Как остановить людей от изменения ваших обоев для рабочего стола windows 10

Доменные службы Active Directory

Доменные службы Active Directory (AD DS) предоставляют сведения о домене и лесе таким образом, чтобы пользователи клиента могли входить на рабочие столы и в приложения для выполнения своих рабочих нагрузок. Они также позволяют настроить или подключить необходимые общие папки и базы данных, которые могут потребоваться для приложений Windows.

Отношение доверия с лесом управления поставщика для леса клиента не требуется. Можно настроить учетную запись администратора домена в домене клиента, чтобы дать техническим специалистам поставщика возможность выполнения административных задач в среде клиента (например, мониторинга состояния системы и установки обновлений программного обеспечения) и помощи в устранении неполадок и настройке.

Существует несколько способов развертывания AD DS.

Включение доменных служб Azure Active Directory в виртуальной сетевой среде клиента. Это приведет к созданию управляемого экземпляра AD DS для клиента на основе пользователей и групп, которые существуют в Azure AD.
Настройка изолированного сервера AD DS в виртуальной сетевой среде клиента. Это обеспечивает полный контроль над экземпляром AD DS, работающим на виртуальных машинах.
Создание VPN-подключения типа «сеть — сеть» к серверу AD DS, расположенному в локальной среде клиента. Это позволяет клиенту подключить свой существующий экземпляр AD DS, устранив дублирование пользователей, групп, подразделений и т. д.

См. сведения в следующих статьях:

Документация по доменным службам Active Directory
Руководство по эталонной архитектуре размещения рабочих столов для Windows Server 2012 R2
Создание подключения «сеть — сеть» на портале Azure

Настраиваем блокировку компьютера при простое через screen saver с помощью Group Policy Preferences

User Configuration > Policies > Administrative Templates > Control Panel > Personalization

Вот типичный возможный пример таких настроек:

В данном примере включено обязательный запуск конкретного файла экранной заставки (scrnsave.scr) при простое более 15 минут с требованием ввода пароля пользователя при попытке последующего доступа к рабочему столу.

В системе, где применены данные параметры GPO, все настройки экранной заставки для пользователя становятся недоступными для изменений.

На практике встречается ситуация, когда за компьютером работает сменный суточный персонал, которому постоянно необходимо в режиме наблюдения видеть рабочий стол компьютера. При этом такой персонал может даже иметь несколько рабочих столов компьютеров, за которыми требуется наблюдение и не требуется интерактивное взаимодействие с клиентской ОС. Для такого рода пользователей нужен несколько иной подход с точки зрения автоматической блокировки компьютеров при простое.

Для обеспечения настроек экранной заставки для сменного персонала и для всех остальных пользователей мы можем создать две отдельные групповые политики – одна с обязательным срабатыванием экранной заставки, другая — без него. Но с использованием механизмов настройки реестра с помощью Group Policy Preferences (GPP) мы сможем гибко объединить эти настройки внутри одной групповой политики.

Для того, чтобы задействовать механизмы GPP для данной задачи, мы воспользуемся параметрами реестра, которые изменяются стандартными Административными шаблонами, указанными нами ранее. Сопоставим указанные ранее параметры GPO с ключами реестра которые они изменяют в клиентской системе:

Значение «900» означает количество секунд от момента начала бездействия до срабатывания экранной заставки (15 минут простоя)

Эксперименты с применением этой политики показали, что ключ реестра ScreenSaveActive добавляется лишь на системах Windows XP, а после отключения этой политики, он из реестра корректно не удаляется. Опытным путём удалось выяснить, что отсутствие этого ключа не вносит никаких изменений, поэтому будем рассматривать его как рудиментарный элемент и исключим из наших настроек GPP.

Итак, в групповой политике, действующей на наших пользователей, переведём три перечисленных параметра в состояние Not configured (если они ранее были настроены), а в разделе политики User Configuration > Preferences > Windows Settings > Registry создадим логическую группу, в которой будут храниться наши настройки, например ScreenSaver .

