How to enable Remote Desktop using Group Policy

How do I use a Group Policy to make the PDF-XChange Editor the default application for PDF files?

 https://www.tracker-software.com/knowledgebase/542-How-do-I-use-a-Group-Policy-to-make-the-PDF-XChange-Editor-the-default-application-for-PDF-files

Установка UltraVNC с помощью GPO. Бесплатный удаленный доступ в офисе.

Скачивание  UltraVNC

1. Скачиваем с сайта дистрибутив  http://uvnc.com/downloads/ultravnc.html на момент написания статьи это  Latest version 1.2.2.4

У меня на работе все клиенты 64 битные , поэтому я скачиваю 64 битный msi пакет.

Запускаем пакет MSI на тестовом ПК, далее после установки  UltraVNC запускаем ярлык "UltraVNC settings"

Настройка  UltraVNC

1. Вкладка Network.  

• Ставим галку Enabble incoming port

2. Вкладка Secirity

• Задаем vnc password
• Если у вас доменная сеть, как у меня то ставим галку require MS Logon

2.1 Жмем на кнопку Configure MS Logon Groups

• Разрешаем доменным Админам логинится на этот ПК.

3. Вкладка Input/FilrTransfer

• Включаем передачу файлов File transfer - Enable.
• 
  
• Включаем поддержку клавиатуры Japanese v102.
• Включаем Blank monitor on viewer Request.

4. Вкладка Connections

• Отключаем Multiple connection. Если у вас поддержке куча народа, то лучше поставить Keep existing connection.
• При обрыве говорим ничего не делать, если  вас все "секюрно", то лучше сделать lock workstation.

5. Вкладка Screen Capture

• Включаем галку Poll Full Screen
• Включаем оба монитора: show  primary dispaly show secondary display
• Убираем навароты Aero, при подключении.
• Убираем Wallpaper, при подключении.

6. Вкладка Misc/logging

• Отключаем значок в трее

После того как мы нажмем кнопку закрыть, у нас создается ini файл.

c:\Program Files\uvnc bvba\UltraVnc\UltraVNC.ini

Настраиваем групповую политику распространения UltraVnc в домене:

Создаем новую GPO (называем ее  x64 UltraVNC Installation) и связываем ее с OU в которой будем тестировать распространение UltraVnc.

Нажимаем правой кнопкой мыши > Редактируем GPO переходим по пути  Computer Configuration > Policies > Software Settings > Software Installation.

Кладем наш 64 битный msi пакет куда-нибудь в сеть, (Расшариваем папку) даем доступ группе "Аутентифицированные пользователи" только на чтение.

• Например \\server\install

Выбираем msi и публикуем.

Копируем  UltraVNC.ini файл c:\Program Files\uvnc bvba\UltraVnc\UltraVNC.ini в папку с msi  \\server\install

Открываем GPO x64 UltraVNC Installation и раскрываем ветку Computer Configuration > Preferences > Windows Settings > Files.

Выбираем Replace

Указываем источник \\server\install\UltraVNC.ini

Указываем местоназначение  %ProgramFilesDir%\uvnc bvba\UltraVnc\UltraVNC.ini

Затем в ветке  Computer Configuration > Preferences > Windows Settings > Files.

Указываем ярлыки , которые нам нужно удалить от глаз пользователей

• C:\Users\Public\Desktop\UltraVNC Settings.lnk
• C:\Users\Public\Desktop\UltraVNC Server.lnk
• C:\Users\Public\Desktop\UltraVNC Viewer.lnk (на админском компе не забываем переименовать UltraVNC Viewer.lnk )

ВОТ и ВСЕ!

http://www.virtuallyimpossible.co.uk/deploying-ultravnc-within-an-active-directory-environment-using-group-policy/#a11

https://greendail.ru/node/ustanovka-ultravnc-cherez-gpo

Как удалить ярлыки с рабочего стола c:\Users\Public\Desktop\ с помощью GPO

Чтобы удалить ярлык на рабочем столе, который хранится в папке c:\Users\Public\Desktop\создаем объект групповой политики компьютера GPO (Computer Configuration --> Preferences --> Windows Settings --> Files)удалить файл C:\Users\Public\Desktop\file.lnk.

