Een van de grootste uitdagingen voor een IT-beheerder in een bedrijf is om de toegang tot apparaten zoals USB , externe harde schijven^{(External Hard Drive)} en zelfs printers tot de apparaten van de organisatie te blokkeren. Om dit een beetje gemakkelijker te maken, heeft Microsoft de ^(Microsoft)functie Layered Group Policy^{(Layered Group Policy feature)} uitgerold die beheerders de mogelijkheid geeft om te verdelen welke apparaten op machines in de hele organisatie kunnen worden geïnstalleerd.

Wat is gelaagd groepsbeleid^{(Group Policy)} in Windows 11 ?

Dit groepsbeleid^{(Group Policy)} is bedoeld om ervoor te zorgen dat de machines minder corruptie krijgen, het aantal ondersteuningsgevallen daalt en het belangrijkste is om gegevensdiefstal te verminderen. Het beleid zorgt ervoor dat elke installatie wordt beperkt, dat wil zeggen dat het gebruik van apparaten zowel in de interne als externe omgeving wordt geblokkeerd. IT-beheerders kunnen ervoor kiezen om vooraf geautoriseerde apparaten te gebruiken/installeren.

Het script is hier beschikbaar^(Available) en zorgt ervoor dat niet alle klassen worden geblokkeerd:

Computer Configuration > System > Device Installation > Device Installation Restrictions

dit betekent dat als u ervoor kiest om het gebruik van het USB -apparaat te blokkeren, dit alleen wordt geblokkeerd. De nieuwe functie gaat een stap verder en lost het eerdere probleem op waarbij meerdere sets moeten worden gemaakt om conflicten te voorkomen. In plaats daarvan hebt u hiërarchische lagen Instance ID > Device ID > Class > Removable apparaateigenschap.

Gelaagd groepsbeleid^{(Layered Group Policy)} toepassen in Windows 11

Het eerste beleid dat u moet inschakelen is — Pas een gelaagde evaluatievolgorde toe voor het Toestaan ​​en Voorkomen van apparaatinstallatiebeleid voor alle apparaatovereenkomstcriteria^{(Apply layered order of evaluation for Allow and Prevent device installation policies across all device match criteria)} .

Als u klaar bent, is er een aanvullende set beleidsregels en moet u ervoor zorgen dat u de hiërarchische volgorde ( Apparaatinstantie- ID^(Device) 's IDs > Device IDs > Device> Removable apparaten) in gedachten houdt. Hier zijn het beleid met betrekking tot elk:

Apparaatinstantie-ID's

• ^(Prevent)Installatie van apparaten voorkomen met stuurprogramma's die overeenkomen met deze apparaatinstantie- ID's
• Toestaan^(Allow) ​​dat apparaten worden geïnstalleerd met stuurprogramma's die overeenkomen met deze apparaatinstantie- ID's .

Apparaat-ID's

• Voorkom^(Prevent) installatie van apparaten met stuurprogramma's die overeenkomen met deze apparaat-ID's
• ^(Allow)Installatie van apparaten toestaan ​​met stuurprogramma's die overeenkomen met deze apparaat-ID's

Instellingsklasse apparaat

• Installatie van apparaten voorkomen^(Prevent) met stuurprogramma's die overeenkomen met deze apparaatconfiguratieklassen
• Sta^(Allow) installatie van apparaten toe met stuurprogramma's die overeenkomen met deze apparaatconfiguratieklassen.

Verwijderbare apparaten

• ^(Prevent)Installatie van verwijderbare apparaten voorkomen

Configureer^(Configure) ze allemaal door de apparaat-ID of klasse-ID toe te voegen en de wijzigingen toe te passen.

Microsoft raadt aan om dit beleid te gebruiken in plaats van de beleidsinstelling ' Voorkom installatie van apparaten die niet worden beschreven door andere beleidsinstellingen^{(Prevent installation of devices not described by other policy settings)} ' vanwege de gelaagde structuur.

Hoe vind ik de hardware-ID of compatibele ID?

• Open Apparaatbeheer^{(Device Manager)} met Win + X en druk vervolgens op M.
• Zoek het apparaat. Klik er met de rechtermuisknop op en selecteer vervolgens Eigenschappen
• Overschakelen naar het tabblad Details
• Klik^(Click) op de vervolgkeuzelijst Eigenschap^(Property) en hier kunt u hardware-ID, klasse-ID en andere details selecteren. De exacte waarde is beschikbaar in het gedeelte Waarde.

Hoe kan ik apparaat-ID's^{(Device IDs)} toevoegen aan de lijst Toestaan^(Allow) ?

• Open het beleid : Installatie toestaan ​​van apparaten die overeenkomen met een van deze apparaat-ID's^{(Allow installation of devices that match any of these device IDs)} .
• Selecteer Ingeschakeld^{(Select Enabled)} en klik vervolgens op de knop Weergeven^(Show) onder Opties.
• Voeg een compatibele ID^{(Add Compatible ID)} of hardware-ID toe aan de lijst
• Pas de wijzigingen toe.

U kunt de installatie van specifieke apparaten ook blokkeren met behulp van het Installatiebeleid voorkomen^(Prevent) .

Hoe kunnen beheerders de installatiebeperkingen van apparaten negeren?

Er is een specifiek beleid hiervoor dat u kunt inschakelen. Eenmaal ingeschakeld, kunnen leden van de groep Administrators de wizard ^{(Administrators)}Hardware toevoegen^{(Add Hardware)} of de wizard stuurprogramma bijwerken gebruiken om het apparaat te installeren en bij te werken.

Hoe stel ik een time-out in om beleidswijzigingen af ​​te dwingen?