Внутри этой группы создадим две подгруппы настроек — Enabled и Disabled , в которых соответственно будут хранится настройки для включения и отключения форсированного применения экранной заставки

В нашем примере важно, чтобы параметры включения обрабатывались перед параметрами отключения

В группе Enabled создадим три правила для создания/обновления ранее перечисленных ключей пользовательского реестра. Нацеливание (Item-level targeting) для этой группы использовать не будем, то есть эти параметры реестра будут применяться для всех пользователей.

В группе Disabled создадим три правила для удаления этих же ключей реестра. Группа Disabled будет иметь нацеливание на специально созданную доменную группу безопасности, в которую будут включены все пользователи, для которых нужно отключить форсированное применение экранной заставки.

Таким образом, логика обработки параметров реестра будет заключаться в обязательном включении экранной заставки для всех пользователей за исключением тех, кто включён в специальную группу безопасности. То есть при включении какого-либо пользователя в данную группу, из его пользовательского реестра будут удаляться ключи форсированной настройки экранной заставки, и он самостоятельно сможет, например, отключить её вовсе, так как в ОС диалоговые элементы пользовательского интерфейса станут доступными.

Файловый сервер

Файловый сервер использует протокол Server Message Block (SMB) 3.0 для поддержки общих папок. Эти общие папки позволяют создать и сохранить файлы диска профиля пользователя (.vhdx) для резервного копирования данных и дают пользователям возможность обмениваться данными друг с другом в пределах клиента облачной службы.

Виртуальная машина, на которой развертывается файловый сервер, должен иметь подключенный диск данных Azure и настроенные общие папки. Диски данных Azure используют кэширование со сквозной записью, гарантируя, что операции записи на диск не удаляются при перезапуске виртуальной машины.

Маленькие клиенты могут снизить затраты путем объединения файлового сервера и роли лицензирования удаленных рабочих столов на одной виртуальной машине в своей среде клиента.

См. сведения в следующих статьях:

Хранилище в Windows Server
Как подключить управляемый диск данных к виртуальной машине Windows на портале Azure

1. Как отключить синхронизацию тем с учетными записями Microsoft в Windows 10, 8, 7

В этом случае перед использованием редактора реестра и редактора групповой политики мы должны выполнить следующий шаг из меню «Конфигурация».

Шаг 1 Заходим в меню «Пуск» и там выбираем опцию «Конфигурация», во всплывающем окне мы переходим к опции «Учетные записи» и выбираем строку «Синхронизировать конфигурацию». Если пользователь активировал логин с помощью своей учетной записи Microsoft, эти опции будут включены, и нам нужно будет деактивировать опцию Theme.

Таким образом мы предотвратим изменение тем в Windows 10 кем-либо, кроме нас.

примечание

Если пользователь не входит в свою учетную запись Microsoft, мы можем удалить этот шаг.

Теперь мы увидим, как использовать редактор записей и редактор групповой политики, чтобы избежать модификации рабочего стола.

Настройка фона рабочего стола через реестр и GPO

Вы можете задать параметры и файл фонового рисунка рабочего стола через реестра. Путь к файлу обоев хранится в строковом (REG_SZ) параметре реестра Wallpaper в ветке HKEY_CURRENT_USERControl PanelDesktop или HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem. В этом параметре нужно указать UNC путь к вашей картинке.

В этой же ветке реестра параметром WallpaperStyle (REG_SZ) задается положение изображения на рабочем столе. Для растягивания изображения используется значение 2.

Если вы хотите запретить пользователям менять фон рабочего стола, создайте в ветке реестра HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionPoliciesActiveDesktop параметр «NoChangingWallPaper»=dword:00000001

Эти настройки реестра можно распространить на компьютеры пользователей через расширение GPO — Group Policy Preferences. Для этого перейдите в раздел User Configuration -> Preferences -> Windows Settings и создайте два параметра реестра с режимом Up.

С помощью Group Policy Preferences Item level Targeting вы можете более точно назначить политику обоев на клиентов. Например, в свойствах параметра реестра в политике на вкладке Common включите Item level Targeting, нажмите кнопку Targeting и с помощью простого мастера укажите, что данные настройки политики фонового рисунка должны применяться только к компьютерам с Windows 10 и пользователям из определённой группы безопасности AD.