Переменная % CommonDesktopDir% здесь не сработала, но, к счастью, путь к файлу в нашей среде одинаков, поэтому не имеет никаких функциональных различий.

Чтобы удалить ярлык на рабочем столе, который хранится на рабочем столе пользователя можно использовать политику

GPO (User Configuration --> Preferences --> Windows Settings --> Files)  удалить файл %DesktopDir%\file.lnk.
Если в поле конечный файл нажать f3 можно подставить переменную %DesktopDir%\

https://community.spiceworks.com/topic/1985919-why-isn-t-my-gpo-to-delete-two-specific-desktop-shortcuts-working

Как включить удаленный рабочий стол удаленно в Windows 10

1. Включаем удаленный рабочий стол с помощью групповых политик GPO.

Computer Configuration > Administrative Templates > Windows Components >Remote Desktop Services > Remote Desktop Session Host > Connections.

1.2 Разрешаем RDP в брандмауэре Windows на удаленном компьютере с Windows 10.

Однако, групповые политики распространяются не так уж быстро, и если вы хотите войти в компьютер "здесь и сейчас" то это способ вам не подходит.


2. Включаем удаленный рабочий стол с помощью Powershell

Однако есть одна загвоздка - на самом деле, две. Брандмауэр Windows может помешать вам, если на компьютере не включено удаленное взаимодействие  c PowerShell. Мне известны два способа удаленного включения удаленного рабочего стола через PowerShell. Какой метод вы используете в основном, зависит от конфигурации брандмауэра Windows.


Предположим, что удаленное взаимодействие PowerShell включено на удаленном компьютере. Если это так, вы можете просто включить удаленный рабочий стол, изменив раздел реестра на удаленном компьютере:

Скорее всего, брандмауэр Windows блокирует RDP на удаленной машине. Чтобы открыть порт удаленного рабочего стола, вы можете использовать эту команду PowerShell:

 3. Включаем удаленный рабочий стол с помощью WMI

Если удаленное взаимодействие PowerShell не включено на удаленном компьютере, вы все равно можете использовать PowerShell через WMI для этой задачи. Это может быть полезно, если вам нужно включить RDP на нескольких машинах или если эта задача является частью более крупной проблемы автоматизации, а рекомендации по безопасности вашей организации не допускают удаленного взаимодействия PowerShell. Вот сценарий PowerShell, использующий командлет Get-WmiObject, он позволяет удаленно управлять компьютерами без удаленного взаимодействия PowerShell.


Чтобы использовать сценарий, вам просто нужно сохранить его в файл (Enable-RDPAccess.ps1) и затем запустить эту команду:

Если вы хотите включить RDP на нескольких компьютерах с Windows 10, вы можете сохранить имена компьютеров в текстовом файле и затем использовать команделет Get-Content, чтобы передать имена компьютеров в файл Enable-RDPAccess.ps1:

Настройка брандмауэра через WMI, а именно с помощью команды wmic:

Конечно, вы также можете включить удаленный рабочий стол с помощью wmic:

Обратите внимание, что необходимо настроить брандмауэр Windows на удаленном компьютере, чтобы разрешить доступ к WMI для сценария PowerShell и для работы wmic.
Вы можете сделать это с помощью групповой политики:

Computer Configuration > Policies > Windows Settings > Security Settings > Windows Firewall with Advanced Security.

