Belangrijkste punten
- Beperk de acties van gebruikers zonder beheerdersrechten via lokaal groepsbeleid zonder dat dit gevolgen heeft voor beheerdersaccounts.
- Gebruik aangepaste MMC-portalen om beleid gericht toe te passen op gebruikers of groepen zonder beheerdersrechten.
- Blokkeer specifieke gebruikers op detailniveau zodat zij geen systeeminstellingen kunnen wijzigen of ongeautoriseerde applicaties kunnen installeren.
Deze gids geeft stap voor stap instructies om lokaal groepsbeleid toe te passen op niet-beheerders in Windows 11 en Windows 10 en laat zien waarom dat nuttig is bij het beheer van Windows-systemen. Daarnaast vindt u uitleg over lokaal groepsbeleid in Windows, tips voor het oplossen van problemen en beste praktijken om Windows-groepsbeleid op grote schaal te beheren.
Wilt u lokaal groepsbeleid toepassen op een andere gebruikersgroep of een specifieke gebruiker? Bekijk dan:
In alle andere gevallen kunt u verder met de stapsgewijze handleiding hieronder.
Lokaal groepsbeleid in Windows uitgelegd
Groepsbeleid is een functie van het Windows-besturingssysteem waarmee u Windows-devices centraal beheert, inclusief systeem- en gebruikersinstellingen en de configuratie van applicaties. Denk daarbij aan het beheren van beveiligingsbeleid, gebruikersrechten, netwerkconfiguratie en de manier waarop gebruikersprofielen worden beheerd.
Groepsbeleid bestaat uit Group Policy Objects (GPO’s). Elke GPO bevat een reeks configuratieopties die bepalen hoe de bijbehorende Windows-functie of applicatie zich gedraagt. GPO’s kunnen worden toegepast als Computerconfiguratie (van toepassing op een specifiek Windows-device en op iedere gebruiker die daarop is aangemeld) of als Gebruikersconfiguratie (alleen van toepassing op één gebruikersaccount zolang die is aangemeld, ongeacht het device).
Veelvoorkomende configuratietaken met Windows-groepsbeleid en Group Policy Objects zijn:
- Netwerkschijven of gedeelde printers automatisch configureren.
- Aanmeldscripts instellen.
- Browserinstellingen zoals zoekmachines en startpagina’s automatisch configureren.
- Firewall en antivirus inschakelen.
- Toegang tot applicaties of Windows-functies blokkeren (bijvoorbeeld de Register-editor ontoegankelijk maken voor gebruikers zonder beheerdersrechten).
Windows-groepsbeleid valt uiteen in twee categorieën:
- Lokaal groepsbeleid: lokaal beleid geldt alleen voor de machine waarop het is geconfigureerd. Let op: lokale Group Policy Objects worden overschreven door domein-GPO’s uit groepsbeleid in Active Directory.
- Groepsbeleid in Active Directory: Group Policy Objects kunnen worden gedefinieerd in een Active Directory-domein om gebruikers of computers in een zakelijke omgeving te beheren. De reikwijdte van dit beleid hangt af van de Organizational Unit (OU) van de gebruiker of het device binnen Active Directory.
Waarom groepsbeleid toepassen op niet-beheerders?
Groepsbeleid wordt meestal gebruikt in zakelijke omgevingen als onderdeel van een Active Directory-domein voor centraal beheer van Windows-devices. Toch hebben ook beheerders van kleinschalige Windows-omgevingen bij bedrijven en thuisgebruikers baat bij beperkingen voor gebruikers zonder beheerdersrechten. Daarmee kunnen zij:
- Voorkomen dat gebruikers systeeminstellingen wijzigen, hun machine onbruikbaar maken of cruciale functies zoals firewalls of antivirus uitschakelen.
- Voorkomen dat gebruikers software installeren en scripts uitvoeren als zij geneigd zijn malware te installeren of verdachte e-mailbijlagen te openen.
- Ervoor zorgen dat Windows-updates regelmatig worden geïnstalleerd.
- Standaardapplicaties afdwingen, zoals een specifieke webbrowser of mailclient.
- De algehele beveiliging en betrouwbaarheid van de Windows-devices onder hun beheer verbeteren door alleen zelf configuratiewijzigingen door te voeren die getest en gedocumenteerd zijn.