Аналогичным образом вы можете сделать несколько разных файлов обоев для разных групп пользователей (или устройств). Добавив нужных пользователей в группы доступа вы можете задать различный фоновый рисунок рабочего стола для разных категорий сотрудников.

Дополнительно вы можете изменить картинку на экране входа в систему. Для этого можно использовать политику Force a specific default lock screen image в разделе GPO Computer Configuration -> Policies -> Administrative Templates -> Control Panel -> Personalization или через следующие параметры реестра:

HKLMSoftwarePoliciesMicrosoftWindowsPersonalization — LockScreenImage — путь к jpg изображению на экране блокировки;
HKLMSoftwarePoliciesMicrosoftWindowsPersonalization — LockScreenOverlaysDisabled = 1;
HKLMSoftwarePoliciesMicrosoftWindowsSystem — DisableLogonBackgroundImage = 0.

Создание шаблона виртуального рабочего стола

Откройте диспетчер MultiPoint и выберите вкладку Виртуальные рабочие столы.
В разделе Задачи VDI нажмите кнопку Создать виртуальный рабочий стол и найдите ISO-файл или виртуальный жесткий диск Windows 10 Корпоративная.

Если используется DVD-привод, программа автоматически найдет WIM-файл операционной системы Windows 10 Корпоративная. Если этого не произошло, нажмите кнопку Обзор и найдите ISO-файл или виртуальный жесткий диск Windows 10 Корпоративная.

При необходимости можно изменить префикс. По умолчанию в качестве префикса добавляется имя главного компьютера.

Примечание

Префикс используется для именования шаблона и станций виртуальных рабочих столов. Шаблон получает имя с префиксом -t. Станции виртуальных рабочих столов получают имена с префиксами -n, где n — это идентификатор станции.
Введите имя и пароль для учетной записи локального администратора, которая будет использоваться для входа на все рабочие столы виртуальных станций, созданные на основе этого шаблона, и нажмите кнопку ОК.

Создание шаблона занимает несколько минут.

Затем вам потребуется узнать о том, как настроить шаблон виртуального рабочего стола.

Примечание

Если сервер MultiPoint входит в домен, в окне появляется дополнительное поле, позволяющее указать, нужно ли присоединять к домену виртуальные машины, созданные на основе этого шаблона.

Поиск параметра, отвечающего за время ожидания до отключения экрана блокировки

Process MonitorSYSTEMCurrentControlSet\ControlPowerPowerSettingsPowerSettingsDescription«Экран»«Video and Display power management settings and configurations»7516b95f-f776-4464-8c53-06167f40cc99экранаDescription17aaa29b-8b43-4b94-aafe-35f64daaf1ee«Гасить экран после»«Specify how long your computer is inactive before your display dims»«Укажите, как долго у неактивного компьютера не будет гаситься экран»AttributesAttributesРис. 2. Требуемый раздел системного реестра8EC4B3A5-6868-48c2-BE75-4F3044BE88A7Attributes «Время ожидания до отключения экрана блокировки консоли»Рис. 3. Диалоговое окно дополнительных параметров электропитания с новым параметромHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power\PowerSettings\7516b95f-f776-4464-8c53-06167f40cc99\8EC4B3A5-6868-48c2-BE75-4F3044BE88A7AttributesHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power\User\PowerSchemes«Сбалансированный»381b4222-f694-41f0-9685-ff5bb260df2e7516b95f-f776-4464-8c53-06167f40cc99\8EC4B3A5-6868-48c2-BE75-4F3044BE88A7«Гасить экран после»ACSettingIndexDCSettingIndexDCSettingIndexACSettingIndex

Настройка скринсейвера в виде слайдшоу с помощью GPO

У руководства возникла идея установить на всех ПК организации одинаковый скринсейвер (экранную заставку), представляющий собой слайд-шоу с изображениями. В качестве изображений планируется использование картинок, выполненных в корпоративном стиле компании, на которых указываются основные правила информационной безопасности, полезные советы для пользователей и другая справочная информация. В результате, у меня получилось решение распространения файлов с картинками и управления экранной заставкой с помощью возможностей GPO (групповых политик).

Сразу отмечу, что в компании в качестве клиентских ОС используются все поддерживаемые версии Windows: Windows 7, Windows 8.1 и Windows 10, поэтому решение по управлению корпоративной заставкой должно быть универсальным и работать на любой версии ОС.

Первоначально рассматривался вариант по созданию собственного скринсейвера в формате *.scr, но такая методика требует дополнительного софта и не достаточно гибка и проста в управлении.

В ОС Windows, начиная с Windows 7 на экране блокировки в качестве скринсейвера можно отображать слайд шоу из изображений в указанной папке, но управлять этими настройками с помощью GPO нельзя. Пришлось искать обходное решение.

Подготовка конфигурации BGInfo

Распакуйте архив с утилитой и запустите файл Bginfo.exe. Подтвердите запуск нажатием кнопки «Agree»

У вас откроется окно редактора BGInfo. По умолчанию в файле конфигурации будут прописаны все доступные параметры:

Boot Time: — Время загрузки системы CPU: — Информация, о процессоре, ядрах, частоте Default Gateway: — Шлюз по умолчанию DHCP Server: — Адрес DHCP сервера DNS Server: — Адреса DNS серверов Free Space: — Информация, о свободном пространстве на дисках Host Name: — Имя компьютера или сервера IE Version: — Версия Internet Explorer IP Address: — IP-адрес Logon Domain: — Имя домена Logon Server: — Имя контроллера домена, кто авторизовал MAC Address: — MAC адрес в системе Machine Domain: — Имя домена Active Directory Memory: — Информация об ОЗУ Network Card: — Сетевые карты Network Speed: — Скорость сетевых карт Network Type: — Тип сетевого адаптера (Удобно видеть например, типы сетевых карт у виртуальных машин ESXI, чтобы вычислять устарелые E1000) OS Version: — Версия операционной системы Service Pack: — Версия сервис пака Snapshot Time: — Время входа Subnet Mask: — Маска сети System Type: — Тип системы, тут будут перечислены роли User Name: — Имя пользователя Volumes: — Дисковые разделы

Далее вы сами определяете, что за информация у вас должна быть в данной форме

Обращаю ваше внимание, что вы можете:

Удалять любые записи
Менять шрифт, его размер
Производить форматирование текста
Повторно добавлять нужные поля из правого столбца

Используйте кнопку Custom, чтобы добавить специальную информацию, которую вы определяете сами. Вы сможете создавать пользовательские поля, которые отображают специальные данные, которые обычно недоступны, включая извлечение данных из реестра, переменных сред, WMI, файлов или даже сценария VB сценариев. Расширяя BGInfo таким образом, вы можете заставить его отображать абсолютно все, что вы хотели бы видеть на рабочем столе.

Например, если вы хотите получить номер сборки Windows для использования в качестве точки данных на рабочем столе, щелкните значение «Реестр», а затем вставьте полный путь к разделу реестра в поле «Путь». (Если вы работаете в 64-битной Windows, вам нужно установить флажок в представлении 64-битного реестра, или ваш поиск будет перенаправлен в 32-битный раздел совместимости реестра.) Затем идентификатор появится в списке полей, и вы сможете выбрать его для вставки в редактор форматированного текста.

Для WMI вы можете просмотреть все миллионы фрагментов данных и выбрать один для отображения. Это будет работать так же, как значение реестра — вы дадите ему имя, а затем добавите это имя в редактор форматированного текста из списка полей. Например, я хочу, чтобы выводилась информация из WMI, о типе памяти (Формфакторе). Для этого выберите «WMI Query» и нажмите «Browse», после чего в новом окне составьте нужный вам запрос, у меня это SELECT FormFactor FROM Win32_PhysicalMemory, видим сразу результат 8, это означает, что у меня тип памяти стационарного компьютера или сервера, но ни как не ноутбука, у которого значение 12.

