Belangrijkste punten
- Lokaal groepsbeleid kan uitsluitend op beheerders worden toegepast via de MMC-snap-inmethode in Windows Pro, Enterprise of Education.
- Een aangepaste Groepsbeleid-editor richt zich op de lokale groep Administrators en biedt zo nauwkeurige, gebruikersspecifieke controle.
- Met gpupdate /force of een reboot worden de nieuwe GPO-instellingen toegepast en met gpresult /r controleert u ze.
- Beheerdersaccounts beveiligt u door scripts, apps en systeemwijzigingen te beperken met beleid dat alleen voor beheerders geldt.
In deze handleiding leest u hoe u lokaal groepsbeleid toepast op beheerders in Windows 11 en Windows 10. Met deze opzet kunnen IT-teams beveiligingsinstellingen afdwingen en acties specifiek voor beheerdersaccounts beperken. Zo voorkomt u misbruik van verhoogde rechten, verkleint u beveiligingsrisico’s en zorgt u voor compliance met het beleid van uw organisatie.
Wilt u lokaal groepsbeleid toepassen op een andere gebruikersgroep of een specifieke gebruiker? Bekijk dan:
- Zo past u lokaal groepsbeleid toe op specifieke gebruikers
- Zo past u lokaal groepsbeleid toe op niet-beheerders
In alle andere gevallen kunt u verdergaan met de stapsgewijze handleiding hieronder.
Wilt u lokaal groepsbeleid juist toepassen op niet-beheerders? Bekijk dan onze videohandleiding: Zo past u lokaal groepsbeleid toe op niet-beheerders in Windows 11 & 10.
Lokaal groepsbeleid in Windows uitgelegd
Groepsbeleid is een Windows-functie die beschikbaar is in de Pro-, Enterprise- en Server-varianten van het besturingssysteem. Hiermee beheert en configureert u Windows-devices, inclusief systeem- en gebruikersinstellingen en de configuratie van applicaties van derden. Het is dé manier om het beveiligingsbeleid, de gebruikersrechten, de netwerkconfiguratie en de gebruikersprofielen van Windows te beheren.
Groepsbeleid bestaat uit Group Policy Objects (GPO’s). Elk afzonderlijk GPO bevat een aantal configuratieopties die bepalen hoe de bijbehorende Windows-functie of applicatie werkt. GPO’s worden toegepast als Computerconfiguratie, die geldt voor een specifiek Windows-device en iedere gebruiker die daarop is aangemeld of als Gebruikersconfiguratie, die geldt voor één gebruikersaccount zolang die is aangemeld, ongeacht het device waarop dat gebeurt.
Enkele configuraties die vaak met Windows-groepsbeleid en Group Policy Objects worden doorgevoerd:
- Netwerkshares en gedeelde printers automatisch configureren.
- Aanmeld- en afmeldscripts instellen.
- Browserinstellingen automatisch configureren, zoals proxy’s en het al dan niet toestaan van scripts.
- Anti-malware- en firewallregels configureren.
- Toegang tot bepaalde applicaties of Windows-functies blokkeren.
Soorten Windows-groepsbeleid
- Lokaal groepsbeleid: lokaal groepsbeleid geldt alleen voor het specifieke device waarop het is geconfigureerd. Belangrijk: lokale Group Policy Objects worden overschreven door domein-GPO’s uit het groepsbeleid in Active Directory.
- Groepsbeleid in Active Directory: Group Policy Objects kunnen worden aangemaakt in een Windows-Active Directory-domein. Het bereik van dit beleid hangt af van de OU (Organizational Unit) van de gebruiker of het device binnen Active Directory. Active Directory wordt meestal uitgerold om Windows-devices en gebruikers in een enterpriseomgeving te beheren.
💡Houd er rekening mee dat lokale GPO’s kunnen worden overschreven door GPO’s op domeinniveau.
Vereisten voor het toepassen van groepsbeleid op gebruikersgroepen
In de Home-edities van Windows kunt u lokaal groepsbeleid niet beheren. Om lokaal groepsbeleid of groepsbeleid in Active Directory te gebruiken, hebt u een van de volgende Windows-versies nodig:
- Een gebruikersaccount met beheerdersrechten.
- Windows 7/8 Pro, Enterprise of Ultimate (EoS-versies).
- Windows 10 (EoS) & 11 Pro, Enterprise of Education.
Houd er rekening mee dat er risico’s kleven aan het gebruik van EoS- of niet-ondersteunde versies van het Windows-OS.