Lees onze gids “Alle instellingen van lokaal groepsbeleid terugzetten naar de standaardwaarden in Windows“
Vereisten om groepsbeleid toe te passen op niet-beheerders
In de Home-edities van Windows kunt u lokaal groepsbeleid niet beheren. Om lokaal groepsbeleid of groepsbeleid in Active Directory te gebruiken, hebt u een van de volgende Windows-versies nodig:
- Een gebruikersaccount met beheerdersrechten.
- Windows 7/8 Pro, Enterprise of Ultimate (EoS-versies).
- Windows 10 (EoS) & 11 Pro, Enterprise of Education.
Houd er rekening mee dat het gebruik van EoS-versies (End of Support) of niet-ondersteunde versies van het Windows-OS risico’s met zich meebrengt.
Stappenplan: lokaal groepsbeleid toepassen op niet-beheerders
Groepsbeleid voor niet-beheerders beheert u het efficiëntst met een aangepast venster van de Microsoft Management Console (MMC) dat groepsbeleid bewerkt voor uitsluitend gebruikers zonder beheerdersrechten.
Volg hiervoor deze stappen:
1. Klik met de rechtermuisknop op de knop Start en selecteer Uitvoeren.
2. Klik op OK en vervolgens op Ja bij de melding van Gebruikersaccountbeheer om de MMC te openen.
3. Selecteer daarna Bestand in het navigatiemenu en kies Module toevoegen/verwijderen.
4. Selecteer Groepsbeleidsobject-editor in de lijst met Beschikbare modules.
5. Klik op de knop Toevoegen → om de module toe te voegen aan de lijst met Geselecteerde modules.
6. Klik op de knop Bladeren in het venster Groepsbeleidsobject selecteren.
7. Selecteer het tabblad Gebruikers, kies de gebruikersgroep Niet-beheerders (of een andere gebruikersgroep waarop u specifiek beleid wilt toepassen) en klik op OK.
8. Klik op Voltooien in het venster Groepsbeleid selecteren en vervolgens op OK in het venster Modules toevoegen of verwijderen.
9. In het MMC-venster ziet u nu in het navigatievenster uw Editor voor lokaal groepsbeleid voor gebruikers zonder beheerdersrechten.
10. Klik op Bestand, dan op Opslaan als en sla deze aangepaste MMC-weergave op het bureaublad op als Editor voor groepsbeleid voor niet-beheerders.
11. Voortaan kunt u alle bovenstaande stappen overslaan en gewoon het MMC-bestand op uw bureaublad openen wanneer u gebruikersbeleid wilt beheren.
Alle wijzigingen in groepsbeleid die u in dit MMC-venster doorvoert, gelden uitsluitend voor gebruikers zonder beheerdersrechten. Zo kunt u bijvoorbeeld groepsbeleid instellen dat niet-beheerders verhindert het configuratiescherm te openen:
1. Open de MMC via het bestand dat u hierboven hebt aangemaakt.
2. Ga naar Lokale computer/Beleid voor niet-beheerders/Gebruikersconfiguratie/Beheersjablonen/Configuratiescherm.
3. Dubbelklik op Toegang tot het Configuratiescherm en pc-instellingen verbieden.
4. Selecteer Ingeschakeld in het instellingenvenster en klik op OK.
5. Voer een reboot uit of gebruik het commando gpupdate /force in PowerShell of de opdrachtprompt om de wijzigingen door te voeren.
Wilt u deze wijzigingen terugdraaien? Herhaal dan het proces, maar selecteer bij de instelling Toegang tot het Configuratiescherm en pc-instellingen verbieden niet Ingeschakeld maar Uitgeschakeld of Niet geconfigureerd.
Test instellingen die u via lokaal groepsbeleid aanpast altijd na de uitrol, zodat u zeker weet dat ze het beoogde effect hebben.
Wilt u dit proces liever visueel volgen? Bekijk dan onze stapsgewijze videogids: Lokaal groepsbeleid toepassen op niet-beheerders in Windows 11 & 10.
Veelvoorkomende problemen met lokaal groepsbeleid oplossen
Worden uw wijzigingen in het lokale groepsbeleid niet doorgevoerd bij gebruikers zonder beheerdersrechten? Controleer dan het volgende:
- Ga na of het beleid aan de juiste gebruikersgroep is toegewezen.
