17.3 Funktionen der Verzeichnisse »Default User« und »All Users« 

Wenn sich ein in der Domäne neu eingerichteter Anwender zum ersten Mal an einem Computer der Domäne anmeldet, so wird für ihn unter C:\Dokumente und Einstellungen ein Verzeichnis mit seiner Anmeldekennung erstellt und es werden alle Unterverzeichnisse und Dateien des Verzeichnisses C:\Dokumente und Einstellungen\Default User in das neu erstellte Profilverzeichnis des Anwenders kopiert. Das Startmenü des Anwenders setzt sich später aus allen Verknüpfungsdateien zusammen, die unter C:\Dokumente und Einstellungen\All Users\Startmenü liegen, und aus denjenigen Verknüpfungen, die aus dem Startmenü von Default User in das persönliche Startmenü C:\Dokumente und Einstellungen\%USERNAME%\Startmenü kopiert wurden. Es ist darüber hinaus möglich, das Profil einer musterhaft durchkonfigurierten Kennung über Systemsteuerung · System · Erweitert · Benutzerprofile in das Verzeichnis NETLOGON\Default User des Domänencontrollers zu kopieren und dabei der Gruppe Jeder das Leserecht zu erteilen. Dadurch wird ein domänenweites Profil Default User erzeugt und das lokale Profil C:\Dokumente und Einstellungen\Default User außer Kraft gesetzt.

Auf dem Desktop des Anwenders findet er wiederum alle Verknüpfungsdateien, die unter C:\Dokumente und Einstellungen\All Users\Desktop liegen, und außerdem diejenigen Verknüpfungen, die aus dem Desktop-Verzeichnis von Default User in das persönliche Desktop-Verzeichnis C:\Dokumente und Einstellungen\%USERNAME%\Desktop kopiert wurden.

Möchten Sie später von zentraler Stelle aus (z.B. über das Anmeldeskript) die Verknüpfungen, die der Anwender in seinem Startmenü oder auf dem Desktop sieht, mit möglichst geringem Aufwand manipulieren können, so wäre es doch wünschenswert, wenn Sie nur das Verzeichnis C:\Dokumente und Einstellungen\All Users\Startmenü manipulieren müssten, nicht aber auch noch das Startmenü im Profilverzeichnis aller Anwender. Ebenso verhält es sich hinsichtlich der Verknüpfungen, die auf dem Desktop liegen. Ich schlage Ihnen deshalb vor, alle Verzeichnisse und Verknüpfungsdateien aus dem Verzeichnis C:\Dokumente und Einstellungen\Default User\Startmenü ausnahmslos in das Verzeichnis C:\Dokumente und Einstellungen\All Users\Startmenü zu verschieben. Löschen Sie außerdem Verknüpfungen, die Sie eventuell im Verzeichnis C:\Dokumente und Einstellungen\Default User\Desktop vorfinden. Als Nächstes passen Sie das Startmenü und den Desktop von All Users den Bedürfnissen Ihres Unternehmens entsprechend an.

17.3.1 Verknüpfungen im Startmenü löschen oder verschieben 

Nach der Installation des Adobe Readers finden Sie eine Verknüpfung für den Adobe Reader sowohl unter C:\Dokumente und Einstellungen\All Users\Desktop als auch unter C:\Dokumente und Einstellungen\All Users\Startmenü\Programme. Löschen Sie eine der Verknüpfungen und verschieben Sie die andere in den Unterordner Startmenü\Programme\Zubehör. Liegen im Desktop-Verzeichnis von All Users noch weitere Verknüpfungen, so überlegen Sie, ob diese Verknüpfungen wichtig sind und auf dem Desktop jedes Anwenders erscheinen sollen, ob sie gelöscht werden können oder in ein Unterverzeichnis des Startmenüs verschoben werden sollten.

Überprüfen Sie dann, ob im Verzeichnis C:\Dokumente und Einstellungen\All Users\Startmenü\Autostart Verknüpfungen liegen, die gelöscht oder verschoben werden sollten, damit die zugehörigen Anwendungen nicht für jeden Anwender bei der Anmeldung sofort gestartet werden. Anwendungen, die für bestimmte Benutzergruppen automatisch bei jeder Anwendung gestartet werden sollen, können später auch über das Anmeldeskript aktiviert werden. Außer über den Ordner Autostart werden viele Prozesse auch über die Registry gestartet. Sie finden die zugehörigen Einträge über das Windows-XP-Konfigurationsprogramm MSCONFIG in der Registerkarte Systemstart.

Löschen Sie das Verzeichnis C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Spiele.

Wenn Sie wie ich glauben, dass ein Dateimanager eine Anwendung ist, die sowohl Standardanwender als auch Administratoren ständig benötigen und schnell finden sollten, dann verschieben Sie die Verknüpfung des Windows Explorers von C:\Dokumente und Einstellungen\Default User\Startmenü\Programme\Zubehör nach C:\Dokumente und Einstellungen\All Users\Startmenü, wodurch der Windows Explorer nunmehr direkt über der Start-Schaltfläche liegt. Auch der Taschenrechner calc.exe wird von den Anwendern nur wenig genutzt, solange er im Unterverzeichnis Zubehör liegt. Kopieren Sie dessen Verknüpfung nach C:\Dokumente und Einstellungen\All Users\Startmenü und geben Sie den Anwendern den Tipp, dass der Taschenrechner kaum Wünsche offen lässt, wenn man ihn startet und unter Ansicht die Option wissenschaftlich einstellt. Es gibt jedoch auch alternative Freeware zum Windows-XP-internen Taschenrechner, die mehr Funktionen hat, z.B. die Umrechnung in andere Währungen. Microsoft bietet inzwischen selbst eine Alternative zum Download an.

Erzeugen Sie unter C:\Dokumente und Einstellungen\All Users\Startmenü eine neue Verknüpfung mit dem Namen Computer sperren. Als Befehlszeile geben Sie Folgendes ein:

%windir%\System32\rundll32.exe user32.dll,LockWorkStation

Als Symbol für diese Verbindung wählen Sie z.B. %windir%\system32\SHELL32.dll und dort das Icon mit dem Schlüssel aus. Der neue Menüpunkt Computer sperren erscheint direkt über der Start-Schaltfläche.

Auf der Buch-DVD finden Sie im Verzeichnis Windows XP die vorgefertigte Verknüpfungsdatei »Computer sperren.lnk«. Doppelklicken Sie einmal auf diese Datei, um die Wirkung zu sehen. Der Computer sollte sofort gesperrt sein und nur durch Eingabe des Kennwortes wieder entsperrt werden können. Mit diesem Menüpunkt kann der Anwender also schnell seine Daten schützen, wenn er kurzfristig den Raum verlassen muss.

17.3.2 Administrationstools für Standardanwender nicht zugänglich machen 

Wie gehen wir mit Verknüpfungen zu Anwendungen vor, die nur lokale Administratoren starten sollen oder die bis auf weiteres durch den Standardanwender nicht benötigt werden, von denen wir aber nicht wissen, ob sie später einmal benötigt werden, wenn neue Dienste hinzukommen? Meiner Meinung nach ist es besser, im Zweifelsfall Komponenten von Windows XP oder Microsoft Office zu viel zu installieren und erst einmal zu deaktivieren, als diese Komponenten abzuwählen und später mühselig auf vielen Computern nachzuinstallieren, weil sich irgendwann herausstellt, dass sie doch benötigt werden.

Es gibt mindestens drei Möglichkeiten, Programme nur für bestimmte Anwender wie lokale Administratoren zugänglich zu machen:

Sie können die ausführbaren Dateien über die Gruppenrichtlinie Angegebene Windows-Anwendungen nicht ausführen in der Kategorie Benutzerkonfiguration · Administrative Vorlagen · System in einer Positivliste angeben.

Sie können den entsprechenden Verknüpfungsdateien im Startmenü von All Users das Dateiattribut versteckt zuordnen. Damit erscheinen diese Verknüpfungen nicht mehr im Startmenü des Anwenders. Sie müssen sich neu anmelden, damit Sie dieses überprüfen können.

Sie können die Zugriffsrechte auf das Verzeichnis C:\Dokumente und Einstellungen\All Users\Programme\Verwaltung so einschränken, dass nur die Gruppe der lokalen Administratoren dort Zugriff hat. Der Anwender sieht zwar im Startmenü unter Programme den Menüpunkt Verwaltung, kann ihn aber nicht öffnen. Nun können Sie alle Verknüpfungen zu Programmen, auf die der Standardanwender bis auf weiteres nicht zugreifen können soll, in das Unterverzeichnis C:\Dokumente und Einstellungen\All Users\Programme\Verwaltung verschieben.

Alle diese Manipulationen lassen sich an zentraler Stelle schnell wieder ändern oder rückgängig machen, entweder durch Änderung der Gruppenrichtlinie Angegebene Windows-Anwendungen nicht ausführen oder durch entsprechende Zeilen im Anmeldeskript, die mittels des Befehls attrib das Dateiattribut versteckt zurücksetzen oder mittels des Tools xcacls aus dem Windows Resource Kit die Rechte des Verzeichnisses All Users\Startmenü\Programme\Verwaltung abändern.

Natürlich ist es auch möglich, eine in das Unterverzeichnis All Users\Startmenü\Programme\Verwaltung verschobene Verknüpfungsdatei über das Anmeldeskript wieder an den Ursprungsort zurückzuschieben.

Ich schlage vor, die Rechte des Verzeichnisses C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Verwaltung so einzuschränken, dass der lokalen Gruppe Benutzer sowie der Gruppe Jeder alle Rechte entzogen werden. Danach haben nur noch die Gruppen Administratoren, Hauptbenutzer und SYSTEM Zugriff auf das Untermenü Verwaltung.

17.3.3 Verknüpfungen von Systemprogrammen in das Untermenü »Verwaltung« verschieben 

Wenn Sie sich die Anwendungen ansehen, die über Start · Programme · Zubehör · Systemprogramme erreichbar sind, werden Sie mir zustimmen, dass der Standardanwender diese Tools ebenfalls nicht benötigt. Eine Ausnahme bildet vielleicht das Tool Zeichentabelle. Verschieben Sie also das Verzeichnis C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Zubehör\Systemprogramme komplett nach C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Verwaltung. Dasselbe trifft auf die Anwendungen zu, die über Start · Programme · Zubehör · Kommunikation erreichbar sind. Verschieben Sie das Verzeichnis C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Zubehör\Kommunikation nach C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Verwaltung.

Wenn Sie Windows Update durch Microsoft Update ersetzt haben (siehe den Artikel »von Windows Update zu Microsoft Update wechseln« im Verzeichnis WSUS der Buch-DVD), finden Sie über dem Startbutton neben der Verknüpfung Windows Update auch die Verknüpfung Microsoft Update. Jetzt können Sie die Verknüpfungen Microsoft Update, Windows Update, Programmzugriff und –standards und Windows-Katalog, auf die der einfache Anwender keinen Zugriff benötigt, aus dem Verzeichnis C:\Dokumente und Einstellungen\All Users\Startmenü in das Verzeichnis C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Verwaltung oder ein Verzeichnis tiefer in die Systemprogramme verlagern.

Ebenso sollten Sie die Verknüpfung C:\Dokumente und Einstellungen\ All Users\Startmenü\Zubehör\Programmkompatibilitäts-Assistent in das Verzeichnis C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Verwaltung\Systemprogramme verschieben, denn auch auf dieses Tool benötigt nur ein Administrator Zugriff.

Ich persönlich finde, das häufiger benötigte Icon für den Rechner sollte nicht so tief im Untermenü Programme · Zubehör verschwinden und verschiebe deshalb die Verknüpfung Rechner.lnk von C:\Dokumente und Einstellungen\All Users\Startmenü\Zubehör nach C:\Dokumente und Einstellungen\All Users\Startmenü\Programme. Ebenso verfahre ich mit den ständig benötigten Verknüpfungen für Word, Outlook, Internet Browser und kaufmännische Anwendungen.

17.3.4 Multimedia-Programme über Gruppenrichtlinie deaktivieren 

Jetzt müssen Sie noch entscheiden, wie Sie mit den Verknüpfungen Programme\Windows Media Player und diversen Verknüpfungen unter Programme\Zubehör umgehen möchten, speziell mit den Verknüpfungen Windows Movie Maker, Windows XP-Tour, Audiorekorder und Lautstärke. Das hängt auch davon ab, ob und welche Anwender Zugriff auf eine Soundkarte haben sollen.

Es besteht die Möglichkeit, die durch diese Verknüpfungen gestarteten exe-Dateien über die Gruppenrichtlinie Angegebene Windows-Anwendungen nicht ausführen für die Standardanwender zu blockieren und über eine andere Gruppenrichtlinie für eine bestimmte Anwendergruppe (Poweruser, Multimedia-User) wieder freizuschalten. Jeder Anwender sieht dann zwar die Icons, aber nur die Mitglieder der speziellen Sicherheitsgruppe können die Anwendungen auch starten. Das Sperren bestimmter ausführbarer Dateien durch eine Gruppenrichtlinie ist gerade dann, wenn man sich bei der Konzeption des Startmenüs noch nicht sicher ist, eine gute Möglichkeit, Anwendungen bis auf weiteres zu blockieren und diese Blockaden schnell wieder aufzuheben.

Melden Sie sich unter der Kennung Testuser am Musterclient einmal an, um das Startmenü zu sehen, das ein neu eingerichteter Standardbenutzers erhält. Wenn es in der Freigabe \\S1\Profiles – es handelt sich um die Freigabe für serverbasierte Anwenderprofile – noch das Unterverzeichnis Testuser aus früheren Tests gibt, so müssen Sie dieses Unterverzeichnis vorher komplett löschen, denn anderenfalls wird auch das alte Startmenü dieser Testkennung wieder auf den neu eingerichteten Computer übernommen. Das Startmenü und der Desktop eines Standardanwenders sollten jetzt sehr aufgeräumt aussehen. Direkt über der Start-Schaltfläche liegen die häufig benötigten Icons von Outlook, Word, dem Taschenrechner und dem Windows Explorer. Die anderen Office-Icons sind im Untermenü Programme · Microsoft Office eingeordnet. Zwar sieht der Anwender Testuser das Untermenü Programme · Verwaltung, er kann es aber nicht öffnen.

Hier klicken, um das Bild zu Vergrößern

Auch das Untermenü Programme · Zubehör wirkt aufgeräumt und weist keine Verknüpfungen mehr auf, auf die ein Standardanwender nicht zugreifen können soll.

Hier klicken, um das Bild zu Vergrößern

Sobald die Verzeichnisse C:\Dokumente und Einstellungen\Default User\Startmenü und C:\Dokumente und Einstellungen\All Users\Startmenü in dem von Ihnen gewünschten Zustand sind, sollten Sie Sicherungen dieser Verzeichnisse auf dem Server ablegen. Denken Sie daran, dass Sie wegen der unterschiedlichen HAL-Typen wahrscheinlich mehrere Komplettabbilder der Clientcomputer erzeugen müssen. Es wäre fehleranfällig und unnötige Arbeit, diese Vorarbeiten erneut manuell auf einem weiteren Mustercomputer mit anderer HAL durchzuführen. Schneller geht es dann, wenn Sie das auf den Server gesicherte, musterhafte Startmenü einfach auf den nächsten Mustercomputer kopieren.

17.3.5 Das Verzeichnis SendTo verschieben 

Verschieben Sie das Verzeichnis C:\Dokumente und Einstellungen\Default User\SendTo nach C:\Dokumente und Einstellungen\All Users und fügen Sie im Verzeichnis C:\Dokumente und Einstellungen\All Users\SendTo eine neue Verknüpfung zu C:\Windows\System32\Notepad.exe hinzu. Wenn ein Anwender später eine beliebige Textdatei öffnen will, kann er sie im Windows Explorer mit der rechten Maustaste anklicken und über den Menüpunkt Senden an dem Editor Notepad übergeben.

17.3.6 Die Favoriten unter »Default User« löschen 

Unter C:\Dokumente und Einstellungen\Default User\Favoriten und im Unterverzeichnis Favoriten\Links sollten Sie die Favoriten und Links entfernen, die nicht jeder Anwender automatisch erhalten soll: MSN, Radiostationsübersicht, Kostenlose Hotmail, Links anpassen, Windows und Windows Media. Stattdessen können Sie den Link zu Ihrem Intranet-Server einpflegen.