Als u de beleidswijziging wilt afdwingen, moet u opnieuw opstarten. Met een instelling kunt u een time- out^(Timeout) voor opnieuw opstarten instellen die aan de eindgebruiker wordt weergegeven om ervoor te zorgen dat er geen gegevens verloren gaan.

Ik hoop dat de post je duidelijk heeft uitgelegd over het gelaagde groepsbeleid^{(Layered Group Policy)} in Windows 11 .

Het beleid^{(The policy)} is ook beschikbaar in Windows 10  als onderdeel van de optionele "C"-clientversie van juli 2021^{(July 2021)} en zal breder beschikbaar worden gemaakt vanaf de update dinsdag van ^{(Update Tuesday)}augustus 2021^{(August 2021)} .

How to apply Layered Group Policy in Windows 11/10

One of the biggest challenges for an IT admin in a company is to block аccess to devices such as USB, Εxternal Hard Drive, and even Printers to the organization’s dеvices. To make this a lіttle easier, Microsoft has rolled out the Layered Group Policy feature that gives administrators the ability to divide which devices can be installed on machines across the organization.

What is Layered Group Policy in Windows 11?

This Group Policy aims to ensure the machines get less corruption, the number of support cases drops, and the most important is to reduce data theft. The policy ensures to restrict any installation, i.e., the use of devices both in the internal and external environment is blocked. IT admins can choose to pre-authorized devices to be used/installed.

Available here, the script makes sure not all classes are blocked:

Computer Configuration > System > Device Installation > Device Installation Restrictions

this means that if you chose to block the USB device usage, it only blocks it. Going one step ahead, the new feature resolves the earlier problem where several sets need to be created to avoid conflict. Instead, you have hierarchical layering Instance ID > Device ID > Class > Removable device property.

How to apply Layered Group Policy in Windows 11

The first policy you need to enable is — Apply layered order of evaluation for Allow and Prevent device installation policies across all device match criteria.

Once done, there are an additional set of policies, and you need to ensure to keep the hierarchical order (Device instance IDs > Device IDs > Device setup class > Removable devices) in mind. Here are the policies related to each:

Device instance IDs

• Prevent installation of devices using drivers that match these device instance IDs
• Allow installation of devices using drivers that match these device instance IDs.

Device IDs

• Prevent installation of devices using drivers that match these device IDs
• Allow installation of devices using drivers that match these device IDs

Device setup class

• Prevent installation of devices using drivers that match these device setup classes
• Allow installation of devices using drivers that match these device setup classes.

Removable devices

• Prevent installation of removable devices

Configure each of them by adding the device id or class ID and apply the changes.

Microsoft recommends using this policy over the “Prevent installation of devices not described by other policy settings” policy setting because of the layered structure.

How to find the Hardware ID or Compatible ID?

• Open Device Manager using Win + X, followed by pressing M.
• Locate the device. Right-click on it, and then select Properties
• Switch to the Details tab
• Click on the Property dropdown, and here you can select hardware ID, class ID, and other details. The exact value will be available in the value section.

How to add Device IDs to the Allow list?

• Open the policy— Allow installation of devices that match any of these device IDs.
• Select Enabled, and then click on the Show button under Options.
• Add Compatible ID or Hardware ID to the list
• Apply the changes.

You can also block the installation of specific devices by using the Prevent installation policies.

How to allow administrators to override device installation restrictions?

There is a policy specific to this which you can enable. Once enabled, members of the Administrators group can use the Add Hardware wizard or the update driver wizard to install and update the device.

How to set up a timeout to enforce policy change?

If you want to enforce the policy change, you need to reboot. A setting allows you to set up a Reboot Timeout displayed to the end-user to make sure there is no data loss.

I hope the post explained to you clearly about the Layered Group Policy in Windows 11.

The policy is also available in Windows 10  as part of the July 2021 optional “C” client release and will be made more broadly available beginning in the August 2021 Update Tuesday release.

Related posts

• Hoe Groepsbeleid-editor toe te voegen aan Windows 11/10 Home Edition

• Win32 Long Paths in- of uitschakelen op Windows 11/10

• Oude gebruikersprofielen en bestanden automatisch verwijderen in Windows 11/10

• De aanmeldingsoptie voor beeldwachtwoord uitschakelen in Windows 11/10

• Hoe gebruikersactiviteit te volgen in WorkGroup-modus op Windows 11/10

• Groepsbeleid toepassen op niet-beheerders alleen in Windows 10

• Pas het Ctrl+Alt+Del-scherm aan met Groepsbeleid of Register in Windows

• 6 beste gratis Windows 11/10-reparatietools

• Hoe u uw monitor aan kunt houden wanneer de laptop is gesloten in Windows 11/10

• Groepsbeleid Registerlocatie in Windows 11/10

• Voorkom dat Windows 10 Microsoft Edge vooraf laadt bij het opstarten

• Startmenu op volledig scherm inschakelen met Groepsbeleid of Register in Windows

• Naslaggids voor instellingen voor groepsbeleid voor Windows 10

• Hoe de batterijlading tot een bepaald percentage te beperken in Windows 11/10

• Hoe Groepsbeleid-editor in Windows 11 Home Edition in te schakelen

• Internet Explorer 11 uitschakelen als zelfstandige browser met Groepsbeleid

• Hoe de Groepsbeleid-editor te installeren (gpedit.msc)

• Toegang tot lokaal gebruikers- en groepsbeheer in Windows 11/10 Home

• Hoe alle taakbalkinstellingen in Windows 10 te vergrendelen

• Bureaubladachtergrond Groepsbeleid is niet van toepassing in Windows 11/10