4. Включаем удаленный рабочий стол с помощью Psexec

Еще одним вариантом является бесплатный инструмент от Microsoft Psexec. Этот способ также не требует удаленного взаимодействия PowerShell. Единственным недостатком является то, что использовать его не так просто, как Invoke-Command в сценариях PowerShell. Psexec требует, чтобы брандмауэре Windows был открыт порты для общего доступа к файлам и принтерам, что, вероятно, более распространено, чем открытые порты WMI или включенное удаленное взаимодействие с PowerShell:

Computer Configuration > Policies > Administrative Templates > Network > Network Connections > Windows Firewall > Domain Profile > Windows Firewall: Allow inbound file and printer sharing exception

Чтобы изменить реестр для включения RDP с помощью psexec, необходимо выполнить следующую команду:
Чтобы разрешить RDP-подключения в брандмауэре Windows, вы также можете использовать psexec:

Enable Remote Desktop remotely on Windows 10

Проводник автоматически закрывается во время работы с сетевым диском в windows 10 1083

Измените подключение сетевых дисков в групповой политике, вместо действие> заменить  установите действие>обновить.

https://community.spiceworks.com/topic/1776415-win-10-windows-close-automatically

Как отключить автозапуск skype for bussiness в windows 10 через GPO

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Name: Lync
Type: REG_SZ
Value:"C:\Program Files\Microsoft Office\root\Office16\lync.exe" /fromrunkey

Как отключить Microsoft Store в windows 10 групповыми политиками.

COMPUTER CONFIGURATION > POLICIES > WINDOWS SETTINGS > SECRURITY SETTINGS > SOFTWARE RESTRICTION POLICIES >

 ADDITIONAL RULES  > Нажимаем правой кнопкой и создаем правило, обзательно поставьте звездочку на конце.

%programfiles%\WindowsApps\Microsoft.WindowsStore*




https://www.urtech.ca/2016/05/solved-video-how-to-disable-the-store-in-windows-10-pro-using-group-policy-gpo/

Group Policy objects тестирование WMI фильтров

Как вы знаете, Windows Management Instrumentation (WMI) фильтры позволяют динамически определять область действия Group Policy objects (GPOs) на основе атрибутов целевого ПК.
Для тестирования  WMI-фильтров можно использовать  инструмент wbemtest.

Проверим ip-адрес с помщью с помощью запроса WMI.

1. win+R>wbemtest
2. В окне "Тестера инструментария управления" windows нажимаем на кнопку подключить.

Все оставляем по умполчанию и еще раз нажимаем кнопку подключить.

Нажимаем на кнопку запрос.

Тестовый запрос 

" select * from Win32_IP4RouteTable Where Name Like "10.127.148.%" "

запрос работает корректно найдено 3 адреса

Попробуем изменить ip адрес  в запросе "select * from Win32_IP4RouteTable Where Name Like "192.168.0%" "

Соответсвенно запрос работает не кореектно на машине с ip адресом  10.127.148.%


http://portal.sivarajan.com/2011/05/group-policy-objects-gpo-and-wmi-filter.html

WMI фильтр по "железу"

Для распознования ОС windows 7 в GPO обычно используют  WMI фильтры:

Windows 7
select * from Win32_OperatingSystem WHERE Version like "6.1%" AND ProductType="1"

Windows 7 – 32-bit
select * from Win32_OperatingSystem WHERE Version like "6.1%" AND ProductType="1" AND
NOT OSArchitecture = "64-bit"

Windows 7 – 64-bit
select * from Win32_OperatingSystem WHERE Version like "6.1%" AND ProductType="1" AND OSArchitecture = "64-bit"

Но как применить фильтр к ноутбукам ? Для этого можно фильтровать по характеристикам железа. Свойство FormFactor передает какой тип модуля памяти установлен на ПК.
Для памяти SODIMM, которая используется для ноутбуков, значение FormFactor будет равно 12.