Также в Custom полях вы можете запускать VBS скрипты и извлекать информацию из текстовых файлов. В итоге моя конфигурация выглядит вот так:

Имя Вашего компьютера: Ваш IP адрес:

Имя пользователя: \

Параметры системы Версия ОС: Версия IE:

Тип процессора: Размер оперативной памяти:

Размер диска: Свободное меcто на диске:

дата и время загрузки ПК:

Вопросы, связанные с компьютерами и ПО:

Вопросы, связанные с работой в 1С, Тесса:

Вопросы, связанные с работой CRM:

Административно-хозяйственные вопросы:

Внутренний номер: 12020

Создать ярлык на рабочих столах пользователей с помощью групповых политик

С помощью групповых политик вы можете создать ярлык на определенное приложение на рабочем столе всех (или только определенных) пользователей домена. GPO позволяют вам создать ярлык как на локально-установленное приложение, URL адрес, исполняемый файл в сетевой папке или на контроллере домена в NetLogon.

В этом примере мы покажем, как создать несколько ярлыков на рабочем столе пользователя с помощью предпочтений групповых политик (Group Policy Preferences — доступны начиная с Windows Server 2008R2). Аналогичным образом вы можете создать ярлыки в меню Пуск Windows 10 или панели быстрого доступа.

Откройте консоль управления Group Policy Management Console (gpmc.msc), щелкните ПКМ по контейнеру AD, к которому нужно применить политику создания ярлыка и создайте новую политику (объект GPO) с именем CreateShortcut;
Щелкните ПКМ по созданной политике и выберите «Edit»;
Перейдите в раздел предпочтений групповых политик (Group Policy Preferences) User Configuration -> Preferences -> Windows Settings -> Shortcuts. Щелкните по пункту и выберите New -> Shortcut;
Создайте новый ярлык со следующими настройками:Action: Up
Name: TCPViewShortcut (имя ярлыка)Target Type: File System Object (здесь также можно выбрать URL адрес или объект Shell)Location: Desktop
В этом примере мы поместим ярлык только на рабочий стол текущего пользователя. Здесь можно выбрать, что ярлык нужно поместить в меню Пуск (Start ), в автозагрузку (Startup), или на рабочий стол всех пользователей этого компьютера (All User Desktops)
Target Path: C:InstallTCPViewTcpview.exe (путь к файлу, на который нужно создать ярлык)
Icon file path: C:InstallTCPViewTcpview.exe (путь к иконке ярлыка)

Если вы выбрали, что ярлык нужно поместить на Рабочий стол текущего пользователя (Location = Desktop) , на вкладке «Common» нужно включить опцию «Run in logged-on user’s security context (user policy option)»;
Дополнительно с помощью Group Policy Targeting вы можете указать для какой доменной группы пользователей нужно создавать ярлык. Включите опцию «Item-level targeting», нажмите кнопку «Targeting». Выберите New Item -> Security Group и выберите доменную группу пользователей. В результате ярлык будет появляться только у пользователей, добавленных в указанную группу безопасности Active Directory;
Если нужно создать ярлык программы в Public профиле (для всех пользователей компьютера), выберите опцию Location = All User Desktop (опцию «Run in logged-on user’s security context» нужно отключить, т.к

у обычных пользователей нет прав для модификации Public профиля);
Сохраните изменения, обратите внимание, что в консоли GPO отображается переменные окружения для Desktop (%DesktopDir%) и %CommonDesktopDir% для All User Desktop;
Обновите политики на клиентах (gpup /force или логофф/логон).Если вы назначили GPO на Organizational Unit с компьютерами (не пользователями), нужно дополнительно включить опцию замыкания GPO. Установите Configure user Group Policy loopback processing mode = Merge в секции Computer Configuration -> Policies -> Administrative Templates -> System -> Group Policy;

После обновления политик на рабочем столе пользователя должен появится новый ярлык

В одной политике вы можете добавить несколько правил для создания ярлыков приложений для разных групп пользователей, компьютеров или OU (можно настроить различные критерии применения политики ярлыка с помощью GPP Item Level Targeting).

Добавим на рабочий стол всех пользователи ярлык LogOff, позволяющий быстро завершить сессию.

Создайте новый элемент политики с параметрами:

Групповая политика фона рабочего стола не применяется

Чтобы исправить ошибку, не применяющую групповую политику фона рабочего стола в Windows 10, выполните следующие действия:

Проверьте настройки редактора реестра
Проверьте путь к обоям и имя
Переименовать TranscodedWallpaper
Удалить содержимое slideshow.ini
Установите флажок Запретить изменение настроек фона рабочего стола.

