Установка и обновление административных шаблонов групповых политик (ADMX)

Административные шаблоны групповых политик содержат настройки, с помощью которых администратор может удобно конфигурировать различные параметры Windows, компонентов и сторонних приложений. В этой статье мы рассмотрим, как установить новые административные шаблоны на отдельном компьютере/в домене Active Directory, или выполнить обновление версий уже имеющихся ADMX файлов шаблонов.

Общие сведения об административных шаблонах GPO

Административные шаблоны GPO (ADMX файлы) – это конфигурационные файлы в XML формате, содержащие шаблоны настроек для редактора групповых политик. В ADMX файлах содержатся определения различных настроек, в которых описано какие параметры можно настроить, и их допустимые значения. По сути, в ADMX шаблонах определяются, какие изменения нужно внести в реестр Windows для применения различных настроек.

• Политики конфигурации компьютера вносят изменения в разделы HKLM\Software\Policies и HKLM\Software\Microsoft\WindowsCurrentVersion\Policies
• Политики конфигурации пользователя в HKCU\Software\Policies и HKCU\Software\Microsoft\Windows\CurrentVersion\Policies

Встроенные административные шаблоны доступны на любом компьютере Windows и хранятся в каталоге C:\Windows\PolicyDefinitions . Например:

• Файл Windows Defender.admx — содержит настройки для управления встроенным антивирусом Windows.
• TerminalServer.admx – настройки для службы Remote Desktop Services (настройки лицензирования RDS, таймауты RDP сессий и т.д.)

Сторонние разработчики и администраторы могут создавать собственные ADMX шаблоны для своих программ. Для мультиязычной поддержки в ADMX шаблонов дополнительно можно использовать ADML файлы.

ADMX-шаблоны фактически служат интерфейсом, который упрощает процесс изменения реестра через групповые политики, делая управление настройками удобным и централизованным для администраторов.

Обновление ADMX шаблонов GPO при обновлении версии Windows

При выходе новых версий Windows, в которых появляются новый функционал, разработчики могут добавлять новые настройки в ADMX шаблоны групповых политик. Чтобы в редакторе GPO появились новые настройки, файлы административных политик нужно обновить на более новые версии. Например, если у вас на контроллерах домена установлен Windows Server 2019, то чтобы через доменные групповые политики управлять новыми настройками на компьютерах с Windows 11 24H2 (например, после обновления билда), придется обновить admx файлы на контроллере домена.

Рассмотрим, как обновить административные шаблоны GPO на контроллерах домена до последней доступной версии Windows.

1. Список ссылок на загрузку административных шаблонов для всех поддерживаемых версий Windows доступен здесь https://docs.microsoft.com/en-us/troubleshoot/windows-client/group-policy/create-and-manage-central-store
2. Найдите в списке максимальный билд Windows, который используется в вашем домене (в нашем примере это Windows 11 2024 Update 24H2)
3. Перейдите по ссылке и скачайте MSI установщик GPO. Установите Administrative Templates (.admx) for Windows 11 Sep 2024 Update.msi на любом компьютере в домене (не нужно устанавливать его на DC)
4. Теперь скопируйте содержимое каталога C:\Program Files (x86)\Microsoft Group Policy\Windows 11 Sep 2024 Update (24H2)\PolicyDefinitions в центральное хранилище GPO (его нужно создавать отдельно) на контроллере домена (каталог \\winitpro.ru\SYSVOL\winitpro.ru\Policies\PolicyDefinitions) с заменой (!) файлов.

5. Новые файлы ADMX шаблонов в каталоге SYSVOL будут автоматически реплицированы на другие DC в домене.
6. Теперь запустите доменный редактор Group Policy Management Console (gpmc.msc), создайте новую пустую GPO и попробуйте отредактировать ее. Разверните секцию Administrative Templates. Убедитесь, что шаблоны развернулись без ошибки и здесь присутствует надпись Policy definitions (ADMX files) retrived from the central store .
7. Теперь можете настраивать новые параметры групповых политик и применять их к целевым компьютерам.

Установка новых ADMX шаблонов политик

Аналогичным образом вы можете установить административные шаблоны для других приложений (в том числе сторонних). Например, вы хотите установить административный шаблоны GPO для управления настройками браузера Microsoft Edge.

1. Перейдите на страницу Microsoft Edge for business (https://www.microsoft.com/en-us/edge/business/download);
2. Выберите версию, билд и платформу Edge. Нажмите кнопку Get Policy Files;
3. Распакуйте содержимое файла MicrosoftEdgePolicyTemplates.cab
4. Перейдите в каталог \MicrosoftEdgePolicyTemplates\windows\admx . Cкопируйте файлы msedge.admx, msedgeupdate.admx, msedgewebview2.admx и каталоги с языковыми пакетами (например, ru-RU и en-US) в центральное хранилище политик на контроллере домена ( \\winitpro.ru\SYSVOL\winitpro.ru\Policies\PolicyDefinitions );
5. Откройте консоль редактора GPO и проверьте, что в нем появились новые разделы политик для настройки параметров браузера Microsoft Edge.

Примеры установки и использования различных ADMX шаблонов GPO:

• Административные шаблоны GPO для программ из пакета Microsoft Office (Word, Excel. Outlook и т.д.
• ADMX шаблоны для Google Chrome
• Шаблоны политик для управления локальными паролями LAPS
• Шаблоны GPO для внедрения рекомендованных настроек безопасности Windows (Microsoft Security Baseline)

Если у вас в компании используется несколько версий ПО, которыми вы хотите управлять через GPO, последовательно загрузите и установите на DC все admx для всех версий, начиная с самой старой (admx шаблоны для актуальной версии софта нужно устанавливать в последнюю очередь).

При открытии Административных шаблонов в редакторе GPO могут появляться ошибки вида:

• Не удается найти ресурс XXX, на который ссылается атрибут YYY. Файл \\path\yyy.admx

• An appropriate resource file could not be found for file yyy.admx. The system cannot find the file specified.

  

• Ошибка при сборе данных для Административные шаблоны. Пространство имен XXX уже определено как целевое пространство имен для другого файла в хранилище

• Namespace Microsoft.Policies.Sensors.WindowsLocationProvider is already defined as the target namespace for another file in the store.

Во всех этих случаях убедитесь, что вы используете последнею версию ADMX файла, на который указывается в ошибке. Проверьте что файл существует, не поврежден, на него даны корректные NTFS права, наличие соответствующего ADML файла в папке EN-US и (опционально) в RU-RU (если у вас используется русская редакция Windows). Замените файл более свежей версией.