Stappen om lokaal groepsbeleid toe te passen op beheerders
Om groepsbeleid voor beheerders te beheren, kunt u een aangepast Microsoft Management Console-venster (MMC) maken dat groepsbeleid uitsluitend bewerkt voor gebruikers in de groep Administrators:
1. Klik met de rechtermuisknop op de knop Start en selecteer Uitvoeren.
2. Klik op OK en klik op Ja bij de melding van Gebruikersaccountbeheer om de MMC te openen.
3. Selecteer Bestand in het navigatiemenu en kies daarna Module toevoegen/verwijderen.
4. Kies Groepsbeleidsobject-editor en klik op de knop Toevoegen →.
5. Klik op de knop Bladeren in het venster Groepsbeleidsobject selecteren.
6. Selecteer het tabblad Gebruikers.
Let op: ziet u het tabblad niet, dan is uw systeem mogelijk aan een domein gekoppeld of beperkt door beleid.
7. Selecteer de groep Administrators en klik op OK.
8. Klik op Voltooien in het venster Groepsbeleid selecteren en klik daarna op OK in het venster Modules toevoegen of verwijderen.
9. In het MMC-venster ziet u nu in het navigatievenster uw Editor voor lokaal groepsbeleid voor gebruikers met beheerdersrechten.
10. Selecteer Bestand en daarna Opslaan als en sla deze aangepaste MMC-weergave op het bureaublad op als Groepsbeleid-editor voor beheerders.
Test uw beleid eerst op een niet-kritiek beheerdersaccount om te voorkomen dat u zichzelf onbedoeld buitensluit of het systeem te zwaar beperkt.
Voortaan kunt u alle bovenstaande stappen overslaan wanneer u gebruikersbeleid wilt beheren: open simpelweg het MMC-bestand op uw bureaublad om direct naar de Groepsbeleid-editor voor beheerders te gaan.
Voorbeeldbeleid: het bureaubladpictogram van Internet Explorer verbergen voor beheerders
Alle wijzigingen die u in dit MMC-venster aanbrengt in het groepsbeleid gelden alleen voor gebruikers met beheerdersrechten op het lokale systeem. U kunt bijvoorbeeld groepsbeleid instellen dat het Internet Explorer-pictogram op het bureaublad verbergt voor Administrators:
- Open de MMC via het bestand dat u hierboven hebt gemaakt.
- Ga naar Lokale computer/Beleid voor Administrators/Gebruikersconfiguratie/Beheersjablonen/Bureaublad.
- Dubbelklik op de instelling Pictogram van Internet Explorer op bureaublad verbergen.
- Selecteer Ingeschakeld in het instellingenvenster en klik daarna op OK.
- Om de wijzigingen toe te passen, voert u een reboot uit of draait u gpupdate /force in PowerShell of de opdrachtprompt.
Wilt u wijzigingen terugdraaien, herhaal dan hetzelfde proces, maar selecteer in de instelling Pictogram van Internet Explorer op bureaublad verbergen de optie Uitgeschakeld of Niet geconfigureerd in plaats van Ingeschakeld.
Test elk GPO na de configuratie grondig om implementatieproblemen te voorkomen en zeker te weten dat het het beoogde effect heeft.
Wilt u deze stappen liever zien? Bekijk dan de videohandleiding: Zo past u lokaal groepsbeleid toe op beheerders in Windows 11 & 10.
Lokaal groepsbeleid in Windows uitgelegd
Groepsbeleid is beschikbaar in de Pro-, Enterprise- en Server-varianten van Windows. De functie stelt IT-teams vooral in staat om het beveiligingsbeleid, de gebruikersrechten, de netwerkconfiguratie en de gebruikersprofielen van een Windows-device te beheren.
Groepsbeleid bestaat uit Group Policy Objects (GPO’s), elk met eigen configuratieopties die bepalen hoe de bijbehorende Windows-functie of applicatie werkt. Beleid kan lokaal of via Active Directory worden afgedwongen:
- Lokaal groepsbeleid: lokaal groepsbeleid geldt alleen voor het specifieke device waarop het is geconfigureerd. Let op: lokale Group Policy Objects worden overschreven door domein-GPO’s in Active Directory.
- Groepsbeleid in Active Directory: Group Policy Objects kunnen worden aangemaakt in een Windows-Active Directory-domein. Dit beleid is gericht op de OU (Organizational Unit) van de gebruiker of het device binnen Active Directory. Active Directory wordt meestal uitgerold om Windows-devices en gebruikers in een enterpriseomgeving te beheren.
