Uitrollen met Group Policy
De extensie, het aanmeldscript en de desktop-app via groepsbeleid in Active Directory, ook op RDS-servers.
Dit artikel is voor organisaties die hun werkplekken met groepsbeleid (Group Policy) in Active Directory beheren in plaats van met Microsoft Intune, bijvoorbeeld omdat een groot deel van de medewerkers werkt op servers met Remote Desktop Services (RDS). Je doorloopt dezelfde stappen als bij de beheerde uitrol met Intune: identiteit, zakelijk aanmelden meegeven, de extensie automatisch installeren, eventueel de desktop-app, en controleren. Wat per stap anders is, staat hieronder. Gebruik je beide, bijvoorbeeld groepsbeleid op de RDS-servers en Intune op laptops, dan volg je per groep apparaten het artikel dat bij die route hoort.
Wat je nodig hebt
- Rechten om groepsbeleid te bewerken en te koppelen, en actuele ADMX-sjablonen van Chrome en Edge in je centrale beleidsarchief.
- Een geverifieerd domein en een gekoppelde identity-provider in BeeSensible. Die stap is voor elke route gelijk en staat in Identiteit.
- Een test-OU met de apparaten of RDS-servers waarop je begint.
- Uitgaand verkeer naar de hosts van BeeSensible, zoals beschreven in Netwerk en firewall.
Klik in de uitrolconsole bij Uitrolprofiel op Wijzig en vink de route Group Policy aan. Heb je meer dan één route aangevinkt, dan wissel je met Uitleg voor tussen de instructies. De console toont dan per stap het pad in Group Policy Management en biedt de bestanden aan die je in dit artikel nodig hebt.
Centrale uitrol in het dashboardOrganisatie, tabblad Centrale uitrol, route Group Policy.De extensie automatisch installeren
Met de beleidsregel ExtensionInstallForcelist installeer je de extensie verplicht in Chrome en Edge. Het is computerbeleid: het geldt voor iedereen die zich aanmeldt op een apparaat waarop het groepsbeleidsobject (GPO) van toepassing is.
Download het .reg-bestand of neem de waarden over
De console biedt bij de stap Extensie automatisch installeren de knop Download .reg (Windows, GPO). Dat bestand zet de regel voor beide browsers. Wil je de regel liever in de GPO zelf instellen, dan neem je per browser deze waarde over:
cnlogmngeghlgbncagnoodfjkbaknnbo;https://clients2.google.com/service/update2/crxplnhmaecddjmliagaedlgagopdcahlgb;https://edge.microsoft.com/extensionwebstorebase/v1/crxHet .reg-bestand gebruikt de waardenaam 1. Staan er onder die sleutel al andere verplichte extensies, verhoog het nummer dan naar het eerstvolgende vrije nummer, anders overschrijf je een bestaande regel.
Stel de regel in op de GPO
Maak of bewerk een GPO op je test-OU en open in Group Policy Management Computerconfiguratie → Beheersjablonen → Google Chrome → Extensies en Computerconfiguratie → Beheersjablonen → Microsoft Edge → Extensies. Open daar ExtensionInstallForcelist en voeg de waarde van hierboven toe, of importeer het .reg-bestand.
Koppel de GPO en ververs het beleid
Koppel de GPO aan de OU met de apparaten van je doelgroep. Het beleid komt binnen bij de volgende vernieuwing; wil je niet wachten, voer dan op het apparaat het volgende uit: gpupdate /force
Zakelijk aanmelden meegeven
Het aanmeldscript is hetzelfde script als bij Intune. Het zoekt voor elke gebruiker die op dat moment op het apparaat is aangemeld het werkadres op en schrijft dat als aanmeldhint (loginHint) in het browserbeleid van Chrome en Edge en in een registersleutel voor de desktop-app. De extensie gebruikt die hint, zodat de medewerker bij de eerste aanmelding geen adres hoeft te typen. Omdat het script alleen gebruikers ziet die op dat moment zijn aangemeld, laat je het bij elke aanmelding draaien met een geplande taak. Een opstartscript onder Computerconfiguratie werkt hiervoor niet, omdat dat draait voordat er een gebruiker is aangemeld.
Download het aanmeldscript
De console biedt bij de stap Zakelijk aanmelden meegeven de knop Download aanmeldscript (.ps1). Zet het bestand op een plek die elk apparaat als SYSTEM kan lezen, bijvoorbeeld de NETLOGON-share van je domein.
Maak een geplande taak in de GPO
Open in dezelfde of een nieuwe GPO Computerconfiguratie → Voorkeuren → Instellingen van het Configuratiescherm → Geplande taken en voeg een nieuwe geplande taak (minimaal Windows 7) toe met deze instellingen:
| Onderdeel | Invullen |
|---|---|
| Account | NT AUTHORITY\SYSTEM |
| Trigger | Bij aanmelden, voor elke gebruiker |
| Actie | Een programma starten |
Als taakactie gebruik je de volgende opdracht, waarin <domein> staat voor de naam van je eigen domein:
powershell.exe -NoProfile -ExecutionPolicy Bypass -File "\\<domein>\NETLOGON\beesensible-managed-login.ps1"
Het script heeft 64-bits PowerShell nodig en stopt in een 32-bits omgeving. Een geplande taak op 64-bits Windows start powershell.exe als 64-bits proces, dus met deze actie gaat dat goed.