- Controleer of de gebruikers die u wilt beheren lid zijn van de doelgroep.
Worden uw wijzigingen wel toegepast op beheerders terwijl dat niet de bedoeling is? Controleer dan of:
- U het beleid niet aan de machine hebt toegewezen in plaats van aan de beoogde gebruikersgroep.
- Uw beleid op de juiste gebruikersgroep is gericht.
Met gpresult /r geeft u alle actieve groepsbeleidsregels weer. Bij conflicterend beleid geldt altijd het meest restrictieve beleid.
Maakt u een fout bij het instellen van groepsbeleid en kunt u de oorzaak niet achterhalen om één wijziging zelf terug te draaien? Dan kunt u al het groepsbeleid herstellen door de volgende commando’s als beheerder uit te voeren:
gpupdate /force
secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose
Voer een reboot van uw device uit om het proces te voltooien – hiermee worden zowel het beleid voor computerconfiguratie als dat voor gebruikersconfiguratie gereset.
Lukt het niet om de Editor voor lokaal groepsbeleid te openen? Bekijk dan de video “De Editor voor lokaal groepsbeleid openen in Windows 10 en Windows 11” voor andere manieren.
→ Moet u een update van groepsbeleid op afstand afdwingen? Dan helpt deze GPUpdate-gids u verder.
Lokaal groepsbeleid in Windows uitgelegd
Groepsbeleid is een functie waarmee u Windows-devices centraal beheert, inclusief systeem- en gebruikersinstellingen en de configuratie van applicaties. Denk daarbij aan het beheren van beveiligingsbeleid, gebruikersrechten, netwerkconfiguratie en gebruikersprofielen.
Veelvoorkomende configuratietaken met Windows-groepsbeleid en Group Policy Objects zijn:
- Netwerkschijven of gedeelde printers automatisch configureren.
- Aanmeldscripts instellen.
- Browserinstellingen zoals zoekmachines en startpagina’s automatisch configureren.
- Firewall en antivirus inschakelen.
- Toegang tot applicaties of Windows-functies blokkeren (bijvoorbeeld de Register-editor ontoegankelijk maken voor gebruikers zonder beheerdersrechten).
Deze configuraties helpen om beveiliging, consistentie en controle te waarborgen op alle Windows-devices en gebruikersgroepen.
Waarom groepsbeleid toepassen op niet-beheerders?
Groepsbeleid wordt meestal gebruikt in zakelijke omgevingen binnen een Active Directory-domein voor centraal beheer van Windows-devices. Toch hebben ook beheerders van kleinschalige Windows-omgevingen bij bedrijven en thuisgebruikers baat bij beperkingen voor gebruikers zonder beheerdersrechten. Daarmee kunnen zij:
- Voorkomen dat gebruikers systeeminstellingen wijzigen en hun machine onbruikbaar maken of cruciale functies zoals firewalls of antivirussoftware uitschakelen.
- Voorkomen dat gebruikers software installeren en scripts uitvoeren als zij geneigd zijn malware te installeren of verdachte e-mailbijlagen te openen.
- Ervoor zorgen dat Windows-updates regelmatig worden geïnstalleerd.
- Standaardapplicaties afdwingen, zoals een specifieke webbrowser of mailclient.
Daarnaast gebruiken teams GPO’s om de algehele beveiliging en betrouwbaarheid van de Windows-devices onder hun beheer te verbeteren door ervoor te zorgen dat configuratiewijzigingen door bevoegd personeel worden getest en gedocumenteerd.
Lees onze gids “Alle instellingen van lokaal groepsbeleid terugzetten naar de standaardwaarden in Windows“
Hoe beheert u Windows-groepsbeleid op enterprise-schaal?
Met Windows-groepsbeleid in Active Directory beheert u duizenden devices centraal op basis van locatie, gebruikersrol of type device. Speciale oplossingen voor endpoint management vereenvoudigen en versterken dit proces, omdat u wijzigingen eenvoudiger kunt uitrollen, verifiëren en testen om beveiligingshiaten te voorkomen. Deze proactieve aanpak zorgt voor zowel veiligheid als operationele efficiëntie in zakelijke omgevingen en bij MSP-klanten.
Gerelateerde onderwerpen:
