Mit der Installation von Update 1 für Windows 8.1 wurde die Store App automatisch dem Benutzer an die Taskleiste angeheftet. Es gab aus Administratoren Sicht keine Möglichkeit dies zu deaktivieren.

Mit dem August Update gibt es nun endlich eine Policy um diese Funktion zu deaktivieren, damit dem Benutzer die Store App nicht mehr automatisch an die Taskleiste angeheftet wird.

Die Richtlinie findet sich unter der Benutzerkonfiguration – Administrative Vorlagen – Startmenü und Taskleiste –> “Anheften der Store-App an die Taskleiste nicht zulassen”

Oder direkt über die Registry:

[HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Explorer]
"NoPinningStoreToTaskbar"=dword:00000001

Der Java Installer versucht bei jeder Installation oder bei einem Update die Ask Toolbar zu installieren. Wieso sich Oracle auf so etwas einlässt, sollte bereits Grund genug sein Java nicht zu installieren. Leider kommt man oftmals nicht daran vorbei.

Setzt man folgende Registry Schlüssel, wird die Ask Toolbar nicht mehr im Installer angeboten und somit nicht automatisch installiert.

[HKEY_LOCAL_MACHINE\SOFTWARE\JavaSoft]
"SPONSORS"="DISABLE"

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\JavaSoft]
"SPONSORS"="DISABLE"

Wenn bei einem Rechtsklick auf den Start Button das Kontext Menü nicht aufklappt und auch beim drücken der Windows Taste + X das Menü nicht erscheint, fehlt im Profilverzeichnis des Benutzers der WinX Ordner.

Der Ordner befindet sich unter
%USERPROFILE%\AppData\Local\Microsoft\Windows\WinX

Der WinX Ordner kann ganz einfach von einem anderen Benutzerprofil kopiert werden und schon funktioniert das Kontext Menü wieder.

Das Problem tritt bei Roaming Profilen auf, weil der Local Teil von AppData nicht mitkopiert wird. Beim erstmaligen einloggen des Benutzers müsste Windows den Ordner erstellen, was leider nicht der Fall ist.

Unter Windows 8.1 kann jeder Benutzer in den PC-Einstellungen den Sperrbildschirm personalisieren und ein eigenes Bild wählen. In einer Mehrbenutzer Umgebung wird auf dem Sperrbildschirm jeweils das Bild des zuletzt angemeldeten Benutzers angezeigt.

Im Unternehmenseinsatz ist das Ändern des Sperrbildschirms oftmals nicht gewünscht. In den Gruppenrichtlinien unter Computerkonfiguration – Richtlinien – Administrative Vorlagen – Systemsteuerung – Anpassung lässt sich verhindern dass der Sperrbildschirm durch den Benutzer geändert wird oder kann komplett deaktiviert werden.

Anstelle der Gruppenrichtlinien können auch folgende Registry Einträge gesetzt werden. Damit wird verhindert dass der Benutzer den Sperrbildschirm ändern kann und es wird ein Bild vorgegeben.

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\
Windows\Personalization]
"LockScreenImage"="C:\\path\\to\\LockScreen.jpg"
"NoChangingLockScreen"=dword:00000001

Um zu verhindern dass verschlüsselte Verbindungen nachträglich entschlüsselt werden können, zum Beispiel im Fall eines kompromittierten privaten Schlüssels, sollten die ECDHE Cipher-Suiten an die Spitze der präferierten Suiten gesetzt werden.

Ivan Ristic von den SSL Labs empfiehlt dabei folgende Reihenfolge:

• TLS_ECDHE_RSA_WITH_RC4_128_SHA
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
• TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA

Zudem sollten unsichere und ältere Protokolle und Cipher deaktiviert werden. Eine komfortable Möglichkeit bietet das Freeware Tool
IIS Crypto.

Anschliessend können die Einstellungen mit dem SSL Report von SSL Labs getestet werden. Unter “Handshake Simulation” sollte nun bei modernen Browsern “FS” für Forward Secrecy stehen.

Damit auf einem Windows Phone 8 Gerät die Verschlüsselung mittels BitLocker aktiviert werden kann, muss für das Postfach eine neue Exchange ActiveSync-Postfachrichtlinie erstellt werden welche die Verschlüsselung auf dem Gerät vorschreibt.

In der Richtlinie muss die Option “Verschlüsselung auf dem Gerät anfordern” aktiviert werden.

Wichtig: Die Option “Verschlüsselung auf der Speicherkarte vorschreiben” darf nicht gewählt werden! Windows Phone 8 unterstützt das verschlüsseln von Speicherkarten nicht und kann die Richtlinie somit nicht umsetzen.

Auszug aus dem Microsoft KB Artikel:

When the policy parameter Require Encryption on Storage Card is enabled, Windows Phone 8 devices misreport the presence of an SD card, even if the device has no SD card slot. The policy enforcement occurs, provisioning fails, and the device cannot be synchronized.

http://support.microsoft.com/kb/2464593/en-us

Möchte man auf einem Lenovo Miix 2 Windows 8.1 Enterprise (oder eine andere Edition) installieren, kann man wie folgt vorgehen:

• Schritt 1: Bootbarer USB-Stick vorbereiten
• Schritt 2: Plattform Treiber in die Windows Installation integrieren
• Schritt 3: Vom USB-Stick booten
• Schritt 4: Installieren

Schritt 1: Bootbarer USB-Stick vorbereiten

In dieser Anleitung installieren wir ein Windows 8.1 Enterprise 32bit. 64bit kann auf dem Miix 2 nicht installiert werden. Damit das 32bit UEFI Bios vom Miix 2 den USB-Stick zum booten erkennt muss der Stick zwingend FAT32 formatiert sein. Folgende Schritte ausführen um den USB-Stick zu formatieren:

• CMD mit Administratorenrechten öffnen
• “diskpart” eingeben, Enter
• “list disk” eingeben, Enter. Disk Nummer des USB-Sticks merken.
• “select disk 1” eingeben, Enter. Hier die Disk Nummer eingeben, welche im vorherigen Schritt gemerkt wurde.
• “clean” eingeben, Enter
• “create partition primary” eingeben, Enter
• “format fs=fat32 quick” eingeben, Enter
• “active” eingeben, Enter
• “assign” eingeben, Enter

Jetzt kann der gesamte Inhalt der Windows 8.1 DVD respektive der ISO-Datei auf den USB-Stick kopiert werden. Der USB-Stick ist nun vorbereitet und bootbar.

Schritt 2: Plattform Treiber in die Windows Installation integrieren

Damit nach der Installation von Windows der Touchscreen funktioniert, können die benötigten Treiber in die Windows Installation integriert werden. Dieser Schritt kann auch übersprungen werden. Mit einer angeschlossenen Tastatur und Maus kann man die benötigten Treiber auch nach der Installation herunterladen und installieren (Das WLAN Modul wird von Windows erkannt).

• “Hiking Platform Driver for 32-bit Windows” von der Lenovo Support Seite herunterladen. Setup starten und als Zielverzeichnis zum Beispiel “C:\temp\lenovo-platform” eingeben. Nun werden die Treiber in den Ordner entpackt. Das Häckchen “Install Hiking Platform Driver now” entfernen und das Setup beenden.
• Die Datei install.wim vom USB-Stick im Unterordner \sources\ nach c:\temp kopieren
• CMD mit Administratorenrechten öffnen
• “cd c:\temp” eingeben, Enter
• “mkdir win” eingeben, Enter
• “dism /Mount-Wim /WimFile:C:\temp\install.wim /index:1
  /MountDir:c:\temp\win” eingeben, Enter
• “dism /Image:C:\temp\win /Add-Driver /Driver:c:\temp\lenovo-platform /recurse” eingeben, Enter
• “dism /Unmount-Wim /MountDir:c:\temp\win /commit” eingeben, Enter
• Die install.wim Datei enthält nun die Lenovo Treiber welche während der Windows Installation erkannt und installiert werden.
• install.wim Datei zurück auf den USB-Stick in den Unterordner \sources\ kopieren und überschreiben.

Mit dem /Add-Driver Befehl können natürlich auch noch die restlichen Treiber welche auf der Lenovo Seite zur Verfügung stehen in die Installation integriert werden.

Schritt 3: Vom USB-Stick booten

• Um beim Lenovo Miix 2 ins Bootmenü zu gelangen, die “Lautstärke auf” Taste drücken und gedrückt halten. Danach die Power Taste drücken.
• Es erscheint das “Novo Menu”
• “Boot Menu” auswählen
• Im “Boot Option Menu” sollte nun der USB-Stick als Bootgerät aufgelistet sein. Diesen auswählen und die Windows Installation beginnt.

Schritt 4: Installieren

Es empfiehlt sich für die Installation einen aktiven USB-Hub an den Miix 2 anzuschliessen damit neben dem benötigten USB-Stick auch eine Tastatur und eine Maus angeschlossen werden kann. Einen aktiven USB-Hub ist insofern wichtig, damit sichergestellt werden kann dass alle angeschlossenen Geräte mit genügend Strom versorgt werden.

Bei meinem Lenovo Miix 2 Tablet funktioniert alles einwandfrei wenn ich mit dem Microsoft Account eingeloggt bin.

Wenn ich mit einem Domänen Benutzer einlogge kann dieser Benutzer keine Modern-UI App starten. Alle Apps zeigen nur einen blauen Hintergrund und beenden sich danach wieder und die Startseite wird wieder angezeigt. Auch der Windows Store und die PC-Einstellungen sind davon betroffen.

Ein Blick in die Ereignisanzeige zeigt unter Microsoft-Windows-Apps-Microsoft-Windows-TWinUI folgenden Fehler:

Die App „winstore_cw5n1h2txyewy!Windows.Store“ ist nicht für den Vertrag „Windows.Launch“ registriert oder ist nicht installiert.

Aus einem mir unbekannten Grund hat es beim ersten Login des Benutzers die Apps nicht richtig installiert. Betroffene Apps kann man mit folgenden Befehlen neuregistrieren:

PC-Einstellungen:
powershell -ExecutionPolicy Unrestricted Add-AppxPackage -register $Env:SystemRoot\ImmersiveControlPanel\appxmanifest.xml –DisableDevelopmentMode

Windows Store:
powershell -ExecutionPolicy Unrestricted Add-AppxPackage -register $Env:SystemRoot\WinStore\appxmanifest.xml –DisableDevelopmentMode

Nach dem ausführen des Befehls lässt sich der Windows Store öffnen und er zeigt an dass für alle vorinstallierten Apps Updates vorhanden sind. Da die vorinstallierten Apps wie “Rechner” “Wecker” usw. auch nicht richtig registriert wurden, lassen sich diese weder starten noch updaten. Somit müssen oben genannte Schritte für alle installierten Apps durchgeführt werden.

Damit wir nicht für alle Apps einzeln die Befehle ausführen müssen geht’s einfacher mit einer Powershell “foreach” Schleife welche alle installierten Apps neu registriert:

powershell -ExecutionPolicy Unrestricted „foreach ($instloc in Get-AppxPackage | Select-Object -Expand InstallLocation) { Add-AppxPackage -register $instloc\appxmanifest.xml -DisableDevelopmentMode }“

Als Sysadmin ist man gezwungen immer wieder Patches einzuspielen so auch immer öfter für den Flash Player. Heute 10. Juni 2010 hat Adobe eine neue Version angekündigt um die kürzlich bekannt gewordene Sicherheitslücke zu korrigieren. Der Flash Patch ist nun plötzlich Version 10.1 – das ist ja schön aber wieso ändern sich bei einem Patch der man zügig einspielen sollte die silent install Parameter? Soll der Sysadmin immer für einen Sicherheitspatch das Paket der Softwareverteilung anpassen müssen? SORRY Adobe, aber so geht es nun wirklich nicht! Zeit für HTML5?

PS: Die neue silent Installroutine lautet nun:

install_flash_player.exe /install (früher /silent)