Koppel de GPO en ververs het beleid
Koppel de GPO aan de OU met de apparaten van je doelgroep en voer op het testapparaat gpupdate /force uit. Meld je daarna opnieuw aan als testgebruiker, zodat de taak draait.
Het script haalt het werkadres uit een cache waarin Windows de aanmelding van de gebruiker bijhoudt. Kent Windows het werkadres van een gebruiker niet, dan slaat het script die gebruiker over en krijgt hij geen aanmeldhint; de medewerker vult bij de eerste aanmelding dan eenmalig zelf zijn werkadres in.
Wijkt het domein van de gebruikersnaam (UPN) af van het domein van het e-mailadres, verifieer dan ook het UPN-domein bij Identiteit.
loginHint ontbreekt
Ontbreekt loginHint na een nieuwe aanmelding van de testgebruiker, loop dan deze oorzaken in volgorde na:
- De taak heeft niet gedraaid of is mislukt. In Taakplanner op het apparaat zie je de laatste uitvoering en het resultaat; het script eindigt met code 1 als het voor geen enkele gebruiker een adres kon wegschrijven.
- Het apparaat kan het script niet lezen. De taak draait als SYSTEM, dus het computeraccount heeft leesrechten op de share nodig.
- Windows kent het werkadres van de gebruiker niet. Bij accounts uit een on-premises Active Directory kan de cache waaruit het script leest leeg zijn, zoals hierboven beschreven.
Wil je dat Chrome de Windows-aanmelding doorgeeft aan Microsoft, zodat er bij de aanmelding geen scherm van Microsoft verschijnt, dan stel je ook CloudAPAuthEnabled in; de regel staat in dezelfde Chrome-sjablonen onder Computerconfiguratie. De regel geeft de aanmelding door van apparaten die aan Microsoft Entra ID zijn gekoppeld (ook hybride). Op apparaten en RDS-servers die alleen lid zijn van Active Directory vraagt Microsoft de medewerker eenmalig om te bevestigen.
De desktop-app
De desktop-app is optioneel zolang de detectie in de cloud draait, wat standaard zo is (zie Detectie op het apparaat). Voor Group Policy is er geen MSI-pakket, en softwareinstallatie via groepsbeleid kun je daarom niet gebruiken. De console biedt naast het Intune-pakket een losse installer (.exe), de enterprise-installer, voor andere deploymenttools. Die installeert machinebreed in C:\Program Files\BeeSensible en installeert stil met de parameter /S. Rol hem uit met het distributiemiddel dat je al gebruikt, en kies vooraf wie de versie bepaalt, zoals beschreven in Kies eerst de installer.
Op RDS-servers
Op een RDS-server werken meerdere medewerkers tegelijk, elk met een eigen Windows-profiel. De extensie installeer je daarom één keer per server: de regel uit De extensie automatisch installeren is computerbeleid en geldt voor iedereen die zich op die server aanmeldt. Wil je met een pilotgroep beginnen, geef die groep dan een eigen sessiehost of verzameling, omdat je computerbeleid niet per gebruiker kunt beperken.
De geplande taak uit Zakelijk aanmelden meegeven draait bij elke aanmelding, ook als er al andere gebruikers op de server werken, en schrijft voor elke aangemelde gebruiker een eigen aanmeldhint, zoals beschreven bij de bron van het werkadres. Controleer bij de pilot met twee gebruikers die tegelijk zijn aangemeld dat de hints gescheiden blijven: voer in elke sessie de twee reg query-opdrachten uit de controle bij Zakelijk aanmelden meegeven uit, en elke sessie toont alleen het eigen werkadres.
Bij een uitrol op RDS-servers houd je daarnaast rekening met het volgende, omdat deze omgeving afwijkt van een werkplek met één gebruiker:
- Op RDS-servers gebruik je alleen de extensie. De desktop-app is gemaakt voor Windows 10 en 11.
- Medewerkers delen geen BeeSensible-account. Elke Windows-gebruiker meldt zich aan met een eigen werkaccount.
Controleren
De controle loopt zoals in De uitrol controleren, met één verschil: in plaats van een synchronisatie met Intune ververs je het beleid op het testapparaat met gpupdate /force, of start je het apparaat opnieuw op. Doe de controles met een testgebruiker zonder beheerdersrechten en, op een RDS-server, met twee gebruikers tegelijk.
Terugdraaien
Volg de volgorde in Terugdraaien. Voor de onderdelen die je met groepsbeleid hebt uitgerold, gaat dat zo:
Haal de extensie uit de forcelist
Verwijder de BeeSensible-regel uit ExtensionInstallForcelist, of ontkoppel de GPO, en voer gpupdate /force uit. Daarna, of bij de volgende vernieuwing van het beleid, verdwijnt de extensie uit de browser.
Ruim de aanmeldhints op
Verwijder eerst de geplande taak met het aanmeldscript, of ontkoppel de GPO. Maak daarna een tweede geplande taak zoals bij Zakelijk aanmelden meegeven, met het opruimscript uit de console (Download opruimscript (.ps1)) als actie. Laat elke betrokken gebruiker zich één keer aanmelden, verwijder de taak daarna en voer gpupdate /force uit. Het opruimscript werkt alleen voor gebruikers die zijn aangemeld terwijl de taak bestaat; op een RDS-server houden gebruikers die zich in die periode niet aanmeldden hun hint. Hoe je achtergebleven hints opruimt, staat in Terugdraaien.