Для того чтобы исключить все ноутбуки в фильтре достаточно написать:

Select * from Win32_PhysicalMemory WHERE (FormFactor != 12)

Или наоборот включить все в запрос все ноутбуки

Select * from Win32_PhysicalMemory WHERE (FormFactor = 12)

Если объеденить два запроса то отфильтруются все ноутбуки.

select * from Win32_OperatingSystem WHERE Version like "6.1%" AND ProductType="1" AND OSArchitecture = "64-bit"
Select * from Win32_PhysicalMemory WHERE (FormFactor != 12)



Тестирование в powershell  wmi запросов

gwmi -Query 'select * from Win32_OperatingSystem WHERE Version like "6.1%" AND ProductType="1" AND OSArchitecture = "64-bit"'

Как включить minidump с помощью GPO

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl]
"CrashDumpEnabled"=dword:00000003

http://blog.nirsoft.net/2010/07/27/how-to-configure-windows-to-create-minidump-files-on-bsod/

Как отключить like what you see/ понравилось увиденное в windows pro 10 Group policy

Я так понял в версии windows pro 10 это сделать нельзя.  

https://docs.microsoft.com/ru-ru/windows/configuration/windows-spotlight

https://social.technet.microsoft.com/Forums/windows/en-US/20e2f09d-aa58-4ff7-8a83-51fd15d5ed4f/hide-windows-spotlight-lock-screen-advertisements-ads?forum=win10itprogeneral



Если у кого-нибудь получится напишите в комментариях.

Computer cannot be managed. Verify that the network path is correct, the computer is available on the network and that the appropriate

win+r> wf.msc

COM+ Network Access (DCOM-In)
COM+ Remote Administration (DCOM-In)
File and Printer Sharing (Spooler Service – RPC)
File and Printer Sharing (Spooler Service – RPC-EPMAP)
Remote Event Log Management (NP-In)
Remote Event Log Management (RPC)
Remote Event Log Management (RPC-EPMAP)
Remote Event Monitor (RPC)
Remote Event Monitor (RPC-EPMAP)
Remote Scheduled Task Management (RPC)
Remote Scheduled Task Management (RPC-EPMAP)
Remote Service Management (NP-In)
Remote Service Management (RPC)
Remote Service Management (RPC-EPMAP)
Remote Rule for Remote Shutdown (RPC-EP-In)
Remote Rule for Remote Shutdown (TCP-In)
Remote Volume Management – Virtual Disk Service (RPC)
Remote Volume Management – Virtual Disk Service Loader (RPC)
Remote Volume Management (RPC-EPMAP)


http://www.itechlounge.net/2014/09/windows-computer-cannot-be-managed/

gpo

https://www.hammer-software.com/how-to-enable-file-and-printer-sharing-through-the-windows-firewall-with-advanced-security-using-group-policy/

Установка консультант плюс групповыми политиками

Развернуть ярлык для «Консультант+» на большое количество рабочих станций достаточно просто с помощью групповых политик:

• Создаем объект групповой политики, назначаем на необходимые объекты AD
• В разделе «Конфигурация пользователя — Настройка — Конфигурация Windows — Папки» создаем новую папку «Consultant»

• В разделе «Конфигурация пользователя — Настройка — Конфигурация Windows — Ярлыки» создаем «Консультант+»

В результате на рабочем столе пользователя появится ярлык «Консультант+», а все временные файлы будут размещены в папке AppData\Roaming\Consultant.

http://it.rdcm.com/archives/569

Как отключить Windows магазин групповыми политиками.

COMPUTER CONFIGURATION > POLICIES > WINDOWS SETTINGS > SECRURITY SETTINGS > SOFTWARE RESTRICTION POLICIES >

ADDITIONAL RULES  >нажать правой конопкой и создать правило disallows %programfiles%\WindowsApps\Microsoft.WindowsStore*

https://www.urtech.ca/2016/05/solved-video-how-to-disable-the-store-in-windows-10-pro-using-group-policy-gpo/