Deze GPO’s worden toegepast als Computerconfiguratie, die geldt voor een specifiek Windows-device en iedere gebruiker die daarop is aangemeld of als Gebruikersconfiguratie, die geldt voor één gebruikersaccount zolang die is aangemeld, ongeacht het device waarop dat gebeurt.
Enkele configuraties die vaak met Windows-groepsbeleid en Group Policy Objects worden doorgevoerd:
- Netwerkshares en gedeelde printers automatisch configureren.
- Aanmeld- en afmeldscripts instellen.
- Browserinstellingen automatisch configureren, zoals proxy’s en het al dan niet toestaan van scripts.
- Anti-malware- en firewallregels configureren.
Toegang tot bepaalde applicaties of Windows-functies blokkeren.
Met deze veelgebruikte configuraties behouden IT-teams de beveiliging, consistentie en controle over hun Windows-infrastructuur.
Veelvoorkomende problemen met lokaal groepsbeleid oplossen
Als de instellingen in het lokale groepsbeleid geen effect hebben, kunt u het probleem als volgt onderzoeken:
- Controleer of het beleid is toegewezen aan de gebruikersgroep Administrators.
- Controleer of de gebruikers voor wie de instellingen moeten gelden ook daadwerkelijk Administrators zijn op de lokale machine.
Worden de instellingen toegepast op niet-beheerders in plaats van (of naast) beheerders, controleer dan of:
- U het groepsbeleid niet toewijst aan de machine (wat voor alle gebruikers daarop geldt) in plaats van aan een gebruikersgroep.
- Uw groepsbeleid op de beoogde gebruikersgroep is gericht.
Voer gpresult /r uit op de opdrachtregel om alle actieve groepsbeleidsregels op te sommen. Bij conflicterend groepsbeleid geldt altijd het meest restrictieve beleid.
Groepsbeleid resetten (gevorderd)
Maakt u een fout bij het configureren van groepsbeleid en kunt u niet achterhalen welk specifiek beleid u moet terugdraaien, dan kunt u al het groepsbeleid herstellen door de volgende opdrachten als beheerder uit te voeren:
gpupdate /force
secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose
U moet uw device opnieuw opstarten om het proces te voltooien. De bovenstaande opdracht reset zowel het beleid voor de computerconfiguratie als dat voor de gebruikersconfiguratie.
Lukt het niet om de Editor voor lokaal groepsbeleid te openen? Bekijk dan de video “Zo opent u de Editor voor lokaal groepsbeleid in Windows 10 en Windows 11” voor alternatieve methodes.
Waarom lokaal groepsbeleid alleen op beheerders toepassen?
Meestal wordt groepsbeleid uitgerold in een Active Directory-domein om meerdere Windows-devices centraal te beheren. Bij kleinere omgevingen loont het echter om groepsbeleid lokaal aan te maken en te beheren om:
- Te voorkomen dat beheerdersaccounts voor niet-administratieve doeleinden worden gebruikt, door apps te blokkeren.
- Te voorkomen dat niet-administratieve gebruikers scripts uitvoeren.
- Te voorkomen dat standaardgebruikers toegang krijgen tot e-mailclients of andere potentiële malware-vectoren terwijl ze als beheerder zijn aangemeld.
Daarnaast voorkomt deze opzet dat eindgebruikers systeeminstellingen wijzigen en de systeemcompatibiliteit of afhankelijkheden verstoren of kritieke functies zoals firewalls of antivirussoftware uitschakelen.
Windows-groepsbeleid effectief beheren op grote schaal
Het beheren van een vloot Windows-devices via een vertrouwd netwerk en vertrouwde tools versnelt de uitrol op grote schaal. Met Windows-groepsbeleid in Active Directory beheert u bijvoorbeeld duizenden endpoints en past u groepsbeleid toe op basis van de locatie of het type van het device of de rol van de gebruiker.
Een speciale oplossing voor endpoint management voor enterprises gaat daarin nog een stap verder met centrale controle, automatisering en betere beveiliging. Die proactieve aanpak wordt bovendien steeds belangrijker in het huidige cybersecuritylandschap, waarin hiaten in uw netwerk- of deviceconfiguratie tot kostbaardere en ontwrichtendere incidenten kunnen leiden.
Gerelateerde onderwerpen:
