgeliefert. Natürlich kann auch ein anderes (neueres) Setup durch die Administration bei der Imageerstellung vorgenommen werden.

Das bedeutet also, dass wir bei einem beliebigen Gerät mit installiertem OneDrive einen Blick in die Tiefen des Betriebssystems wagen können.

In den Anfängen des OneDrive Sync Clients wurden das Programm selbst, die Konfiguration als auch die Logs im Benutzerverzeichnis gespeichert:

C:\Users\[User]\Appdata\local\Microsoft\OneDrive\

Am Anfang war dies ein 32 Bit Programm und die entsprechenden DLLs ebenso. Erst mit der Version 21.062.0328.0001 wurde am 4.8.2021 die Voransicht der 64 Bit Variante ausgeliefert.
Später wurde dann auf die etwas geschützte Version gesetzt, und die Programme finden sich in den jeweiligen Ordnern wie

C:\Program Files x86\Microsoft OneDrive\ für die 32 Bit Variante oder
C:\Program Files\Microsoft OneDrive\ für die 64 Bit Variante

Man spricht dann auch von einer Geräte Installation, die durchaus sinnvoll sein kann, wenn z.B. sich mehrere Benutzer ein Gerät teilen. Das reduziert das Volumen und die Zeit erheblich, denn es wird nur eine Installation installiert und nicht mehrere. Auch beim automatischen Update (ca. 274 MB) des Sync Clients gilt dies.

Nachstehende zwei Tabellen beschreiben wo die OneDrive Programme und die Konfiguration zu finden sind:

oder

Unter Programme (32Bit / 64 Bit)
Die Programme selbst	Programme und DLLs Logo Images Updater Update Files OneDrive.exe als auch Gruppenrichtlinien
Die Konfiguration im Benutzerverzeichnis	Logs Settings Setup

Wenn wir im Explorer sehen, wo die Programme liegen, dann ist es nicht mehr weit zu den Gruppenrichtlinien. Ein Doppelklick auf die derzeitige installierte Version des OneDrive Clients, öffnet eine große Bibliothek von 916 Dateien in 150 Ordnern (274 MB). Und hinter dem obersten Verzeichnis „adm“ befinden sich die Gruppenrichtlinien.  

Gruppenrichtlinien bestehen aus zwei Komponenten

• eine Datei, die die Verarbeitung zu Windows enthält,
  (OneDrive.admx) (1),
• und eine Datei, die die Erklärung auflistet (OneDrive.adml) (2).

Wir finden die Erklärungen zu den OneDrive Gruppenrichtlinien in siebzehn Sprachen (3). Je nach Installation und den hinzugefügten Sprachen müssen wir also für jede Sprache eine, oder mehrere adml Dateien bearbeiten. Ich selbst habe bei mir immer die englische und die deutsche Sprache in Windows implementiert.

Kopieraktion

Damit eine Gruppenrichtlinie ausführbar ist, müssen die admx und adml Dateien in den Windows Ordner C:\Windows\PolicyDefinitions kopiert werden. Dafür brauchen Sie auch die Admin-Rechte auf dem Gerät, wo Sie es ausprobieren wollen. Bei mittleren und großen Firmen wird das Ausrollen von einem zentralen Store aus mit Programmen wie Microsoft Intune durchgeführt, hier ist es eine lokale Installation.

Die OneDrive.admx (1) muss in den Ordner Policy-Definitions(4) kopiert werden. Sollte eine gleichnamige Datei bereits vorhanden sein, muss diese überschrieben werden.

Die englischsprachige OneDrive.adml (2) muss in den Ordner (en-US) unterhalb des Ordners Policy-Definitions (5) kopiert werden. Sollte eine gleichnamige Datei bereits vorhanden sein, muss diese überschrieben werden.

Mit den länderspezifischen Varianten (hier deutsch) muss ebenso verfahren werden. Die deutschsprachige OneDrive.adml im Ordner de (3) muss in den deutschsprachigen Ordner (de-DE) unterhalb des Ordners Policy-Definitions (6) kopiert werden. Sollte eine gleichnamige Datei bereits vorhanden sein, muss diese überschrieben werden.

Die Kopieraktion in Tabellenform:

Datei von Ordner adm	Zielpfad
OneDrive.amdx	(4) C:\Windows\PolicyDefinitions\
OneDrive.adml	(5) C:\Windows\PolicyDefinitions\en-US\
Optional andere Sprache hier Deutsch
de\OneDrive.adml	(5) C:\Windows\PolicyDefinitions\de-DE\

lokaler Gruppenrichtlinien Editor

Danach können wir den lokalen Gruppenrichtlinien Editor starten. Tippen Sie dazu im Suchfenster „Gruppenrichtlinie bearbeiten“ und starten Sie das Programm in der Systemsteuerung:

Gruppenrichtlinien wirken entweder für das jeweilige Gerät (1) und/oder für den jeweiligen Benutzer (3). Es gibt also zwei Bereiche (1+3), wo diese OneDrive Gruppenrichtlinien angezeigt werden können.

Grundlagen der Wirkungsweise einer Gruppenrichtlinie
Eine Gruppenrichtlinie hat drei Zustände:

• Nicht konfiguriert
• Aktiviert
• Deaktiviert

Manche Gruppenrichtlinien müssen nicht konfiguriert werden, sie haben eine Default Einstellung. Wird eine Gruppenrichtlinie aktiviert, muss zuvor exakt auf die Bedeutung des Namens geachtet werden, weil manche Gruppenrichtlinien etwas verbieten, manche etwas erlauben. In der Abbildung finden wir einige Gruppenrichtlinien mit dem Status „Enabled“, viele mit dem Status „Nicht konfiguriert“.  Zum Aktivieren/ Deaktivieren einer Gruppenrichtlinie markieren Sie die Gruppenrichtline und führen einen Doppelklick aus.

Der Name wird unter (1) angezeigt, der Status unter (2), und die Beschreibung unter (3).
Hinweis:
Dieser Artikel befasst sich mit den Grundlagen von Gruppenrichtlinien, nicht jedoch mit den einzelnen OneDrive Gruppenrichtlinien. Diese werden in anderen Artikeln beschrieben.

Testen der aktivierten/deaktivierten Gruppenrichtlinien

Wenn Sie sich entschlossen haben, OneDrive Gruppenrichtlinien einzusetzen und danach auszurollen, ist dieses eigentlich der wichtigste Teil.  Das Testen.

Viele OneDrive Gruppenrichtlinien sind sofort aktiv, manche erfordern einen Reboot, andere wirken je nach Einstellung verzögert. Es ist wichtig, das Ergebnis zu protokollieren (Screenshots), weil Anwender sich sonst über die Änderungen wundern, wenn diese nicht an sie kommuniziert werden.

Windows Registry

Wo werden die Einstellungen der Gruppenrichtlinien gespeichert?

Wenn also eine Gruppenrichtlinie aktiv ist, dann stellt sich die Frage, wo diese Zustände gespeichert werden? Die Antwort ist recht einfach. In der Windows Registry eines jeden Windows Gerätes.

Die Registry ist die Datenbank, die Windows braucht, um richtig zu funktionieren. Nicht nur die unterschiedlichen Treiber für das jeweilige Gerät, auch alle installierten Programme oder Apps, wie wir heute sagen, finden sich in hier, auch alle Gruppenrichtlinien, nicht nur die von OneDrive finden sich hier. Deshalb hier eine Warnung:

Unbeabsichtigte Änderungen an der Registry-Datenbank können dazu führen, dass Ihr Gerät nicht mehr startet. Also Vorsicht mit der der Manipulation der Registry.

Warum brauchen wir für unser Scenario die Registry?

Ein Teil-Export der mit den Gruppenrichtlinien erzeugten Daten kann mit dem Registry-Editor exportiert werden, und auf einem anderen Gerät wieder importiert werden. Der Aufwand lohnt sich also nur, wenn es sich um wenige Geräte handelt. Wenn Sie also Intune oder ein ähnliches Programm benutzen, welches dann die dort eingestellten Gruppenrichtlinien verteilen, können sie die Informationen zur Registry überspringen.

Die Registry hat fünf verschiedene Zweige

HKEY_CLASSES_ROOT
HKEY_CURRENT_USER –> HKCU
HKEY_LOCAL_MACHINE –> HKLM
HKEY_USERS
HKEY_CURRENT_CONFIG

Die Beschreibungen der Gruppenrichtlinien auf Learn.Microsoft.Com zeigt Ihnen, wo die OneDrive Gruppenrichtlinien in der Registry abgespeichert werden.

Exkursion zu der tabellarischen Auflistung der OneDrive Gruppenrichtlinien sortiert nach STRING_ID

Als ich mich für die Gruppenrichtlinien interessierte, habe ich natürlich diese Seite gefunden. Ich habe mir die deutsche Beschreibung angeschaut. Und mit dem deutschen Gruppenrichtlinien-Editor verglichen. Und keine, wirklich keine Gruppenrichtlinie hat gepasst. Was den Namen angeht.

Warum?
Wenn Sie die Microsoft Produktgruppe OneDrive in Redmond überlegt hat, wie man bei einer Funktion das Leben der Administratoren einfacher machen kann, dann reden die Personen mit der Produktgruppe Windows. Wenn also genau beschrieben ist, was ein Schalter bewirken soll, wird das in Windows umgesetzt.  Ein Programmierer gibt der neuen Gruppenrichtlinie einen Namen. (Und deshalb sind manche Namen auch so kryptisch). Und da wir ja verschiedene Sprachen in Windows haben, wird dieser Name und die Beschreibung dann vom Team Windows in die verschiedenen Sprachen übersetzt.  Auf der anderen Seite schreiben die Personen der OneDrive Produktgruppe die Funktionalität mit den Technical Writers in Lean.Microsoft.com == Github nieder. Bis zu diesem Zeitpunkt passte das alles noch. Dann aber wurde diese Seite von dem Team der Technical Writers mit einem automatischen Programm übersetzt. Wir hatten also eine englischsprachige Version, die korrekt war, aber sechzehn automatische Versionen, die überhaupt nicht gepasst haben. Unterschiedliche Teams, unterschiedliche Programme. Unterschiedliche Übersetzungen. Und das Chaos war perfekt. Ich habe dann überlegt welche Gemeinsamkeiten es gibt. Es existiert ja nur eine binäre Datei (admx), aber verschiedene übersetzte Dateien, und das einzige gemeinsame Element dieser XLM Dateien ist die String ID.

Und das nächste Bild zeigt die deutsche Darstellung:

Microsoft hat dann diese Idee aufgegriffen und die heute Seite passt für alle Sprachen. Leider sind inzwischen viele Fehler auf dieser Seite, es fehlen Gruppenrichtlinien, aber man hat mir versichert, dass es ein Update geben wird.
Noch einmal eine Ergänzung zu Abkürzungen auf der Microsoft Seite:
HKCU sind all die Einstellungen, die für den Benutzer gelten, während HKLM sich auf das Gerät beziehen.

Zurück zur Registry. Wir öffnen Den Registry-Editor indem wir in das Suchfeld „Registrierungs-Editor“ eingeben und dann den Registrierungs-Editor öffnen.

Die Linke Seite zeigt die Struktur, und kann sich manuell dorthin bewegen, oder aber die nachfolgende Zeile oben eintragen und mit Return abschließen:
Computer\HKEY_CURRENT_USER\Software\Policies\Microsoft\OneDrive
Wechseln Sie dann zu Datei  – Exportieren und speichern Sie den Zweig ab:
OD Current User.reg

Dateien mit der Endung .reg sind simple Textdateien und können mit Notepad geöffnet werden:

und jetzt wechseln wir in den Maschinen Zweig:

Navigieren Sie zu
Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\OneDrive
Wechseln Sie dann zu Datei – Exportieren und speichern Sie den Zweig ab:
OD Local machine.reg

Zusammenfassen beider exportierten Reg-Dateien

Wir können beide Dateien zusammenfassen, damit sparen wir später Zeit beim Import. Dazu kopieren sie von (1) den Header, und dann die Inhalte von (2) und (3) und speichern dies ab: OD User AND Local Machine.reg

Diese Datei speichern Sie auf einem Memory stick, auf einem Netzwerk Laufwerk, sofern vorhanden, in OneDrive for Business oder einer Dokumentenbibliothek auf SharePoint, bei der  alle anderen Benutzer ebenfalls Zugriff haben.

Ausrollen für kleine Firmen

Dies ist nur für kleine Firmen geeignet. Denn jetzt müssen Sie sich als lokaler Administrator an jedem Gerät einloggen, und den Registry Editor aufrufen und importieren Sie die obige Datei „OD User AND Local Machine.reg“.  Dann noch ein Reboot, weil das einige Gruppenrichtlinien benötigen. Fertig. Dann geht’s zum nächsten Computer.

Zusammenfassung

Es gibt noch andere Einstellungen in der Windows Registry für OneDrive Gruppenrichtlinien. Diese werde ich den folgenden Artikeln zu bestimmten OneDrive Gruppenrichtlinien hier dann beschreiben. Wenn Sie jedoch das Deployment mit Intune oder anderen Werkzeugen bereitstellen, können sie, wie schon am Anfang erwähnt, die Informationen mit der Registry vergessen.

Als Administrator sollten sie jedoch einen separaten Rechner benutzen und vorab die Gruppenrichtlinien zum Testen auf diesem Rechner lokal testen, bevor Sie diese Gruppenrichtlinien implementieren.  Wechseln Sie dazu auch noch in den OneDrive Insider Ring, dann bleibt ihnen mehr Zeit zum Testen und implementieren, denn dieser Ring ist nicht für die Produktion geeignet.

Sie arbeiten lieber mit englischsprachigen Gruppenrichtlinien? Dieser Blog Post steht auch in englisch zur Verfügung, siehe Links.

Werkzeuge die wir benötigen
Gruppenrichtlinien-Editor
Registry-Editor

Links

• Verwenden von OneDrive Richtlinien zur Steuerung von Synchronisierungseinstellungen
• Die englischsprachige Ausgabe dieses Blog Posts