Как копировать/ вставлять групповые политики

Примеры WMI фильтров

DESKTOPS

ANY WINDOWS DESKTOP OS
Any Windows Desktop OS – Version 1
select * from Win32_OperatingSystem WHERE ProductType = "1"
Any Windows Desktop OS – Version 2 (better for Win7 sometimes)
select * from Win32_OperatingSystem WHERE (ProductType <> "2") AND (ProductType <> "3")
Any Windows Desktop OS – 32-bit
select * from Win32_OperatingSystem WHERE ProductType = "1" AND NOT OSArchitecture = "64-bit"
Any Windows Desktop OS – 64-bit
select * from Win32_OperatingSystem WHERE ProductType = "1" AND OSArchitecture = "64-bit"

WINDOWS XP

Windows XP
select * from Win32_OperatingSystem WHERE (Version like "5.1%" or Version like "5.2%") AND ProductType="1"
Windows XP – 32-bit
select * from Win32_OperatingSystem WHERE (Version like "5.1%" or Version like "5.2%") AND ProductType="1" AND NOT OSArchitecture = "64-bit"
Windows XP – 64-bit
select * from Win32_OperatingSystem WHERE (Version like "5.1%" or Version like "5.2%") AND ProductType="1" AND OSArchitecture = "64-bit"

WINDOWS VISTA

Windows Vista
select * from Win32_OperatingSystem WHERE Version like "6.0%" AND ProductType="1"
Windows Vista – 32-bit
select * from Win32_OperatingSystem WHERE Version like "6.0%" AND ProductType="1" AND NOT OSArchitecture = "64-bit"
Windows Vista – 64-bit
select * from Win32_OperatingSystem WHERE Version like "6.0%" AND ProductType="1" AND OSArchitecture = "64-bit"

WINDOWS 7

Windows 7
select * from Win32_OperatingSystem WHERE Version like "6.1%" AND ProductType="1"
Windows 7 – 32-bit
select * from Win32_OperatingSystem WHERE Version like "6.1%" AND ProductType="1" AND NOT OSArchitecture = "64-bit"
Windows 7 – 64-bit
select * from Win32_OperatingSystem WHERE Version like "6.1%" AND ProductType="1" AND OSArchitecture = "64-bit"

WINDOWS 8

Windows 8
select * from Win32_OperatingSystem WHERE Version like "6.2%" AND ProductType="1"
Windows 8 – 32-bit
select * from Win32_OperatingSystem WHERE Version like "6.2%" AND ProductType="1" AND NOT OSArchitecture = "64-bit"
Windows 8 – 64-bit
select * from Win32_OperatingSystem WHERE Version like "6.2%" AND ProductType="1" AND OSArchitecture = "64-bit"

WINDOWS 8.1

Windows 8.1
select * from Win32_OperatingSystem WHERE Version like "6.3%" AND ProductType="1"
Windows 8.1 – 32-bit
select * from Win32_OperatingSystem WHERE Version like "6.3%" AND ProductType="1" AND NOT OSArchitecture = "64-bit"
Windows 8.1 – 64-bit
select * from Win32_OperatingSystem WHERE Version like "6.3%" AND ProductType="1" AND OSArchitecture = "64-bit"

WINDOWS 10

Windows 10
select * from Win32_OperatingSystem WHERE Version like "10.0%" AND ProductType="1"
Windows 10 – 32-bit
select * from Win32_OperatingSystem WHERE Version like "10.0%" AND ProductType="1" AND NOT OSArchitecture = "64-bit"
Windows 10 – 64-bit
select * from Win32_OperatingSystem WHERE Version like "10.0%" AND ProductType="1" AND OSArchitecture = "64-bit"

SERVERS

ANY WINDOWS SERVER OS

Any Windows Server OS
select * from Win32_OperatingSystem where (ProductType = "2") OR (ProductType = "3")
Any Windows Server OS – 32-bit
select * from Win32_OperatingSystem where (ProductType = "2") OR (ProductType = "3") AND NOT OSArchitecture = "64-bit"
Any Windows Server OS – 64-bit
select * from Win32_OperatingSystem where (ProductType = "2") OR (ProductType = "3") AND OSArchitecture = "64-bit"
Any Windows Server – Domain Controller
select * from Win32_OperatingSystem where (ProductType = "2")
Any Windows Server – Domain Controller – 32-bit
select * from Win32_OperatingSystem where (ProductType = "2") AND NOT OSArchitecture = "64-bit"
Any Windows Server – Domain Controller – 64-bit
select * from Win32_OperatingSystem where (ProductType = "2") AND OSArchitecture = "64-bit"
Any Windows Server – Non-Domain Controller
select * from Win32_OperatingSystem where (ProductType = "3")
Any Windows Server – Non- Domain Controller – 32-bit
select * from Win32_OperatingSystem where (ProductType = "3") AND NOT OSArchitecture = "64-bit"
Any Windows Server – Non-Domain Controller – 64-bit
select * from Win32_OperatingSystem where (ProductType = "3") AND OSArchitecture = "64-bit"
WINDOWS SERVER 2003
Windows Server 2003 – DC
select * from Win32_OperatingSystem WHERE Version like "5.2%" AND ProductType="2"
Windows Server 2003 – non-DC
select * from Win32_OperatingSystem WHERE Version like "5.2%" AND ProductType="3"
Windows Server 2003 – 32-bit – DC
select * from Win32_OperatingSystem WHERE Version like "5.2%" AND ProductType="2" AND NOT OSArchitecture = "64-bit"
Windows Server 2003 – 32-bit – non-DC
select * from Win32_OperatingSystem WHERE Version like "5.2%" AND ProductType="3" AND NOT OSArchitecture = "64-bit"
Windows Server 2003 – 64-bit – DC
select * from Win32_OperatingSystem WHERE Version like "5.2%" AND ProductType="2" AND OSArchitecture = "64-bit"
Windows Server 2003 – 64-bit – non-DC
select * from Win32_OperatingSystem WHERE Version like "5.2%" AND ProductType="3" AND OSArchitecture = "64-bit"
WINDOWS SERVER 2003 R2
Windows Server 2003 R2 – DC
select * from Win32_OperatingSystem WHERE Version like "5.2.3%" AND ProductType="2"
Windows Server 2003 R2 – non-DC
select * from Win32_OperatingSystem WHERE Version like "5.2.3%" AND ProductType="3"
Windows Server 2003 R2 – 32-bit – DC
select * from Win32_OperatingSystem WHERE Version like "5.2.3%" AND ProductType="2" AND NOT OSArchitecture = "64-bit"
Windows Server 2003 R2 – 32-bit – non-DC
select * from Win32_OperatingSystem WHERE Version like "5.2.3%" AND ProductType="3" AND NOT OSArchitecture = "64-bit"
Windows Server 2003 R2 – 64-bit – DC
select * from Win32_OperatingSystem WHERE Version like "5.2.3%" AND ProductType="2" AND OSArchitecture = "64-bit"
Windows Server 2003 R2 – 64-bit – non-DC
select * from Win32_OperatingSystem WHERE Version like "5.2.3%" AND ProductType="3" AND OSArchitecture = "64-bit"
WINDOWS SERVER 2008
Windows Server 2008 – DC
select * from Win32_OperatingSystem WHERE Version like "6.0%" AND ProductType="2"
Windows Server 2008 – non-DC
select * from Win32_OperatingSystem WHERE Version like "6.0%" AND ProductType="3"
Windows Server 2008 – 32-bit – DC
select * from Win32_OperatingSystem WHERE Version like "6.0%" AND ProductType="2" AND NOT OSArchitecture = "64-bit"
Windows Server 2008 – 32-bit – non-DC
select * from Win32_OperatingSystem WHERE Version like "6.0%" AND ProductType="3" AND NOT OSArchitecture = "64-bit"
Windows Server 2008 – 64-bit – DC
select * from Win32_OperatingSystem WHERE Version like "6.0%" AND ProductType="2" AND OSArchitecture = "64-bit"
Windows Server 2008 – 64-bit – non-DC
select * from Win32_OperatingSystem WHERE Version like "6.0%" AND ProductType="3" AND OSArchitecture = "64-bit"
WINDOWS SERVER 2008 R2
Windows Server 2008 R2 – 64-bit – DC
select * from Win32_OperatingSystem WHERE Version like "6.1%" AND ProductType="2"
Windows Server 2008 R2 – 64-bit – non-DC
select * from Win32_OperatingSystem WHERE Version like "6.1%" AND ProductType="3"
WINDOWS SERVER 2012
Windows Server 2012 – 64-bit – DC
select * from Win32_OperatingSystem WHERE Version like "6.2%" AND ProductType="2"
Windows Server 2012 – 64-bit – non-DC
select * from Win32_OperatingSystem WHERE Version like "6.2%" AND ProductType="3"
WINDOWS SERVER 2012 R2
Windows Server 2012 R2 – 64-bit – DC
select * from Win32_OperatingSystem WHERE Version like "6.3%" AND ProductType="2"
Windows Server 2012 R2 – 64-bit – non-DC
select * from Win32_OperatingSystem WHERE Version like "6.3%" AND ProductType="3"
WINDOWS SERVER 2016
Windows Server 2016 – 64-bit – DC
select * from Win32_OperatingSystem WHERE Version like "10.0%" AND ProductType="2"
Windows Server 2016 – 64-bit – non-DC
select * from Win32_OperatingSystem WHERE Version like "10.0%" AND ProductType="3"