Давайте подробно рассмотрим эти шаги.

1]Проверьте настройки редактора реестра.

Поскольку можно изменить фон рабочего стола с помощью редактора реестра, важно проверить настройки редактора реестра. Если вы установили что-то в файлах реестра и вводите что-то еще в редакторе локальной групповой политики, это может не работать из-за некоторых внутренних конфликтов

Для начала откройте редактор реестра на своем компьютере и перейдите по этому пути:

HKEY_CURRENT_USER ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ Microsoft Windows CurrentVersion Policies

Если вы найдете подключа с именем Система, откройте его и проверьте, есть ли два строковых значения с именем Обои на стену и ОбоиСтиль. Если это так, щелкните правой кнопкой мыши «Система» и выберите «Удалить».

После этого подтвердите удаление. Затем выполните те же действия, чтобы установить обои с помощью групповой политики.

2]Проверьте путь и имя обоев

Когда вы используете Обои для рабочего стола в редакторе локальной групповой политики, обязательно введите путь, определяющий обои. В дальнейшем его уже нельзя будет изменить. Если вы перемещаете файл обоев из одного места в другое, обязательно изменить соответствующий путь настройки групповой политики. Точно так же, если вы измените имя файла обоев, вы должны сделать то же самое. В противном случае вы увидите черный или пустой фон рабочего стола при следующем повторном входе в свою учетную запись.

Чтобы убедиться в этом, откройте путь, по которому вы сохранили свой файл. Затем откройте редактор локальной групповой политики и перейдите по этому пути:

Конфигурация пользователя> Административные шаблоны> Рабочий стол> Рабочий стол

Дважды щелкните на Обои для рабочего стола настройки и введите новый путь, прежде чем нажимать кнопку ОК.

3]Переименовать TranscodedWallpaper

Проще говоря, вы сбросили кэш обоев на своем компьютере с Windows 10. За это отвечают два файла, и один из них — TranscodedWallpaper. Поэтому нажмите Win + R, чтобы открыть приглашение «Выполнить», и введите следующий путь:

% USERPROFILE% AppData Roaming Microsoft Windows Themes

Здесь вы можете увидеть файл с именем TranscodedWallpaper. Щелкните его правой кнопкой мыши и выберите параметр «Переименовать».

Затем введите имя, например TranscodedWallpaperOld или что-нибудь еще.

4]Удалить содержимое slideshow.ini

Второй файл, отвечающий за кеширование обоев, — это slideshow.ini. Вы увидите этот файл в том же месте, что и TranscodedWallpaper. Поэтому откройте проводник и перейдите по этому пути —

C: Users имя пользователя AppData Roaming Microsoft Windows Themes

Перед этим не забудьте показать скрытые файлы и папки. После открытия Темы в папке вы увидите файл с именем slideshow.ini. Щелкните его правой кнопкой мыши и выберите кнопку «Изменить». Если вы видите что-либо в файле, выделите их все и удалите, прежде чем нажимать Ctrl + S для сохранения.

5]Установите флажок «Запретить изменение фона рабочего стола».

Допустим, вы никак не можете поменять обои в Windows 10. В этом случае необходимо проверить Запретить изменение фона рабочего стола параметр в групповой политике и аналогичное значение в редакторе реестра.

Для начала откройте редактор локальной групповой политики и перейдите по этому пути:

Конфигурация пользователя> Административные шаблоны> Панель управления> Персонализация

Дважды щелкните параметр Запретить изменение фона рабочего стола справа. Если он установлен на Включено, выберите вариант Не настроено и нажмите кнопку ОК.

Точно так же вы должны проверить, есть ли соответствующее значение в реестре или нет. Если да, это может вызвать ту же проблему. Для этого нажмите Win + R, введите regedit и нажмите Войти кнопка. Затем нажмите кнопку да в приглашении UAC, чтобы открыть редактор реестра на вашем компьютере. После этого перейдите по этому пути —

HKEY_LOCAL_MACHINE ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ Microsoft Windows CurrentVersion Policies

в Политики key, вы увидите подключа с именем ActiveDesktop. Если вы его видите, вы также найдете два DWORD (32-битных) значения, которые называются NoAddingComponents и NoComponents.