http://www.nogeekleftbehind.com/2016/01/19/os-version-queries-for-wmi-filters/

Создание правила рарешающего запуск программ только с определенного места

Создаем bat файл С:\CustomApp\app1.bat с содержимым:

rem testing app
pause
_________________________________________________________________________________

dsa.msc> создаем отдельную OU для клиентских компьютеров Client Computers

Перемещаем в ou Client Computers клиентский компьютер.

gpmc.msc> Group Policy Objects> new GPO имя политики Software Control

Нажимаем правой кнопкой по Software Control и выбираем edit
Разворачиваем ветвь в редактор GPO Computer Configuration\Policies \Windows Settings\Security Settings\Application Control Policies\AppLocker

Разворачиваем ветвь AppLocker и кликаем правой кнопкой по Executable Rules выбираем пункт Create Default Rules тоже самое повторяем для Windows Installer Rules, Script Rules и Packaged app Rules.  




Правой кнопкой нажимаем по Script rules, и кликаем по Create New Rule

 В окне  Before You Begin жмем Next.

  
На странице Permissions , кликаем Allow и нажимаем далее Next.

На странице Conditions кликаем по Path и нажимаем далее Next 

На странице Path, в поле Path, указываем  %OSDRIVE%\CustomApp\app1.bat, (приложение app1.bat которое можно будет запустить с  C:\CustomApp) и нажимаем Next.

На странице Exception , кликаем Next.

На странице Name and Description пишем имя правила Custom Application Rule и жмем Create.

 

Переходим в раздел AppLocker и нажимаем по Configure rule enforcement (справа)

В окне AppLocker Properties ставим чекбоксы Configured и значение Enforce rules у паремтров Executable rules, Windows Installer Rules, Script Rules и Packaged app Rules

Проверяем работу правила

• Запускаем на клиенте gpupdate /force 
• Перезагружаем компьютер
• Заходим на компьютер под пользователем (не под админом)
• Запускаем файл С:\customapp\app1.bat (файл запускается)
• Копируем файл в папку Documents и пробуем запустить, если все нормально отработало, то мы получаем уведомление:
  “This program is blocked by Group Policy. For more information, contact your system administrator.” 

После добавления этого правила пользователям буде разрешено запускать приложения которые находятся в папках C:\Windows и C:\Program Files и в папке  C:\CustomApp